싱가포르 새 AI 이사회 가이드가 제시한 7가지 원칙…성과를 측정하고 최종 책임은 이사회가 져야

싱가포르이사협회(SID)는 정보통신미디어개발청(IMDA), 마이크로소프트, 오픈AI와 함께 116쪽 분량의 *싱가포르 이사회를 위한 AI 가이드(AI Guide for Boards in Singapore)*를 발간했습니다. 2026년 7월 31일 공개된 이 가이드는 이사회가 AI 전략, 가치 창출, 거버넌스, 디지털 복원력과 위험을 어떻게 감독해야 하는지 설명합니다.

가이드의 핵심 변화는 책임의 위치를 다시 정했다는 점입니다. AI는 더 이상 기술 부서가 구현하고 이사회에 보고하는 프로젝트에 그치지 않습니다. 이사는 AI가 어디에서 사업 가치를 만들 수 있는지 파악하고, 경영진의 가정과 성과 전망을 검증하며, 도입 과정이 책임 있고 회복 가능하게 운영되는지 확인해야 합니다.

첫 질문은 “AI로 무엇이 좋아지는가”여야 한다

AI 투자를 승인하기 전에 이사회가 먼저 물어야 할 것은 어떤 모델을 쓸지, 몇 개의 파일럿을 진행할지가 아닙니다. 핵심은 AI가 조직의 어떤 결과를 개선할 것인지입니다.

가이드가 제시하는 사업 성과의 예로는 매출, 생산성, 서비스 품질, 의사결정의 질, 위험 감소, 운영 복원력 등이 있습니다. 투자 승인 시점에 목표 결과를 구체적으로 정의하고, 도입 후 실제로 그 결과가 달성됐는지 측정해야 한다는 의미입니다.

반대로 파일럿을 몇 건 시작했는지, 소프트웨어 라이선스를 몇 개 구매했는지, 직원이 몇 명 교육을 받았는지는 활동량을 보여줄 뿐 실제 가치를 입증하지 못합니다. 이사회는 경영진에게 활용률과 함께 실현된 성과, 비용, 한계, 잔여 위험까지 보고하도록 요구해야 합니다.

이런 방식은 두 가지 실패를 동시에 막는 데 도움이 됩니다. 하나는 확장 계획 없이 서로 따로 노는 실험에 예산을 계속 투입하는 것이고, 다른 하나는 성공 기준이 정의되지 않았다는 이유로 유용한 도입까지 가로막는 것입니다. 가이드는 AI 지출을 조직의 broader priorities와 연결하기 위해 전략, 활용 사례 선정, 투자수익 측정을 함께 다룹니다.

직원들의 AI 실험을 거버넌스 안으로 가져와야 한다

직원들이 이미 생성형 AI 도구를 사용하거나 자체 업무 흐름을 만들고 있을 가능성은 큽니다. 가이드가 권하는 대응은 이를 외면하거나 일괄적으로 억제하는 것이 아닙니다. 유용한 실험을 조직이 관리할 수 있는 역량으로 전환하는 것입니다.

이사회는 경영진이 조직 내에서 어떤 도구와 활용 사례가 사용되는지, 책임자는 누구인지, 어떤 데이터를 다루는지, 어떤 통제가 적용되는지 파악하도록 해야 합니다. AI로 만들어진 도구를 기록하고, 그 사용에 대한 거버넌스를 세우며, 안전 요건을 충족하도록 하는 것도 가이드가 제시한 주요 고려 사항입니다.

실무적으로는 승인된 도구의 범위, 민감 정보 취급, 책임 소재, 모니터링, 문제 발생 시 보고·중단 절차를 담은 조직 차원의 규칙이 필요합니다. 동시에 직원들이 이미 갖고 있는 AI 활용 능력을 발굴하고 발전시키는 접근도 요구됩니다. 기술을 위에서 일방적으로 내려보내는 방식만으로는 실험을 안정적인 실행으로 확장하기 어렵습니다. 기술 역량 계획, 소유권 구조, 운영 규율이 함께 있어야 합니다.

