기관 AI 사용 규정 만들기

직원들이 각자 AI를 쓰고 있는데, 기관에는 아무 기준이 없다면 사고는 시간문제입니다. 규정은 “쓰지 마라”가 아니라 “어디까지 쓸 수 있는지”를 정하는 것으로, 금지만 하면 몰래 쓰게 됩니다. 이 글에는 초안부터 시작해 바로 팀에 회람할 수 있는 규정 초안 전문이 들어 있습니다.

2026년 8월 기준으로 정리한 내용입니다. 이 글은 개인이 정보를 지키는 기준이 아니라, 기관 차원의 AI 사용 규정을 어떻게 만드는지를 다룹니다. 읽는 대상은 실무자가 아니라 규정을 정하고 공지해야 하는 팀장·과장·관장입니다.

규정이 왜 필요한가

직원마다 AI를 쓰는 기준이 제각각이면 사고는 반드시 일어납니다. 어떤 직원은 상담 내용을 그대로 붙여넣어 정리하고, 어떤 직원은 애초에 AI를 쓰지 않습니다. 이 상태에서는 누가 무엇을 입력했는지, 어떤 결과물이 검토 없이 그대로 나갔는지 기관이 파악할 방법이 없습니다.

그렇다고 “AI 사용 금지”로 막으면 문제가 해결되지 않습니다. 이미 개인 휴대전화나 개인 계정으로 몰래 쓰는 경우가 생기고, 이 경우는 오히려 기관이 전혀 통제할 수 없는 상태가 됩니다. 규정의 목적은 사용을 막는 것이 아니라, 어떤 도구를 어떻게 쓸 수 있는지 허용 범위를 정하고, 그 안에서 안전하게 쓰도록 하는 것입니다.

규정 만드는 절차

규정은 처음부터 완벽하게 만들려고 하지 않습니다. 아래 순서로 초안을 만들고, 실제로 쓰는 사람들의 의견을 거쳐 다듬는 편이 훨씬 빠르고 현실적입니다.

규정 초안 — 그대로 복사해서 고쳐 쓰세요

아래는 바로 회람할 수 있는 규정 초안입니다. 대괄호로 표시한 자리([기관명], [담당부서/직위] 등)를 기관 상황에 맞게 채우고, 조문 내용도 기관 실정에 맞게 고쳐 씁니다.

[기관명] AI 활용 지침 (예시)

제정일: [연월일]
개정일: [연월일]


제1장 목적과 적용 범위

제1조(목적) 이 지침은 [기관명] 소속 구성원이 업무에 인공지능(AI) 서비스를
활용할 때 지켜야 할 기준을 정하여, 안전하게 활용하도록 하는 것을 목적으로
한다.

제2조(적용 대상) 이 지침은 [기관명]의 정규직·계약직 직원, 실습생, 자원봉사자
등 업무상 AI 서비스를 사용하는 모든 사람에게 적용된다.

제3조(정의) "AI 서비스"란 대화형 AI, 문서 작성 보조 도구 등 인공지능 기술을
활용해 결과물을 만들어주는 서비스를 말한다.


제2장 쓸 수 있는 도구와 승인 절차

제4조(승인 대상 도구) 업무에 AI 서비스를 사용하려는 구성원은 사용하려는
도구를 [담당부서/직위]에 사전 신청하여 승인을 받아야 한다.

제5조(승인 목록 관리) [담당부서/직위]는 승인된 AI 서비스 목록을 작성·공지
하고, 목록은 [게시 위치]에서 언제든 확인할 수 있도록 한다.

제6조(미승인 도구) 승인 목록에 없는 AI 서비스를 업무에 사용하려는 경우,
사전에 [담당부서/직위]와 상의한다.


제3장 넣으면 안 되는 정보

제7조(입력 금지 정보) 구성원은 AI 서비스에 다음 각 호의 정보를 입력해서는
안 된다.
  1. 이용자·보호자·후원자·직원 등의 실명, 주민등록번호, 연락처, 주소
  2. 상담 내용, 사례 기록 등 개인을 특정할 수 있는 서비스 이용 내역
  3. 후원자 명단, 후원 금액 등 후원 관련 정보
  4. 그 밖에 [기관명]이 별도로 정하는 비공개 정보

제8조(비식별 처리) 위 정보를 AI 서비스로 정리·요약해야 하는 경우, 실명 등
식별 정보는 대괄호 표기 등으로 바꾼 뒤 입력한다. 구체적인 방법은 [내부
안내자료 또는 참고자료 명]을 따른다.


