AI 거버넌스

AI 거버넌스는 조직이 AI를 쓸 때 무엇을 성과로 볼지, 어디까지 허용할지, 누가 승인할지를 정하는 기준과 절차입니다. '규제를 지키기 위한 문서'로만 이해하면 절반만 본 것입니다. AX 현장에서 AI 거버넌스가 하는 진짜 역할은, 여러 팀에서 흩어져 나온 AI 결과물을 조직이 신뢰하고 다음 단계로 넘길 수 있는 상태로 만드는 것입니다.

AI 거버넌스란 무엇인가

세 가지 질문에 대한 답이 곧 거버넌스입니다.

• 무엇을 성과로 볼 것인가 — 시간이 줄었다는 느낌이 아니라, 다른 팀도 같은 기준으로 판단할 수 있는 형태의 성과.
• 어디까지 허용할 것인가 — 어떤 데이터를 AI에 넣어도 되는지, 어떤 업무는 아직 사람이 최종 확인해야 하는지.
• 누가 승인할 것인가 — 성공한 결과물을 다음 팀에 적용할지, 확산할지를 결정하는 사람 또는 절차.

셋 중 하나라도 정해지지 않으면, AI를 도입했다는 사실은 남지만 그 도입이 조직의 표준으로 이어지지는 않습니다.

왜 AX에서 AI 거버넌스가 필수인가

AX는 한 팀의 성공을 전사의 표준으로 잇는 과정입니다. 그런데 PoC가 성공해도 전사로 확산되지 않는 가장 흔한 이유 중 하나가 거버넌스의 부재입니다. 성공 기준이 그 팀에만 있었고 승인할 사람이 없었고 다른 팀에서도 통하는지 아무도 확인하지 않았기 때문입니다. 한 팀이 "우리는 시간이 줄었다"고 말해도, 그 기준이 다른 팀에도 적용되는지, 전사 관점에서 무엇을 성과로 볼지가 처음부터 정의되지 않았다면 그 성공은 조직의 자산이 아니라 그 팀만의 성공담으로 남습니다.

AI 거버넌스는 이 간극을 메우는 뼈대입니다. PoC 단계에서부터 성과 기준과 승인 절차를 함께 설계해두면, 성공한 결과물이 "그래서 이제 누가 결정하나요"라는 질문 앞에서 멈추지 않습니다. 반대로 거버넌스 없이 PoC부터 확산까지 진행하면, 잘된 시도조차 "그 팀에서만 되는 것 아니냐"는 의심을 벗어나지 못한 채 멈춥니다.

거버넌스를 만드는 주체도 중요합니다. IT팀은 데이터·보안 관점의 허용 범위를, 현업은 성과 기준을 가장 잘 압니다. 두 관점을 한자리에서 연결해 과제를 끝까지 끌고 가는 사람이 필요한데, 현업 안에서 문제 발굴부터 구현·정착까지 맡는 Internal FDE가 그 자리에 가장 가깝습니다.

규제 준수를 넘어선 세 가지 축

AI 거버넌스를 규제 대응 문서로만 만들면 현장에서 작동하지 않습니다. 아래 세 축이 함께 있어야 실제로 쓰이는 거버넌스가 됩니다.

거버넌스 없는 도입의 위험

AI가 만드는 결과물의 특징은 '그럴듯함'입니다. 문법도 논리도 자연스러워 보이지만 근거가 틀렸거나 예외 상황을 놓친 채로 나올 수 있습니다. 사람이 쓴 초안은 어설프면 티가 나서 걸러지지만 AI가 쓴 초안은 형식이 완성돼 있어 오히려 검증 없이 통과되기 쉽습니다. 검증 기준과 책임 소재가 없는 조직에서는 이런 결과물이 걸러지지 않고 다른 팀·다른 문서·고객 응대로 그대로 퍼집니다.

문제는 결과물 하나가 틀리는 것이 아니라, 그 결과물이 검증됐다고 착각한 채 다음 결정의 근거로 쌓인다는 점입니다. 한 보고서의 틀린 숫자가 다음 보고서에 인용되고 그 보고서가 다시 다음 결정의 전제가 되는 식입니다. 이 연쇄는 문제가 겉으로 드러나기 전까지는 조직 내부에서 알아채기 어렵습니다. 거버넌스는 이 확산을 초기에 끊는 최소한의 장치입니다.

우리 조직 AI 거버넌스 최소 체크리스트

• AI 결과물의 성과를 무엇으로 볼지 팀을 넘어 통용되는 기준이 있다
• 결과물이 믿을 만한지 확인하는 절차(사람 검토, 재현 테스트 등)가 있다
• 확산 여부를 승인할 사람 또는 절차가 정해져 있다
• AI에 넣어도 되는 데이터와 아직 안 되는 데이터가 구분되어 있다
• 문제가 생겼을 때 누가 책임지고 대응할지 명확하다

과한 거버넌스도 실행을 막는다

거버넌스를 파는 입장에서도 솔직히 말하면, 모든 시도에 승인 절차를 요구하는 순간 아무도 시도하지 않습니다. 개인이나 팀 단위의 작은 실험까지 승인 게이트를 거치게 하면, PoC 자체가 시작되지 않거나 담당자 개인의 노트북 안에서 몰래 진행되어 오히려 거버넌스가 볼 수 없는 곳으로 밀려납니다. 이렇게 되면 거버넌스는 위험을 줄이려다 위험을 안 보이게 만드는 역설에 빠집니다.

균형점은 단계별로 무게를 다르게 두는 것입니다. 좁은 범위의 실험은 가볍게 허용하고 다른 팀이나 고객에게 영향을 주는 확산 단계에서만 엄격한 기준을 적용합니다. PoC 단계에서도 사용할 데이터와 접근 권한, 외부 반영 범위는 정해야 합니다. 허용된 작은 실험은 가볍게 진행하고 영향이 커질 때 필요한 검증과 의사결정 절차를 추가할 수 있습니다. AI 거버넌스의 목적은 실행을 막는 것이 아니라, 검증되지 않은 결과물이 조직의 기준인 척 퍼지는 것을 막는 것입니다.

무엇을 승인했는지 남기는 거버넌스

BOAZ의 위키 운영에서는 사실·해석·표기·관계·확정성·적용 범위를 나누어 검토합니다. ‘검토했다’는 표시만 남기면 무엇에 동의했는지 알기 어렵기 때문입니다.

변경 전후와 근거, 검토한 버전, 채택 범위를 함께 남기면 나중에 결정이 바뀌었을 때 영향을 받는 부분을 찾을 수 있습니다. 이것이 지식 갱신과 연결되는 거버넌스입니다. 승인은 변경 채택의 기록이고, 사실 검증은 별도로 확인한 범위를 남깁니다.