대부분의 회사는 자기들이 어떤 AI를 쓰는지도 모른다

요즘 회사에서 AI를 전혀 쓰지 않는 곳은 오히려 찾기 어렵습니다. 문제는 “AI를 쓰고 있느냐”가 아닙니다. 더 중요한 질문은 따로 있습니다. 우리 회사가 어떤 AI를, 누가, 어떤 목적으로, 어떤 데이터와 함께 쓰고 있는지 알고 있느냐는 것입니다.

생각보다 많은 회사가 이 질문에 바로 답하지 못합니다. 대표나 임원은 “우리는 아직 AI를 본격적으로 도입하지 않았다”고 생각하지만, 실무 부서에서는 이미 생성형 AI, 번역 도구, 자동 요약 도구, 채용 필터링 도구, 고객 응대 챗봇, 마케팅 자동화 솔루션을 사용하고 있는 경우가 많습니다.

---

관리가 허술해서 생기는 일만은 아니다

이런 현상은 꼭 관리가 허술해서 생기는 일만은 아닙니다. AI 도구가 너무 빠르게 늘어났고, 대부분은 도입 절차가 무겁지 않습니다. 한 명의 직원이 무료 계정을 만들고, 업무 문서를 붙여넣고, 결과물을 받아 사용하는 일이 너무 쉬워졌습니다. 회사 입장에서는 공식 도입도 아닌데 실제 업무에는 이미 쓰이고 있는 애매한 상태가 생깁니다.

애매한 상태가 리스크가 되는 이유

문제는 이 애매한 상태가 앞으로는 리스크가 될 수 있다는 점입니다. 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법, 흔히 말하는 AI 기본법은 2026년 1월 22일부터 시행됩니다. 이 법은 AI 산업을 진흥하는 법이기도 하지만, 동시에 일정한 AI 사업자와 고영향 AI, 생성형 AI 등에 대해 안전성, 투명성, 신뢰성 관련 의무를 두고 있습니다.

출발점은 AI 목록화

여기서 중요한 출발점은 거창한 법률 검토가 아닙니다. 우리 회사 안에 어떤 AI가 있는지 목록화하는 것입니다. 목록이 없으면 적용 대상인지 아닌지도 판단하기 어렵고, 고영향 AI 가능성이 있는지도 확인하기 어렵고, 나중에 문제가 생겼을 때 어떤 부서가 어떤 도구를 썼는지도 추적하기 어렵습니다.

---

AI 자산 목록에 들어갈 항목

AI 자산 목록에는 최소한 몇 가지가 들어가야 합니다. 어떤 AI 도구인지, 어느 부서가 쓰는지, 어떤 업무에 쓰는지, 어떤 데이터를 입력하는지, 결과물이 고객이나 직원에게 어떤 영향을 주는지 정도는 정리되어 있어야 합니다. 이 정도만 있어도 단순한 업무 보조인지, 개인정보나 민감한 의사결정에 연결될 가능성이 있는지 1차 판단이 가능합니다.

부서마다 리스크 성격이 다르다

예를 들어 마케팅팀이 광고 문구를 만들기 위해 생성형 AI를 쓰는 것과, 인사팀이 지원자 평가를 위해 AI 도구를 쓰는 것은 리스크 성격이 다릅니다. 고객 문의를 요약하는 도구와, 고객에게 직접 답변을 내보내는 챗봇도 다릅니다. 내부 문서 검색 도구와, 의료, 금융, 채용, 교육처럼 사람의 권리와 안전에 영향을 줄 수 있는 영역의 AI 역시 다르게 봐야 합니다.

개발하지 않으면 상관없다는 오해

많은 회사가 놓치는 지점은 “우리는 AI를 개발하지 않으니 상관없다”는 생각입니다. 하지만 AI 관련 규제는 개발사만의 문제가 아닐 수 있습니다. 회사가 외부 AI 솔루션을 도입해 고객, 직원, 이용자에게 영향을 주는 방식으로 사용한다면, 그 사용 방식 자체가 검토 대상이 될 수 있습니다. 특히 고영향 AI 가능성이 있는 영역에서는 더 조심해야 합니다.

