‘쓸까 말까’는 끝났다 — 승부는 ‘어떻게 관리하느냐’로 넘어갔다
2024~2025년의 질문이 “AI를 도입할 것인가”였다면, 2026년 상반기의 현장 신호는 결이 다르다. HR 담당자 10명 중 8명이 이미 업무에 AI를 쓴다는 조사가 나올 만큼 도입 자체는 논쟁거리에서 내려왔다. 그런데 같은 시기 금융권은 망분리 규제를 풀며 보안 체계를 다시 짜고, 공기업은 일부 인력이 아니라 전 직원을 교육 대상에 올리며, 일부 학교는 AI 사용 ‘기록’을 내지 않으면 수행평가를 0점 처리하는 규정을 꺼냈다. 서로 무관해 보이는 이 네 장면의 공통 축은 하나다. 관심의 무게가 ‘어떤 도구를 살까’에서 ‘이미 쓰고 있는 걸 어떻게 통제할까’로 옮겨갔다는 것.
이 이동이 중요한 이유는 조직이 지는 부담의 성격이 바뀌기 때문이다. 도구 도입은 계약서 서명과 계정 세팅으로 끝나는 ‘프로젝트’다. 반면 사용 관리는 매일 오가는 데이터, 사고 시 책임 소재, 사람마다 벌어지는 역량 격차를 상시로 다뤄야 하는 ‘운영’이다. 프로젝트는 예산과 일정으로 관리되지만 운영은 규칙과 습관으로 관리된다. 아래에서는 금융 보안·HR 활용·공공 교육·사용 기록이라는 네 갈래를 한 줄기로 엮어, 지금 당장 확인할 기준과 빠지기 쉬운 함정을 짚는다.
망분리 완화가 진짜 던진 질문: 벽이 사라지면 통제는 누가 하나
금융권 ‘망분리 완화’는 그동안 내부 업무망과 외부 인터넷망을 물리적으로 끊어 두던 규제를 풀어, 클라우드 기반 생성형 AI 같은 외부 서비스를 업무 환경에서 쓸 길을 여는 흐름이다. 여기서 오해하기 쉬운 지점이 있다. ‘규제가 풀렸으니 안전해졌다’가 아니라, 그동안 물리적 벽이 대신 막아 주던 통제를 이제 조직이 직접 설계해야 한다는 뜻이라는 점이다. 관련 보도에서 “준비 안 하면 직무유기”라는 강한 표현까지 나온 배경이 여기 있다. 규제 완화는 곧 증명 책임의 이전이다 — 위험이 없어진 게 아니라, 안전하다는 걸 스스로 증명할 의무가 회사로 넘어왔다.
실무에서 확인할 체크포인트는 세 가지로 압축된다. 첫째는 데이터 등급 분류다. 고객 식별정보·계좌·거래내역처럼 외부 전송을 원천 차단할 ‘금지’ 등급과, 사내 공지·일반 보고서처럼 활용 가능한 ‘허용’ 등급을 미리 나눠 두지 않으면, 어떤 프롬프트가 위험한지 현장에서 판단할 근거 자체가 없다. 등급표가 없으면 결국 직원 개개인의 눈치에 보안을 맡기는 셈이다. 둘째는 로그와 감사 추적이다. 누가·언제·어떤 데이터를 어떤 AI에 입력했는지 남지 않으면, 유출 사고가 터져도 원인을 되짚을 수 없고 재발 방지책도 세울 수 없다. 셋째는 계약상 학습 배제 조항이다. 입력한 데이터가 모델 재학습에 쓰이지 않는지, 보관 기간과 삭제 절차는 어떤지 계약서 문구로 확인해야 한다. 특히 무료·개인용 요금제는 입력 데이터를 학습에 쓰는 경우가 많아 업무 반입 자체가 위험하다. 가장 흔한 착각은 “사내에서만 쓰니 괜찮다”는 인식인데, 외부 API로 한 글자라도 나가는 순간 ‘사내 여부’는 아무 의미가 없다.
HR 80% 활용의 이면: 효율이 오르는 일과, 판단을 넘기면 안 되는 일
HR 담당자의 약 80%가 AI를 활용한다는 조사는 도입률만 보면 압도적이다. 하지만 같은 조사에서 보안 우려와 고용 불안이 나란히 언급됐다는 점이 오히려 핵심이다. HR은 이력서·인사평가·급여처럼 조직에서 가장 민감한 개인정보가 모이는 직무다. 채용 서류 요약, 면접 질문 초안, 사내 공지 작성처럼 ‘초안을 빨리 뽑는’ 일에는 AI가 빠르게 파고들지만, 지원자의 실명 이력서를 외부 AI 창에 그대로 붙여 넣는 순간 개인정보보호법 위반 소지가 생긴다. 편의와 위험이 같은 동작에 붙어 있다는 게 HR의 딜레마다.
