← 포트폴리오 · 무신사

AI 거버넌스 프레임워크

사내 AI 활용을 금지가 아니라 통제 가능한 형태로 만드는 작업. 설계 기준은 하나 — 생산성을 저해하지 않는 수준의 통제 범위.

문제

AI 거버넌스는 두 방향으로 실패합니다.

• 금지로 시작하면 사람들이 개인 계정으로 씁니다. 통제는 사라지고 리스크만 음지로 갑니다.
• 방임하면 어디에 무엇이 들어갔는지 아무도 모릅니다. 문제가 생긴 뒤에야 범위를 파악하게 됩니다.

그리고 대부분의 AI 가이드라인은 AI를 쓰지 않는 사람이 씁니다. 그래서 실제 업무에서 어디가 걸리는지를 못 짚습니다.

접근

저는 AI를 실제로 쓰는 쪽에 있습니다. 장애 대응 자동화, 알림 보강, 훈련 채점에 LLM을 붙여 운영하면서 나온 문제들이 곧 통제 지점이었습니다. 가이드라인을 먼저 쓰고 적용하는 순서가 아니라, 운영에서 나온 경계를 프레임워크로 환원하는 순서로 만들고 있습니다.

설계 기준

1. 자동화 경계 — 무엇을 AI가 판단하고 무엇을 사람이 지휘하는가

가장 어려운 부분은 기술이 아니라 여기였습니다. 장애 대응 프로세스에 그 기준선을 명시하고 있습니다.

원칙은 단순합니다. 되돌릴 수 없는 결정과 대외적 책임이 걸린 결정은 사람이 합니다. 그 외의 것은 AI가 먼저 해도 되고, 사람은 검토자로 남습니다.

2. 운영에서 도출한 통제 지점

LLM 적용 3건(신뢰성 자동화, 훈련 채점)을 직접 개발·운영하면서 나온 항목들입니다.

• 입력 데이터 범위 — 무엇을 모델에 넣어도 되는가. 로그·티켓·문서 각각의 경계
• 출력 검증 — 모델 출력을 어디까지 신뢰하고 어디서 확인하는가
• 실패 시 폴백 — 모델이 응답하지 않거나 틀렸을 때 프로세스가 계속 굴러가는가
• 기록 — 어떤 판단에 AI가 관여했는지가 남는가

3. 생산성을 저해하지 않는다

통제 항목을 늘리는 것은 쉽습니다. 어려운 건 넣지 않을 것을 고르는 일입니다. 승인 절차 하나가 추가되면 그 도구는 안 쓰이게 되고, 안 쓰이면 통제할 대상도 사라집니다.

배경 — 규제 환경

국내 AI 기본법이 2026년 1월 22일 시행되면서, 모델 개발사뿐 아니라 외부 AI를 활용하는 이용사업자도 의무 주체에 포함됐습니다. 생성형 AI 투명성 고지, 고영향 AI 책무, 영향평가 등이 여기에 걸립니다. 사내 AI 사용 기준을 정리해 두는 일이 자율 과제에서 준수 과제로 옮겨가는 중입니다.

현재 상태

수립 진행 중입니다. 완성된 결과물이 아니라 운영하면서 만들어 가는 문서로 두고 있습니다.

회고 (중간)

어려운 건 AI가 아니라 경계를 정하는 쪽입니다 — 무엇을 자동화하고 무엇은 사람이 지휘할지.

쓰는 사람이 쓰는 기준을 만들어야 합니다. AI를 안 써 본 사람이 만든 가이드라인은 실제 업무 흐름에서 어디가 걸리는지를 못 짚어서, 결과적으로 지켜지지 않거나 생산성을 깎습니다.

관련 케이스 — 신뢰성 자동화 · 비상대응훈련 프로그램 · 클라우드 보안 프레임워크

AI 거버넌스 AI 기본법 자동화 경계 휴먼인더루프 LLM 운영