---

현장에서 더 자주 생기는 문제는 데이터

현장에서 더 자주 생기는 문제는 데이터입니다. 직원이 업무 효율을 위해 고객 정보, 계약서, 회의록, 내부 정책 문서, 제품 기획 자료를 외부 AI 서비스에 입력할 수 있습니다. 당장 편리하다는 이유로 시작했지만, 나중에 보면 개인정보, 영업비밀, 고객사 자료, 규제 대응 자료가 섞여 있을 수 있습니다.

설명할 수 없는 상태가 더 위험하다

이때 회사가 “누가 그걸 썼는지 모른다”고 말하는 순간, 문제는 커집니다. AI를 썼다는 사실보다 더 위험한 것은 AI 사용 내역을 설명할 수 없는 상태입니다. 규제 대응에서 중요한 것은 완벽한 무오류가 아니라, 최소한 어떤 기준으로 관리했고 어떤 증빙을 남겼는지 설명할 수 있는 체계입니다.

도입 능력과 관리 능력이 함께 평가된다

AI 기본법 시행 이후에는 기업들이 AI를 바라보는 방식도 달라질 가능성이 큽니다. 지금까지는 “좋은 AI 도구를 얼마나 빨리 도입하느냐”가 중요했다면, 앞으로는 “도입한 AI를 얼마나 잘 관리하고 설명할 수 있느냐”도 함께 중요해집니다. AI 활용 능력과 AI 관리 능력이 같이 평가되는 시대로 가는 것입니다.

무엇부터 해야 하나

그렇다면 회사는 무엇부터 해야 할까요. 처음부터 복잡한 컨설팅 보고서를 만들 필요는 없습니다. 먼저 부서별로 사용 중인 AI 도구를 조사하고, 사용 목적과 입력 데이터를 정리하고, 고객이나 직원에게 영향을 주는지 확인하는 것부터 시작하면 됩니다. 그다음 고영향 AI 가능성, 투명성 고지 필요성, 문서 보관 필요성 등을 단계적으로 검토하면 됩니다.

---

법무팀만의 일이 아니다

이 작업은 법무팀만의 일도 아니고, 개발팀만의 일도 아닙니다. 실제 AI 사용은 마케팅, 영업, CS, 인사, 운영, 개발, 기획 등 여러 부서에 흩어져 있기 때문입니다. 그래서 AI 컴플라이언스의 첫 단계는 전사적인 AI 사용 현황을 한곳에 모으는 일에 가깝습니다.

가장 먼저 받게 될 질문

앞으로 AI 규제 대응에서 가장 먼저 묻게 될 질문은 아마 이것일 가능성이 높습니다. “우리 회사가 쓰는 AI 목록이 있습니까?” 이 질문에 답할 수 없다면, 그다음 질문인 “이 AI가 법 적용 대상입니까?”, “고영향 AI입니까?”, “고객에게 고지해야 합니까?”, “어떤 문서를 보관해야 합니까?”에도 답하기 어렵습니다.

정리하면

결국 AI 컴플라이언스는 거창한 법률 용어에서 시작하지 않습니다. 우리 회사의 AI 자산을 아는 것에서 시작합니다. 어떤 AI를 쓰는지 모르는 회사는 AI 기본법 대응도 늦어질 수밖에 없습니다. 반대로 지금부터 AI 사용 현황을 정리하는 회사는 규제가 본격화되었을 때 훨씬 빠르게 대응할 수 있습니다.

Kompli는 이런 문제의식에서 출발했습니다. 기업이 보유한 AI 자산을 정리하고, 고영향 AI 가능성을 점검하고, AI 기본법 대응에 필요한 문서와 증빙을 관리할 수 있도록 돕는 AI 컴플라이언스 플랫폼을 준비하고 있습니다.