그래서 필요한 건 ‘AI를 쓴다/안 쓴다’의 이분법이 아니라, 업무를 두 갈래로 가르는 감각이다. 한쪽은 결과를 사람이 반드시 검수하는 보조 업무 — 문서 초안, 회의록 정리, 지원서 1차 분류 — 로, 효율 이득이 명확하고 실수의 대가도 작다. 다른 한쪽은 채용 탈락, 평가 등급, 해고처럼 사람의 삶에 직접 영향을 주는 최종 결정이다. 이 영역을 AI 점수에 위임하면 차별·편향이 발생했을 때 책임은 고스란히 회사에 남고, ‘알고리즘이 그랬다’는 변명은 법적으로도 통하지 않는다. 고용 불안도 이 경계와 연결된다. AI가 걷어가는 건 직무 전체가 아니라 그 안의 반복 작업 단위다. 그래서 실무자에게 현실적인 해석은 ‘내 일이 사라진다’가 아니라 ‘내 일에서 초안 생산 비중은 줄고 검수·판단·예외처리 비중이 커진다’는 쪽이다. 최소 안전선은 두 가지로 정리된다. 민감정보는 이름·주민번호·연락처를 가명 처리한 뒤 입력할 것, 그리고 사람에게 영향을 주는 결정에는 반드시 사람이 최종 확인하는 단계를 문서로 남길 것.
공기업의 ‘전 직원’ 교육이 말하는 것: 진짜 병목은 도구가 아니라 격차다
경기교통공사가 소수 담당자가 아니라 전 직원을 대상으로 AI·데이터 분석 교육에 나선 사례는, 조직이 마주한 두 번째 병목을 드러낸다. 도구는 계약하면 다음 날 쓸 수 있지만 사람은 하루아침에 준비되지 않는다는 점이다. ‘전 직원’이라는 대목이 특히 중요하다. 잘 쓰는 소수만 교육하면 조직 안에서 능숙하게 활용하는 사람과 아예 손도 못 대는 사람 사이의 격차가 벌어지는데, 이 격차 자체가 두 방향의 사고로 이어진다. 못 쓰는 쪽은 검증 없이 결과를 그대로 붙여 품질을 떨어뜨리고, 무리해서 쓰는 쪽은 넣으면 안 될 데이터를 넣어 보안 구멍을 만든다.
다만 ‘교육을 했다’가 ‘성과가 났다’로 자동 연결되진 않는다. 여기 흔한 함정이 있다 — 툴 사용법을 한 차례 강의하고 끝내면 현업 적용률이 뚝 떨어진다는 것이다. 실효성 있는 교육은 대상을 세 층으로 나눈다. (1) 전 직원 공통: 무엇을 입력하면 안 되는지, 그럴듯해 보이는 답을 왜 반드시 검증해야 하는지 같은 안전·리터러시. (2) 직무별: 각 부서의 실제 업무 흐름에 붙인 프롬프트와 워크플로 — 재무팀과 홍보팀에 같은 예제를 주면 둘 다 안 쓴다. (3) 관리자: 어디까지 AI에 맡기고 어디서 사람이 책임질지 정하는 판단 기준. 그리고 성과를 볼 지표를 ‘몇 명이 수강했나’가 아니라 ‘교육 뒤 해당 업무의 처리 시간이 줄었는가, 재작업·반려가 줄었는가’로 잡아야 한다. 교육을 일회성 이벤트가 아니라 업무 프로세스 개편의 한 단계로 설계할 때 비로소 투입한 시간이 회수된다.
학교의 ‘AI 사용 기록 의무화’는 직장의 예고편이다
일부 학교가 챗GPT(ChatGPT) 등 AI 활용 기록을 제출하지 않으면 수행평가를 0점 처리한다는 규정은, 교육 현장의 해프닝처럼 보이지만 실은 조직 전반에 닥칠 변화의 예고편이다. 무게 중심이 ‘완성된 결과물만 본다’에서 ‘과정과 출처까지 본다’로 옮겨가는 신호이기 때문이다. 오해하기 쉬운 지점을 먼저 짚자면, 이 규정의 취지는 AI 사용 금지가 아니라 ‘투명한 사용’이다. 무엇을 AI로 처리했고 무엇을 스스로 판단했는지를 드러내라는 요구이지, 쓰지 말라는 통제가 아니다. 방향은 오히려 정반대에 가깝다 — 사용을 막는 게 아니라, 사용을 공개하되 검증 책임을 명확히 하는 쪽이다.
