싱가포르 116쪽 AI 이사회 가이드가 제시한 책임 있는 AI 거버넌스 7원칙

싱가포르 기업 이사회를 위한 **AI 가이드(AI Guide for Boards in Singapore)**의 핵심 메시지는 분명하다. 인공지능은 이제 이사회가 직접 다뤄야 할 경영 의제라는 것이다.

싱가포르 이사협회(SID)가 싱가포르 정보통신미디어개발청(IMDA), 마이크로소프트, 오픈AI와 함께 발간한 이 116쪽 가이드는 이사들이 AI의 사업 기회뿐 아니라 투자 성과, 책임 소재, 운영 위험과 통제 장치를 함께 살피도록 돕기 위해 마련됐다.

핵심 전환점: AI 거버넌스는 이사회 업무다

AI를 기술위원회나 경영진, IT 부서에만 맡겨서는 안 된다는 것이 가이드의 출발점이다. 이사회는 AI가 기업 전략, 투자, 회복탄력성, 인력, 장기적인 가치 창출에 어떤 영향을 미치는지 이해하고, 실제 도입 성과가 위험을 감수할 만큼 충분한지 질문해야 한다.

그렇다고 모든 이사가 엔지니어가 되어야 한다는 뜻은 아니다. 다만 회사가 어떤 목적으로 AI를 쓰는지, 무엇이 잘못될 수 있는지, 경영진이 적절한 역량과 통제 수단을 갖췄는지를 판단할 수 있을 만큼의 공통 언어는 필요하다.

1. AI를 이해하는 이사회 만들기

가이드는 모든 이사가 AI의 기본 개념과 사업적 영향, 거버넌스 쟁점을 실무적으로 이해해야 한다고 권고한다. 이사회 안에는 전략, 도입 방식, 데이터 거버넌스, 위험과 투자 효과의 균형을 놓고 경영진에 도전적인 질문을 할 수 있는 인원이 있어야 한다. 복잡한 기술·규제·운영 문제에 대해서는 외부 또는 내부의 심층 AI 전문가에게 접근할 수 있어야 한다.

실질적인 기준은 최신 AI 모델의 이름을 얼마나 많이 아느냐가 아니다. 회사의 활용 사례와 잠재적 실패 지점을 이해하고, 경영진의 가정과 통제 체계가 충분한지 판단할 수 있느냐가 핵심이다.

2. AI 활동량이 아니라 사업 성과를 측정하기

AI 투자 성과는 도입 건수나 실험 횟수가 아니라 구체적인 사업 결과로 평가해야 한다. 파일럿 프로젝트, 구매한 라이선스, 교육 횟수와 같은 활동 지표와 업무 흐름 개선, 절감된 시간, 고객 경험, 운영 성과 같은 가치 지표를 구분해야 한다.

이사회가 확인할 질문은 다음과 같다.

• 이 시스템은 어떤 사업 문제를 해결하는가?
• 어떤 결과가 얼마나 개선될 것으로 예상하는가?
• 개선 여부를 어떻게 측정할 것인가?
• 파일럿을 전사 도입으로 확대할 근거는 무엇인가?
• 감독, 보안, 통합, 장애 발생에 드는 비용은 얼마인가?

실험이 많다는 사실은 관심이 높다는 뜻일 수는 있지만, 그 자체로 투자수익률을 입증하지는 못한다.

3. 직원들의 실험을 통제된 역량으로 전환하기

공식 AI 프로그램이 시작되기 전부터 직원들이 업무에 유용한 AI 활용법을 찾아내는 경우가 많다. 가이드는 이 같은 현장 지식을 살리되, 조직의 통제 환경 안으로 가져와야 한다고 제안한다.

이를 위해 직원이 만든 AI 도구를 문서화하고, 누가 어떤 목적으로 사용할 수 있는지 정하며, 관련 안전·거버넌스 요건을 충족하는지 확인해야 한다. 목표는 실험을 막는 것이 아니다. 유용한 시제품이 아무도 책임지지 않는 비공식 시스템으로 남아 고객, 직원 또는 회사 데이터를 다루게 되는 상황을 피하는 데 있다.

4. AI 위험을 전사적 위험으로 다루기

AI 거버넌스는 모델의 정확도만 확인하는 절차가 아니다. 이사회는 윤리, 사이버 보안, 데이터, 안전, 개인정보, 인재 관련 위험과 함께 AI가 조직의 회복탄력성과 장기 가치 창출에 미치는 영향도 살펴야 한다.

