팀을 위한 AI 사용 정책: 사람들이 실제로 지키는 템플릿

AI 사용 정책이 제대로 작동하려면 기억할 수 있을 만큼 짧고, 우회 수단이 필요 없을 만큼 넉넉해야 합니다. 실무에서는 두 쪽 분량으로 쓰고, 모든 직원에게 최소 하나의 회사 AI 계정을 승인해 제공하고, 분량 대부분을 어떤 데이터를 어디에 넣어도 되는지에 쓴다는 뜻입니다. 회사 데이터에 개인 계정을 쓰는 것은 금지하되, AI 자체는 허용하십시오.

우회 사용 문제는 수치로 확인됩니다. Netskope의 2026 Cloud and Threat Report는 고객사 사용 데이터를 바탕으로 한 보고서인데, 생성형 AI 사용자의 47%가 여전히 업무에서 개인 AI 앱을 쓰고, 조직 평균으로는 민감한 데이터를 AI 앱에 보낸 사고가 월 223건 기록된다고 밝혔습니다 (Netskope). KPMG와 멜버른대학교가 2025년에 실시한 조사에서는 미국 직장인의 절반이 허용 여부도 모른 채 업무에 AI 도구를 쓴다고 답했습니다 (KPMG).

올해가 이 문제를 손볼 적기인 이유는 두 가지입니다. 먼저 EU에서는 2026년부터 각국 당국이 AI Act의 AI 리터러시 의무를 집행하기 시작했고, 집행위원회는 직원이 ChatGPT 같은 도구로 글을 쓰거나 번역하기만 하는 회사도 대상이라고 밝혔습니다. 또 AI 도구는 더 이상 질문에 답하는 데 그치지 않습니다. 메일함과 공유 드라이브에 연결해 찾아낸 내용을 바탕으로 직접 행동하는데, 챗봇을 기준으로 쓴 정책은 이를 다루지 못합니다. 아래에서 템플릿과 각 규칙의 근거를 살펴보고, 템플릿을 조정할 수 있는 인터랙티브 도구 두 가지도 소개합니다.

금지와 20쪽짜리 정책이 실패하는 이유는 같습니다

두 방식 모두 사람들이 브라우저 탭을 열기 전에 규칙부터 읽는다고 가정합니다. 실제로는 그렇지 않습니다. 금지는 승인된 경로를 없애고 승인되지 않은 경로만 활짝 열어 둡니다. 로펌이 작성한 20쪽짜리 정책은 따지고 보면 허용하는 것이 많지만, 계약서를 챗봇에 붙여넣기 직전의 1분 동안 무엇이 적용되는지 알아낼 수 있는 사람은 없습니다.

미국 직장인 1,019명을 대상으로 한 KPMG 조사는 이 간극이 일상에서 어떤 모습인지 보여 줍니다.

이들은 일을 해내려고 애쓰는 평범한 사람들입니다. 거의 절반이 민감한 회사 정보나 지식재산을 공개 AI 플랫폼에 업로드한 적이 있다고 답했고, 53%는 AI를 썼다는 사실을 밝히지 않는다고 답했습니다. 규칙이 불분명하거나 적대적이면 숨기는 것이 당연한 반응이며, 관리자에게는 최악의 결과입니다. 아무도 인정하지 않는 문제는 고칠 수 없기 때문입니다.

효과가 있는 정책은 짧고 구체적이며 등급이 나뉘어 있습니다. 지킬 수 있는 정책은 두 쪽에 들어갑니다. "AI를 책임감 있게 사용하라"고 요구하는 대신 계정 유형과 데이터 등급을 명시합니다. 그리고 허용과 금지 사이에 중간 단계를 두어, 직원이 전면 허용과 금지 중에서 고르지 않게 합니다.

구조를 새로 만들 필요는 없습니다. NIST의 Generative AI Profile은 AI Risk Management Framework의 보완 문서로, 생성형 AI가 만들어 내거나 악화시키는 위험 12가지를 정리해 두었습니다. 또 Govern 기능에서 조직이 "GAI에 대한 투명한 허용 사용 정책을 수립"할 것을 권고합니다(조치 GV-1.4-002) (NIST AI 600-1). 작은 회사도 이 중 네 가지 위험은 매주 마주칩니다. 허구 생성(confabulation, NIST가 환각을 가리키는 용어), 데이터 프라이버시, 정보 보안, 지식재산입니다. 아래 템플릿은 이 네 가지를 중심으로 짰습니다.