같은 논리가 직장에도 스며든다. 앞으로 보고서나 코드는 ‘결과물이 좋은가’만으로 평가되지 않는다. AI가 생성한 부분을 사람이 어떻게 검증했는가가 신뢰와 책임의 근거가 된다. 실무자가 지금부터 들여도 좋을 습관은 구체적으로 두 가지다. 첫째, AI가 만든 초안 버전과 사람이 최종 확정한 버전을 파일이나 이력으로 구분해 남기는 것. 나중에 오류가 나왔을 때 어느 단계에서 끼어들었는지 되짚을 수 있어야 한다. 둘째, 사실·수치·인용은 반드시 원출처로 재확인하고 그 확인 과정을 기록으로 남기는 것 — 생성형 AI는 그럴듯한 거짓(할루시네이션)을 자연스럽게 섞기 때문에, ‘검증했다’는 흔적 자체가 책임 방어의 근거가 된다. 6개월~2년 관점에서 조직이 준비할 것도 명확하다. AI 사용 가이드라인, 기록·검증 절차, 그리고 ‘문제가 생기면 누가 최종 책임을 지는가’를 못 박아 두는 거버넌스다. 도구 경쟁은 사실상 끝났고, 남은 승부는 그 도구를 어떻게 관리하느냐에서 갈린다.
자주 묻는 질문
금융권 망분리 규제가 완화되면 이제 어떤 AI든 업무에 써도 되나요?
아닙니다. 완화의 뜻은 ‘외부 AI 서비스로 가는 길을 연다’이지 ‘안전이 보장된다’가 아닙니다. 물리적 벽이 대신하던 통제를 이제 회사가 직접 만들어야 하며, 최소한 데이터 등급 분류(금지/허용), 입력 로그 감사, 계약상 학습 배제·삭제 조항 확인이 갖춰져야 합니다. 특히 고객 식별정보·거래정보를 외부 AI에 넣는 것은 규제와 무관하게 여전히 위험하고, 무료·개인용 요금제는 입력값을 학습에 쓰는 경우가 많아 업무 반입 자체를 피해야 합니다.
HR에서 AI를 쓸 때 가장 조심해야 할 부분은 무엇인가요?
두 가지로 압축됩니다. 첫째, 이력서·평가·급여 같은 개인정보를 이름·주민번호·연락처 가명 처리 없이 외부 AI에 그대로 입력하지 않는 것. 둘째, 채용 탈락·평가 등급·해고처럼 사람에게 직접 영향을 주는 최종 결정을 AI 점수에 위임하지 않는 것입니다. 문서 초안이나 1차 분류 같은 보조 업무는 효율 이득이 크지만, 결과는 사람이 검수하고 최종 판단 단계는 문서로 남겨야 차별·편향 책임을 방어할 수 있습니다.
AI 교육을 받았는데도 실제 업무 성과가 안 오르는 이유는 무엇인가요?
툴 사용법을 한 번 강의하고 끝내는 경우가 많기 때문입니다. 효과를 내려면 대상을 전 직원 공통(안전·리터러시), 직무별(각 부서 실제 워크플로), 관리자(책임·판단 기준) 세 층으로 나눠야 합니다. 또 성과 지표를 ‘수강 인원’이 아니라 ‘해당 업무 처리 시간 단축’과 ‘재작업·반려 감소’로 잡고, 교육을 일회성 이벤트가 아니라 업무 프로세스 개편의 한 단계로 설계해야 합니다.
학교의 AI 사용 기록 의무화가 직장인과도 관련이 있나요?
네. 평가의 무게 중심이 ‘결과물만 본다’에서 ‘과정과 출처까지 본다’로 옮겨가는 신호이고, 같은 흐름이 직장에도 옵니다. 앞으로는 AI가 생성한 부분을 사람이 어떻게 검증했는지가 신뢰의 근거가 됩니다. 지금부터 AI 초안 버전과 최종 확정본을 구분해 남기고, 사실·수치·인용은 원출처로 재확인해 그 과정을 기록으로 남기는 습관을 들이면 대비가 됩니다. 생성형 AI가 그럴듯한 오류를 섞는 특성상, ‘검증했다’는 흔적 자체가 책임 방어 수단이 되기 때문입니다.