이사회 전체가 경영진을 검증할 만큼은 알아야 한다

가이드는 AI 리터러시를 이사회의 핵심 역량으로 봅니다. 모든 이사가 머신러닝 엔지니어가 될 필요는 없지만, 이사회 전체가 AI가 산업 구조, 운영 모델, 경쟁 구도, 의사결정과 위험에 어떤 영향을 미치는지 이해해야 합니다.

특히 여러 이사가 경영진의 전제, 가치 창출 전망, 위험 평가에 질문을 던질 수 있어야 합니다. 시스템, 데이터, 테스트, 통제에 관한 기술적 선택을 검토할 수 있도록 이사·자문역·위원 중 적어도 한 명은 충분한 전문성을 갖춰야 합니다.

이는 AI를 기술위원회에 맡기고 정기 보고만 받는 것과는 다릅니다. AI를 이사회의 전략적 감독과 선관주의 의무에 포함하되, 이사회 전문성을 넘어서는 기술 문제에는 외부 전문가나 자문역의 도움을 받는 구조입니다.

시스템 도입 전에 의사결정 권한부터 정해야 한다

AI 거버넌스가 실제로 작동하려면 누가 시스템을 승인하고, 운영하고, 모니터링하며, 필요할 때 중단할 수 있는지 정해져 있어야 합니다. 이사회는 위험 수준에 따라 다음과 같은 의사결정 경계를 요구할 수 있습니다.

• 경영진이 승인된 한도 안에서 결정할 수 있는 사안
• 이사회나 위원회에 보고·승인 요청해야 하는 사안
• AI가 자율적으로 결정해서는 안 되는 사안

실패의 결과가 클수록 통제도 강해져야 합니다. 채용, 승진, 해고, 성과평가처럼 고용에 직접 영향을 미치는 AI 활용에는 인간의 실질적인 검토와 책임 있는 의사결정자를 두는 명확한 ‘하드 레드라인’이 필요합니다. AI의 출력이 사람의 생계에 관한 결정을 아무런 검증 없이 자동 확정하는 일이 있어서는 안 된다는 뜻입니다.

AI는 인간의 판단을 보조해야지, 그 판단을 조용히 대체해서는 안 된다는 원칙입니다. 시스템이 가동되기 전에 소유자, 승인 기준, 인간이 개입하는 지점, 중단 절차가 명확해야 합니다.

공정성·데이터 품질·이의 제기 가능성을 검증해야 한다

책임 있는 승인 절차는 모델의 평균 성능만 확인하는 데서 끝나지 않습니다. 이사회는 조직이 데이터 품질을 어떻게 점검하는지, 한계와 잠재적 편향을 어떻게 기록하는지, 도입 후 성능을 어떻게 모니터링하는지 물어야 합니다.

AI가 사람에게 중대한 영향을 미치는 경우에는 당사자가 결정의 내용을 이해하고, 결과에 이의를 제기하며, 인간의 재검토를 요청할 수 있는 실질적인 통로가 필요합니다. 설명이 반드시 독점적인 기술 세부사항을 모두 공개해야 한다는 뜻은 아닙니다. 다만 책임 있는 검토와 이의 제기가 가능할 정도로 충분해야 합니다.

싱가포르의 기업 거버넌스 자료 역시 투명하고 책임 있는 AI 의사결정과 규제·윤리 기준에 대한 관심을 강조합니다. 이사회의 역할은 이러한 원칙을 담당자와 증거가 있는 문서화된 절차로 바꾸는 것입니다.

AI를 사이버 보안과 운영 복원력의 문제로 다뤄야 한다

AI는 보안 측면에서 양면적인 위험을 만듭니다. 조직은 AI를 활용한 피싱, 사회공학, 사기, 자동화 공격, 취약점 탐색에 대비해야 합니다. 동시에 AI 시스템 자체도 데이터 유출, 프롬프트 인젝션, 모델 조작, 공급업체와 제3자 위험으로부터 보호해야 합니다.

