AI
거버넌스

AI 거버넌스는 조직 차원에서 AI를 전략적으로 관리하고 통제하는 전체적인 체계입니다. 정책 수립, 조직 구조, 의사결정 프로세스, 역할과 책임 정의 등을 포함합니다. 반면 AI 컴플라이언스는 AI 거버넌스의 일부로서, 법규 및 규제 준수에 초점을 맞춥니다. 즉, 거버넌스가 더 넓은 개념이며 컴플라이언스는 그 하위 요소입니다.

네, AI를 사용하는 모든 조직에 AI 거버넌스가 필요합니다. 다만 조직 규모와 AI 활용 수준에 맞게 조정할 수 있습니다. 중소기업은 전담 위원회 대신 기존 경영진 회의에서 AI 안건을 다루고, 별도 팀 대신 담당자 1인을 지정하는 등 간소화된 형태로 시작할 수 있습니다. 중요한 것은 AI에 대한 관리 책임을 명확히 하는 것입니다.

자동으로 준수되지는 않지만, 상당 부분 중복됩니다. EU AI Act는 ISO 42001과 같은 조화표준(harmonised standards)을 인정하며, ISO 42001 인증을 받은 조직은 EU AI Act의 많은 요건을 이미 충족하고 있을 가능성이 높습니다. 다만 EU AI Act의 특정 요건(예: EU 적합성 선언, CE 마킹, 등록 의무 등)은 별도로 충족해야 합니다.

효과적인 AI 거버넌스 위원회는 다양한 전문성을 갖춘 인력으로 구성되어야 합니다. 일반적으로 ① 경영진(전략적 의사결정), ② 기술 책임자(AI 시스템 이해), ③ 법무/컴플라이언스(규제 준수), ④ 데이터 보호 책임자(개인정보), ⑤ 윤리 전문가(윤리적 고려), ⑥ 사업부 대표(현업 관점)가 포함됩니다. 외부 자문위원을 두는 것도 좋은 방법입니다.

AI 시스템 인벤토리에는 다음 정보를 포함하는 것이 좋습니다: ① 시스템명 및 설명, ② 목적 및 용도, ③ 개발/공급자 정보, ④ 사용 데이터 유형, ⑤ 위험 등급 분류, ⑥ 담당 부서 및 책임자, ⑦ 배포 일자 및 버전, ⑧ 영향받는 이해관계자, ⑨ 관련 규제 요건, ⑩ 마지막 평가/감사 일자. 정기적으로 업데이트하는 프로세스도 함께 수립해야 합니다.

NIST AI RMF는 법적 구속력은 없지만 여러 이점이 있습니다: ① 업계 표준으로 인정받아 비즈니스 신뢰도 향상, ② 미국 연방정부 계약 시 사실상 요건으로 작용, ③ 향후 AI 규제의 기준점으로 활용될 가능성, ④ ISO 42001과 상호 보완적으로 활용 가능, ⑤ 무료로 제공되는 상세한 실무 가이드 제공. 특히 미국 시장 진출 기업에게는 사실상 필수입니다.

AI 기본법 제27조에 따르면, 고영향 AI는 사업자가 자체 판단하도록 규정되어 있습니다. 판단 기준으로는: ① 기본권 침해 위험(차별, 프라이버시 등), ② 안전에 미치는 영향, ③ 자동화된 의사결정 여부, ④ 영향받는 사람의 범위 등을 고려합니다. 과기정통부에서 구체적인 가이드라인을 발표할 예정이며, EU AI Act의 고위험 AI 목록을 참고할 수도 있습니다.

조직 규모와 AI 활용 수준에 따라 다르지만, 일반적으로: ① 초기 평가 및 계획: 1-2개월, ② 정책 및 프로세스 수립: 2-3개월, ③ 조직 구성 및 역할 정의: 1-2개월, ④ 교육 및 시범 운영: 2-3개월, ⑤ 전사 적용 및 안정화: 3-6개월. 총 9-16개월 정도 소요됩니다. ISO 42001 인증까지 목표로 할 경우 추가 시간이 필요합니다. 2026년 1월 AI 기본법 시행 전 구축을 권장합니다.