제4장 결과물 확인 책임

제9조(검토 의무) 구성원은 AI 서비스가 만든 결과물을 검토 없이 그대로
문서·보고·대외 자료로 제출해서는 안 되며, 사실관계와 표현을 직접 확인한
뒤 사용한다.

제10조(최종 책임) AI 서비스를 활용해 만든 결과물의 내용에 대한 책임은 이를
제출·사용한 작성자에게 있다.


제5장 사고가 났을 때

제11조(보고 의무) 구성원은 다음 각 호에 해당하는 상황을 인지한 경우 지체
없이 [담당부서/직위]에 알린다.
  1. 제7조에서 정한 정보를 AI 서비스에 입력한 사실을 발견한 경우
  2. AI가 만든 내용 중 사실이 아닌 내용이 문서에 반영된 것을 발견한 경우

제12조(사후 조치) 보고를 받은 [담당부서/직위]는 사안의 경중을 확인하고,
필요한 경우 문서 수정, 관련자 안내, 상급 기관 보고 등 필요한 조치를 한다.


부칙

이 지침은 [연월일]부터 시행한다.
이 지침은 [주기, 예: 1년]마다 재검토한다.

규정이 계속 굴러가게 하려면

규정을 한 번 공지했다고 끝나지 않습니다. AI 서비스는 계속 새로 나오고 바뀌기 때문에, 아래 두 가지만 챙기면 큰 개정 없이도 규정을 계속 쓸 수 있습니다.

• 1년에 한 번은 다시 봅니다. 부칙에 재검토 주기를 못박아두면, “언젠가 손보자”로 미뤄지지 않습니다.
• 새 도구가 나오면 승인 목록만 고칩니다. 지침 본문 전체를 다시 만들 필요 없이, 제5조에서 관리하는 승인 목록만 갱신하면 됩니다.

다음 단계

규정 초안을 만들었다면, 규정 제3장·제8조가 가리키는 AI에 이용자 정보 넣어도 될까를 함께 공유해 직원들이 실제로 무엇을 지우고 바꿔야 하는지 알 수 있게 하세요. 아직 AI를 처음 써보는 직원이 있다면 대화형 AI 시작하는 법부터 안내하는 것도 좋습니다.

자주 묻는 질문

규정이 너무 길면 안 지켜질 것 같은데, 줄여도 되나요?

줄여도 됩니다. 위 초안의 5개 장 중 우리 기관에 당장 필요한 부분부터 먼저 확정하고, 나머지는 다음 개정 때 채워도 괜찮습니다. 다만 제7조(넣으면 안 되는 정보)와 제11조(보고 의무)는 사고 발생 시 기준이 되는 조항이므로 되도록 빼지 않는 것을 권합니다.

이미 직원들이 각자 AI를 쓰고 있는데, 규정부터 만들고 나중에 쓰게 해야 하나요?

이미 쓰고 있다면 순서를 바꿀 필요는 없습니다. 오히려 지금 쓰고 있는 직원들의 의견을 절차 3단계(의견 수렴)에서 먼저 듣는 것이 더 현실적인 규정을 만드는 데 도움이 됩니다. 규정이 없다고 해서 지금 당장 사용을 중단시키기보다는, 규정을 만드는 동안에도 개인정보 기준만큼은 우선 안내하는 방법을 권합니다.

법률 검토는 어디서 받아야 하나요?

이 글과 규정 초안은 법률 자문이 아닙니다. 개인정보보호법 등 관련 법령의 적용 여부와 세부 의무는 기관이 속한 상급 기관, 소관 부처, 또는 법률 전문가를 통해 확인하는 것을 권합니다. 특히 후원자 정보나 이용자 기록처럼 민감한 정보를 다루는 조항은 확정 전에 반드시 별도 검토를 거치세요.