따라서 AI 위험은 별도의 기술 보고서에 가둬둘 것이 아니라 사이버 복원력 보고, 보증 업무, 사고 대응 계획에 포함해야 합니다. 이사회가 확인해야 할 질문은 다음과 같습니다.

• 누가 문제가 발생한 AI 시스템을 중단할 수 있는가?
• 사고는 누구에게, 어떤 기준으로 보고되는가?
• 영향을 받은 데이터와 의사결정은 어떻게 조사하는가?
• AI 서비스가 중단되거나 침해됐을 때 어떻게 복구하는가?

이는 기존의 사이버 복원력과 위험 관리에 관한 이사회 역할을 AI 환경으로 확장한 것입니다. SID의 사이버 가이드도 복원력을 순수한 기술 과제가 아니라 기업 전략에 내재화해야 할 사안으로 설명합니다.

핵심 서비스와 고위험 시스템에는 더 높은 기준을 적용해야 한다

AI 실패의 결과는 활용 사례에 따라 크게 달라집니다. 내부 생산성을 높이는 저위험 도구와 필수 서비스나 핵심 인프라를 지원하는 시스템에 같은 수준의 감독을 적용할 수는 없습니다.

핵심 인프라나 기타 영향이 큰 환경에서는 복원력, 보안, 테스트, 모니터링, 보고·상향 체계, 복구에 대해 더 엄격한 요구사항을 적용해야 합니다. 시스템이 실패하거나 침해되면 기업의 재무 손실과 평판 훼손을 넘어 중요한 서비스가 중단되거나 더 넓은 운영상 문제가 발생할 수 있기 때문입니다.

가이드의 위험 기반 접근법은 모든 AI 애플리케이션을 똑같이 취급하지 않습니다. 대신 실패했을 때 가능한 영향에 맞춰 권한과 통제 수준을 정하도록 요구합니다.

이사회가 바로 활용할 수 있는 AI 대시보드

가이드의 권고는 이사회용 AI 등록대장이나 대시보드로 구체화할 수 있습니다. 중요도가 높은 각 활용 사례에 대해 경영진은 다음 항목을 제시할 수 있어야 합니다.

1. 책임자: 시스템과 그 결과에 책임지는 사람
2. 목표 사업 성과: 성공 여부를 측정하는 방법 포함
3. 의사결정 권한: 승인 범위와 상향 보고 기준
4. 데이터 출처와 취급 규칙
5. 위험 등급: 해당 등급을 부여한 근거
6. 통제 항목: 보안, 공정성, 데이터 품질 점검 포함
7. 인간 감독 지점: 최종 결정에 책임지는 사람
8. 테스트·모니터링 결과: 확인된 한계 포함
9. 사고·불만·이의 제기와 처리 결과
10. 다음 검토일 또는 재평가를 촉발하는 조건

이 구조를 사용하면 가치 창출과 위험 관리를 하나의 기록 안에서 함께 관리할 수 있습니다. ‘책임 있게 AI를 사용하고 있다’는 포괄적인 설명 대신, 이사가 직접 검토하고 질문할 수 있는 근거가 생기는 것입니다.

기업 이사가 지금 해야 할 일

SID의 가이드는 AI 도입과 AI 거버넌스를 서로 반대되는 선택지로 보지 않습니다. 다른 중요한 전략적 투자와 마찬가지로 AI에도 목표 가치를 정의하고, 책임자를 지정하고, 위험을 파악하고, 통제를 시험하고, 결과를 재검토하는 경영 규율을 적용하라고 요구합니다.

이사회의 즉각적인 과제는 AI를 정기 안건으로 올리고, 조직의 중요 AI 활용 사례를 전수 점검하는 것입니다. 그 과정에서 이사회와 조직의 AI 리터러시, 책임과 소유권, 의사결정 권한, 인간 감독, 테스트, 사이버·운영 복원력에 공백이 있는지 확인해야 합니다.

가장 강한 AI 전략은 활동량이 가장 많은 전략이 아닙니다. 이사회가 그 전략의 가치와 위험을 설명하고, 성과를 측정하며, 책임 있게 통제할 수 있는 전략입니다.