모든 도구를 세 등급으로 나누십시오

도구 목록은 사람들이 가장 자주 찾아볼 부분이므로 맨 앞에 둡니다. 등급은 세 가지로 나누고, 브랜드가 아니라 계정을 지정하십시오. "ChatGPT"는 등급이 될 수 없습니다. "회사 SSO로 로그인하는 우리 ChatGPT Business 워크스페이스"는 등급이 됩니다.

금지 등급은 짧게 쓰고 이유를 밝히십시오. Netskope에 따르면 조직의 90%가 생성형 AI 앱을 하나 이상 적극적으로 차단하고, 평균 10개를 차단합니다. 가장 많이 차단된 것은 AI 탐지기 ZeroGPT로, 조직의 45%가 제한했습니다. 탐지기는 전체 텍스트나 소스 코드를 제출하게 하는 경우가 많아서 보안팀이 고위험으로 봅니다. 어떤 도구에든 적용할 수 있는 좋은 기준입니다. 이 도구가 내놓으라고 요구하는 것은 무엇이고, 그 대가로 얻는 것은 무엇인가?

판단이 필요한 곳은 제한 등급입니다. Otter.ai나 Fireflies.ai 같은 회의 노트테이커는 사내 스탠드업에서는 문제없지만, 녹음에 동의하지 않은 고객과의 통화에서는 문제가 됩니다. GitHub Copilot이나 Claude Code 같은 코딩 어시스턴트는 회사 플랜으로 회사 저장소에서 써야 하며, 외주 개발자의 개인 구독으로 쓰면 안 됩니다. Grammarly 같은 글쓰기 어시스턴트는 마케팅 카피에는 허용하더라도 인사 문서에는 허용하지 않을 수 있습니다. 조건은 도구 옆에 한 줄로 적으십시오.

아직 승인할 어시스턴트를 정하지 못했다면, 저희 ChatGPT 대안 가이드와 실시간 AI 챗봇 보드에서 주요 선택지를 비교해 볼 수 있습니다.

회사 플랜이 바꾸는 것과 바꾸지 못하는 것

승인 등급은 회사 플랜이 개인 플랜과 데이터를 다르게 취급한다는 전제 위에 서 있습니다. Microsoft Copilot Chat, Google Gemini, Claude, ChatGPT는 이 전제가 맞지만 세부 사항은 다릅니다. 아래는 각 벤더의 공식 문서가 밝히는 내용입니다.

표의 출처는 다음과 같습니다. OpenAI의 엔터프라이즈 개인정보 보호 페이지와 데이터 제어 FAQ, Microsoft의 Copilot Chat 개인정보 보호 문서, Google의 Workspace 개인정보 보호 허브와 Gemini Apps 개인정보 보호 허브, Anthropic의 가격 페이지와 소비자 약관 업데이트입니다.

놓치기 쉬운 세부 사항이 세 가지 있습니다. Microsoft는 Microsoft 365 Copilot을 Microsoft Copilot으로, Microsoft 365 Copilot Chat을 Microsoft Copilot Chat으로 이름을 바꿨으므로, 오래된 정책에는 더 이상 쓰지 않는 제품명이 적혀 있을 수 있습니다. Copilot Chat의 웹 검색은 사용자 및 테넌트 식별자를 제거한 채 별도 약관에 따라 Bing으로 전달됩니다. 그리고 OpenAI는 비즈니스 제품이 연결된 앱에서 가져오는 데이터를 기본적으로 학습에 쓰지 않는다고 밝혔습니다.

이제 한계를 짚어 보겠습니다. 이런 통제 중 어느 것도 누군가가 휴대폰의 개인 계정에 고객 목록을 붙여넣는 것은 막지 못합니다. 결과물의 오류도 검사해 주지 않고, 도구가 만든 결과물의 소유권도 정리해 주지 않습니다. 엔터프라이즈 약관이 보호하는 것은 제 위치에 들어온 데이터입니다. 데이터를 그 위치로 보내는 것은 정책이 할 일입니다.

Netskope는 회사가 그런 위치를 마련해 주면 어떻게 되는지 1년치 데이터로 추적했습니다.