따라서 이사회는 다음을 파악해야 한다.

• 조직 안에서 AI가 어디에 사용되고 있는가
• 어떤 데이터와 외부 공급업체가 관여하는가
• 각 시스템의 책임자는 누구인가
• 사고는 어떤 방식으로 보고되는가
• 언제 도입을 중단하거나 재검토해야 하는가

통제 수준은 실패했을 때의 영향에 비례해야 한다. 내부 생산성을 돕는 저위험 도구와 채용, 고객 접근 권한, 안전에 영향을 미치는 시스템에 동일한 기준을 적용할 수는 없다.

5. 인간 감독 의무와 자동화 금지선을 정하기

가이드는 의사결정의 경계를 명확히 정하라고 요구한다. 특히 고객, 직원, 안전 또는 개인정보에 영향을 미치는 결정에는 언제 인간 검토가 필요한지 정하고, 자동화된 결정 자체를 허용하지 않는 ‘명확한 금지선(hard red lines)’도 마련해야 한다.

인간 감독은 형식적인 승인 절차만으로 성립하지 않는다. 검토자는 AI의 추천을 이해하고, 충분한 정보와 권한, 시간을 바탕으로 결과를 질문하거나 뒤집을 수 있어야 한다. 이름뿐인 최종 승인이 자동화된 결정을 추인하는 거수기 절차가 되어서는 안 된다.

6. AI를 활용한 인사 결정에 추가 안전장치 두기

채용, 승진, 성과평가에 AI를 사용하면 개인의 기회와 생계에 직접 영향을 줄 수 있다. 가이드는 이런 용도에 인간 검토, 편향 테스트, 데이터 품질 점검을 적용하고, 영향을 받은 사람이 결정에 이의를 제기하거나 재검토를 요청할 수 있는 명확한 절차를 마련할 것을 권고한다.

이 원칙은 ‘공정성’을 추상적인 구호에서 이사회가 확인해야 할 관리 지표로 바꾼다. 시스템이 의도대로 작동한다는 근거는 무엇인지, 어떤 집단이 불리한 결과를 받을 수 있는지, 당사자가 결과에 이의를 제기할 방법이 있는지를 물어야 한다.

7. 사이버 회복탄력성과 책임을 이사회 의제로 유지하기

가이드는 AI를 조직 전반의 디지털 회복탄력성을 유지해야 한다는 더 큰 책임 안에서 다룬다. AI 관련 위험을 기술팀만 관리할 수 있다고 가정하지 말고, 이사회가 사이버 위협을 포함한 위험을 적극적으로 감독해야 한다는 기대가 커지고 있다는 점을 반영한 것이다.

이사는 경영진에게 다음과 같은 질문을 던질 수 있다.

• AI 도입으로 회사의 공격 표면은 어떻게 달라졌는가?
• 민감한 데이터는 어떻게 보호하는가?
• 외부 공급업체는 어떤 기준으로 평가하는가?
• AI 시스템이 침해되거나 유해한 결과를 내놓으면 어떻게 대응하는가?

구체적인 통제 방법은 기업마다 다르지만, 필요한 질문을 제기할 책임까지 달라지는 것은 아니다.

이사회가 지금 시작할 수 있는 5가지 질문

첫 번째 점검은 다음 질문으로 시작할 수 있다.

1. 직원이 직접 만든 도구를 포함해, 회사는 현재 어디에서 AI를 사용하고 있는가?
2. 전략적으로 중요하거나 영향이 큰 AI 도입 사례는 무엇인가?
3. 경영진은 어떤 성과·위험 지표를 이사회에 보고하는가?
4. 인간 검토가 의무인 영역과 자동화가 금지된 영역은 어디인가?
5. 영향을 받은 사람이 결정에 이의를 제기할 수 있으며, 회사는 시스템을 안전하게 일시 중지할 수 있는가?

이 가이드가 전하는 더 큰 교훈은 책임 있는 AI 거버넌스가 일회성 정책 문서로 끝나지 않는다는 점이다. 이사회는 전략을 감독할 만큼의 이해도, 투자 가치를 판단할 만큼의 근거, 편익보다 위험이 커질 때 제한을 둘 수 있는 권한을 모두 갖춰야 한다.