개인 계정 사용은 생성형 AI 사용자의 78%에서 47%로 줄었고, 회사 관리 계정은 25%에서 62%로 늘었습니다. 둘을 오가는 비율도 4%에서 9%로 늘었는데, Netskope는 이를 회사 도구에 사람들이 원하는 편의성이나 기능이 아직 부족하다는 신호로 해석합니다. 작은 회사에 주는 교훈은 분명합니다. 금지 조항을 한 줄 쓰기 전에 관리형 도구 하나부터 구매하거나 활성화하고, 사람들이 개인 계정으로 돌아가지 않을 만큼 쓸 만하게 유지하십시오. 이미 Microsoft 365나 Google Workspace를 쓰고 있다면, 새로 사기 전에 현재 플랜에 무엇이 포함되어 있는지부터 확인하십시오.

등급별 데이터 규칙

한 섹션만 기억한다면 이 섹션이어야 합니다. 도구 목록은 어디서 일할지를 알려 주고, 데이터 규칙은 무엇을 빼야 하는지를 알려 줍니다. 데이터 규칙은 승인된 도구 안에서도 적용됩니다.

무엇이 새어 나가는지부터 보십시오. Netskope 데이터에서 생성형 AI 앱 관련 정책 위반에 가장 많이 얽힌 콘텐츠 세 가지는 소스 코드, 규제 대상 데이터, 지식재산이었습니다.

소스 코드가 42%로 가장 많은데, 대개 디버깅이나 리팩터링 도움을 받으려고 붙여넣은 경우입니다. 개인정보와 금융 정보 같은 규제 대상 데이터가 32%로 뒤를 잇고, 계약서나 내부 연구 같은 지식재산이 16%입니다. Netskope는 또 조직의 절반이 생성형 AI 앱에 대한 강제력 있는 데이터 보호 정책이 없다고 밝혔습니다. 그런 회사에서는 상당수가 눈에 띄지 않고 지나갈 수 있습니다.

네 가지 등급에 절대 규칙 하나를 더하십시오. 대부분의 회사에는 이메일이나 파일 공유용으로 이미 비슷한 라벨이 있으니, 있다면 그대로 재사용하십시오.

• 공개 정보는 웹사이트나 발행된 문서처럼 어떤 AI 도구에든 넣어도 됩니다.
• 내부 자료는 프로세스 문서나 회의록처럼 승인된 도구에서만 쓰고, 제한 도구에서는 지정된 용도에 한해서만 씁니다.
• 기밀 업무에는 소스 코드, 계약서, 재무 자료, 고객 파일이 해당합니다. 승인된 회사 도구에만 넣을 수 있고, 어차피 그 자료를 볼 수 있는 사람만 넣을 수 있습니다.
• 제한 데이터는 범용 AI 도구에 절대 넣지 않습니다. 건강 정보와 결제 정보를 포함해 고객이나 직원의 개인 데이터가 여기에 해당합니다.
• 비밀번호와 API 키는 승인 여부와 관계없이 어떤 AI 도구에도 넣지 않습니다. Netskope는 이런 정보가 코드 샘플과 설정 파일에 숨어 있는 경우가 많다고 지적하므로, 엔지니어에게 붙여넣기 전에 지우라고 안내하십시오.

제한 등급에는 적어 둘 만한 예외가 하나 있습니다. 해당 데이터를 위해 구매하고, 이름을 지정해 승인했으며, 데이터 처리 계약서에 서명한 시스템입니다. AI 기능이 있는 HR 플랫폼은 직원 기록에 써도 괜찮을 수 있습니다. 범용 채팅 어시스턴트는 엔터프라이즈 약관이 아무리 좋아도 안 됩니다.

세 가지 등급에 대응시키면 데이터 등급은 다음과 같습니다.

반원은 조건을 뜻하며, 여기에 여러분의 사례를 넣으십시오. 등급마다 하나씩 적으십시오. 회사 코딩 어시스턴트에 스택 트레이스를 넣는 것은 괜찮지만, 고객 데이터베이스 내보내기 파일은 안 됩니다. 사람들은 정의는 금방 잊어도 사례는 오래 기억합니다. 새 도구를 이 등급에 비추어 검토하는 방법은 저희 AI 도구 개인정보 보호 프레임워크에서 더 자세히 다루며, AI 개인정보 보호 도구 보드에는 민감한 데이터를 가리거나 격리하도록 만든 제품이 모여 있습니다.

검토, 공개, 결과물의 소유권

모든 AI 결과물에는 책임지는 사람이 지정되어 있어야 하며, 정책에는 한 줄이면 충분합니다. AI의 도움을 받은 업무를 보내거나 발행하는 사람이 그 결과물에 책임을 집니다. NIST는 허구 생성을 "자신 있게 서술되었지만 틀리거나 거짓인 콘텐츠"로 정의하고, 과의존과 자동화 편향을 사람이 이런 시스템을 다룰 때의 위험으로 꼽습니다. KPMG는 미국 직장인의 58%가 결과를 제대로 평가하지 않고 AI에 의존해 일을 마친다는 것을 확인했으니, 이 위험은 이미 여러분의 받은편지함에 와 있습니다.

검토 규칙은 위험에 비례하게 정하십시오. 내부 요약은 한 번 읽어 보면 됩니다. 숫자, 인용, 출처, 법률 관련 진술, 프로덕션에 나갈 코드는 출처나 테스트와 대조해야 합니다. 정확히 그렇게 쓰십시오. 모든 것에 "사람의 검토"를 일괄 요구하는 규칙은 사람들이 조용히 지키지 않게 됩니다.

고객과 독자에 대한 공개

일부 공개 의무는 이제 법적 구속력이 있습니다. 2026년부터 적용되는 EU AI Act 제50조에 따라, 배포자는 딥페이크와 공익 사안을 알리려고 발행하는 AI 생성·조작 텍스트에 표시를 해야 합니다. 다만 사람의 검토나 편집 통제를 거친 텍스트는 예외입니다 (European Commission). 대부분의 소규모 회사에는 실무 규칙이 더 단순합니다. 상대가 알고 싶어 할 상황에서는 AI 시스템이나 AI가 만든 미디어를 접하고 있다는 사실을 알리고, AI가 후기나 추천사를 쓰게 하지 마십시오.

내부 공개도 그만큼 중요합니다. 이미 직원의 절반 넘게 AI 사용을 밝히지 않는데 공개를 문책하는 정책을 두면 그 비율은 더 올라갑니다. AI의 도움이 독자가 결과물을 검증하는 방식에 영향을 줄 때만 AI 도움을 언급해 달라고 요청하고, 거기까지만 하십시오.

지식재산과 기밀 유지

소유권이 첫 번째 함정입니다. 미국 저작권청은 AI 결과물이 "인간 저작자가 충분한 표현 요소를 결정한 경우에만" 저작권 보호를 받을 수 있고, 프롬프트만으로는 요건을 충족하지 못한다고 결론 내렸습니다 (US Copyright Office). 로고나 핵심 브랜드 카피처럼 소유해야 하는 것이 있다면 인간 저작자를 두고 초안을 보관하십시오.

두 번째는 타인의 기밀 유지입니다. 고객 계약서와 NDA가 자료를 어디에 둘 수 있는지 제한하는 경우가 있고, 벤더가 데이터를 학습에 쓰지 않겠다고 약속해도 고객과 한 약속은 달라지지 않습니다. 정책에는 고객 파일을 AI 도구에 넣기 전에 계약서부터 확인하라고 직원에게 안내해야 합니다.

에이전트, 커넥터, 회의 봇에는 별도 규칙이 필요합니다

챗봇은 여러분이 붙여넣은 것만 봅니다. 이메일이나 CRM에 연결된 에이전트는 훨씬 많은 것을 읽을 수 있고, 보내기, 삭제하기, 예약하기, 구매하기 같은 행동도 할 수 있습니다. 챗봇 기준으로 쓴 정책 대부분이 이 부분을 빠뜨리는데, 가장 새로운 위험이 바로 여기에 있습니다.

Netskope는 Model Context Protocol(MCP)이 AI 에이전트를 회사 시스템에 연결하는 선호 방식으로 빠르게 자리 잡고 있다고 설명하며, AI 브라우저와 MCP 연결 도구에는 별도의 거버넌스와 모니터링이 필요하다고 말합니다. 핵심 문제는 간접 프롬프트 인젝션입니다. 웹 페이지나 이메일에 숨겨진 지시를 에이전트가 읽고 그대로 따르는 공격입니다. 아래 지도에서 공격은 왼쪽 아래 모서리로 들어옵니다.

Anthropic은 작년에 브라우저 에이전트 Claude for Chrome을 시범 운영하면서 이례적으로 구체적인 수치를 공개했습니다. 123개 테스트 사례에서 의도적인 프롬프트 인젝션 공격은 안전 완화 장치가 없을 때 23.6%, 있을 때 11.2% 성공했습니다. 수정 이전의 한 사례에서는 "보안상의 이유로" 메일을 삭제해야 한다는 이메일 때문에 에이전트가 확인 없이 사용자의 메일을 삭제했습니다 (Anthropic). 벤더가 자사의 실패율을 직접 공개하는 것이 유용한 이유는 바로 그 수치가 0이 아니기 때문입니다.

따라서 에이전트 규칙은 프롬프트 문구가 아니라 권한에 관한 것입니다.

• 관리자는 누군가가 켜기 전에 커넥터를 하나씩 승인하며, 업무에 필요한 최소한의 접근만 허용합니다(전체 메일함보다 읽기 전용 캘린더 접근이 낫습니다).
• 에이전트가 사내 밖으로 무엇이든 보내거나 삭제하거나 결제하거나 발행하거나 공유하기 전에는 사람이 확인합니다.
• 기밀 데이터에 접근할 수 있는 에이전트는 감독 없이 열린 웹을 탐색하지 않습니다.
• 어떤 에이전트가 어떤 연결을 갖고 있는지 목록을 관리하는 담당자를 두고, 도구 목록과 함께 검토합니다.

필요해지기 전에 승인한 도구가 관리자에게 무엇을 제공하는지 확인하십시오. 예를 들어 Claude의 Team 플랜에는 원격 및 로컬 커넥터용 관리자 제어가 포함되어 있습니다. Microsoft Copilot Studio 같은 에이전트 빌더는 새 에이전트를 만들기 위한 도구이므로 승인 규칙이 여기에도 적용됩니다. 운영 측면은 저희 글 AI 에이전트를 실무에서 운영한 팀들의 교훈에서 다룹니다.

회의 노트테이커

AI 노트테이커도 에이전트입니다. 통화에 들어와 참석자 모두를 녹음하고, 그 도구를 선택한 적 없는 사람들의 목소리까지 포함해 오디오를 벤더에 보냅니다. 해결책은 비용이 거의 들지 않습니다. 회의 시작 때 봇이 들어와 있음을 알리고, 누구든 끄도록 요청할 수 있게 하고, 외부 참석자의 동의를 받고, 녹음 보관 기간을 정하십시오. AI 회의 어시스턴트 보드에서 관리자에게 이런 통제를 제공하는 제품을 비교해 볼 수 있습니다.

그대로 가져다 쓸 수 있는 두 쪽짜리 템플릿

이것이 뼈대입니다. 각 행은 완성된 정책의 짧은 한 섹션이고, 수정해서 쓸 수 있는 예시 조항이 붙어 있습니다. 해당되지 않는 행은 빼고, 결과물은 두 쪽 안에 맞추십시오.

정책을 맞춤화하려면 아래 빌더의 질문에 답하십시오. EU 노출, 규제 대상 데이터, 노트테이커, 에이전트, 게시 콘텐츠, 코딩 어시스턴트에 관한 조항이 추가되고, 개요를 문서 편집기에 붙여넣을 수 있도록 일반 텍스트로 복사해 줍니다.

다른 어떤 답변보다 개요를 크게 바꾸는 것은 기본 도구입니다. "아직 정하지 않음"을 선택하면 승인 등급은 기한이 됩니다. 승인된 계정이 없는 정책은 이름만 다른 금지이기 때문입니다.

한 달 안에 도입하고, 이후 최신 상태를 유지하십시오

수백 명 이하 규모의 회사라면 4주면 충분합니다. 1주 차에는 담당자가 두 쪽짜리 초안을 쓰고, 승인한 도구가 회사 로그인으로 설정되어 있는지 확인합니다. 2주 차에는 한 팀이 시범 적용하며 정책이 답하지 못한 질문을 모두 기록합니다. 3주 차에는 그 빈틈을 메우고 교육을 진행합니다. 4주 차에는 온보딩 체크리스트처럼 사람들 눈에 띄는 곳에 정책을 게시합니다.

아래 사이클이 전체 과정이며, 중심에는 한 사람이 있습니다. 그 사람이 어느 한 조항보다 중요합니다.

교육에는 많은 회사에 해당하는 법적 근거가 있습니다. EU AI Act 제4조는 2025년 초부터 AI 시스템의 제공자와 배포자에게 직원의 AI 리터러시를 뒷받침할 조치를 취하도록 요구해 왔고, 각국 시장 감독 당국은 올해부터 이를 감독하고 집행하기 시작했습니다. Digital Omnibus는 2026년에 제4조를 개정했습니다. AI 리터러시는 여전히 의무이지만 특정 수준이나 "충분한" 수준을 요구하지는 않습니다. 집행위원회는 인증서가 필요 없다고 밝히며 내부 기록을 남길 것을 권합니다. 또 소규모 회사가 가장 많이 묻는 질문에도 답합니다. 직원이 ChatGPT로 광고 카피를 쓰거나 텍스트를 번역한다면 이 의무가 적용되며, 직원에게 환각 같은 구체적인 위험을 알려야 합니다 (European Commission).

교육은 짧게, 역할에 맞춰 진행하십시오. 어떤 도구가 승인되었는지, 어떤 데이터는 절대 넣으면 안 되는지, 결과물은 어떻게 검증하는지, 실수는 어떻게 보고하는지를 다루면 됩니다. 사람들이 기억하는 30분이 기억하지 못하는 하루보다 낫습니다.

실수 보고는 정책에 별도의 항목으로 넣어야 합니다. 기본값은 침묵이기 때문입니다. 제한 데이터를 엉뚱한 곳에 붙여넣었을 때, AI 오류가 고객에게 전달됐을 때, 에이전트가 아무도 시키지 않은 일을 했을 때는 하루 안에 보고하도록 요청하십시오. 책임을 묻지 않아야 합니다. 어떤 규칙이 작동하지 않는지는 이런 보고를 통해 알 수 있습니다.

그리고 일정을 정해 검토하십시오. 벤더는 대부분의 회사가 정책을 다시 읽는 속도보다 빠르게 이름과 약관을 바꿉니다. Anthropic은 작년에 소비자 약관을 바꿔 Free, Pro, Max 사용자가 대화를 모델 학습에 쓸지 선택하게 했고, 동의하면 5년간 보관하도록 했지만 상용 플랜은 이 변경에서 제외했습니다. 분기마다 도구 목록을 살펴보면 이런 변화를 잡아낼 수 있습니다. 첫 검토 전에 아래 체크리스트로 현재 정책의 점수를 매겨 보십시오.

승인된 계정 항목은 3점, 나머지는 1~2점이므로 6점 미만이면 첫 번째 항목으로 돌아가야 합니다. 다른 모든 규칙은 사람들이 일할 승인된 장소가 있다는 전제 위에 서 있습니다.

자주 묻는 질문

소규모 회사에도 서면 AI 사용 정책이 필요한가요?

네, 누구든 회사 데이터로 AI를 쓰는 순간부터 필요하며, 대부분의 회사에서는 이미 그렇게 쓰이고 있습니다. 한 쪽짜리로 시작해도 충분합니다. 정책이 없으면 직원들은 무엇이 허용되는지 추측하게 됩니다.

직장에서 ChatGPT를 금지해야 하나요?

회사 데이터에 쓰는 개인 ChatGPT 계정은 금지하고, 대신 회사 워크스페이스를 제공하십시오. 개인 사용자는 학습을 끌 수 있지만, 회사는 여전히 보관을 제어할 수 없고 퇴사자의 접근을 끊을 방법도 없습니다. 전면 금지는 대개 사용을 눈에 보이지 않는 휴대폰으로 옮길 뿐입니다.

Microsoft Copilot Chat은 회사 데이터에 안전한가요?

업무 계정으로 로그인하면 Microsoft의 엔터프라이즈 데이터 보호가 적용되며, 프롬프트는 파운데이션 모델 학습에 쓰이지 않습니다. 프롬프트와 응답은 감사 및 eDiscovery를 위해 기록되기도 하므로, 직원에게 알려 두는 것이 좋습니다. 제한 데이터는 여전히 회사 규칙에 따라 넣지 않습니다.

EU AI Act는 직원 AI 교육을 요구하나요?

제4조는 제공자와 배포자가 직원의 AI 리터러시를 위한 조치를 취하도록 요구하며, 채팅 어시스턴트의 일반적인 업무 사용도 대상에 포함됩니다. 정해진 형식이나 인증서는 없습니다. 직원들의 AI 사용 방식에 맞춘 짧은 교육과 참석자 기록이 합리적인 최소 기준입니다.

AI 정책은 누가 맡아야 하나요?

이름이 지정된 한 사람이 맡아야 하며, 보통은 이미 IT나 운영을 총괄하는 사람이 적합하고, 도구 목록은 현업 관리자가 검토합니다. 제한 데이터와 고객 계약에 관해서는 법무 자문을 받되, 담당자는 변호사 없이도 모든 규칙을 설명할 수 있어야 합니다.