거버넌스
누가·무엇·책임

거버넌스가 답하는 네 질문

모델을 깔고 RAG를 붙이고 보안을 잠가도, 매일 누가 무엇에 쓸지는 아직 정해지지 않았다.

거버넌스는 그 빈칸을 채우는 규칙이다. 네 가지만 답하면 된다.
누가 쓰는가, 무엇에 쓰는가,어떻게 쓰는가, 문제가 나면 누가 책임지는가.

보안(11강)이 “데이터가 새지 않게”라면, 거버넌스는 “쓰긴 쓰되 규칙 안에서”다.
기술 통제가 아니라 사람과 용도에 대한 정책이다. 그래서 IT만의 일이 아니라 법무, 보안, 현업이 같이 만든다.

정책과 승인, 허용·금지·모델 목록

정책은 세 가지를 적어둔 문서다. 허용 용도, 금지 사항, 쓸 수 있는 모델 목록.

허용 용도는 “공개 자료 초안, 사내 문서 요약”처럼 괜찮은 일이다.
금지 사항은 “고객 개인정보나 미공개 실적을 외부 모델에 입력”처럼 막는 일이다.

모델 승인은 검토를 통과한 모델만 사내에서 쓰게 하는 목록이다.
데이터 처리 약관, 리전, 보안 검토를 통과한 모델만 올라간다. 목록 밖 모델은 그 자체로 거부 사유가 된다.

민감 데이터는 보통 “무조건 금지”가 아니라 “조건부 허용”이다.
마스킹 후나 승인자 결재 후처럼 단서를 달아 길을 열어둔다. 그래야 현업이 우회로로 도망치지 않는다.

거버넌스 흐름 직접 돌려보기

오른쪽에서 사용 요청을 하나 골라 정책을 통과시켜 보자.
요청에서 검토를 거쳐 판정과 로그까지 그대로 한 줄씩 흐른다.

검토는 세 칸을 본다. 누가 요청했는가, 어떤 모델을 쓰는가, 어떤 데이터를 다루는가.
미승인 모델이면 바로 거부, 민감 데이터면 조건부, 그 외엔 승인이 뜬다.

기록을 누르면 결과가 감사 로그에 쌓인다.
판정 자체보다 “모든 요청이 로그로 남는다”가 핵심이다. 나중에 누가 무엇을 어떻게 썼는지 되짚을 수 있어야 한다.

감사·로그, 책임을 추적 가능하게

로그가 없으면 거버넌스는 종이 위 약속에 그친다. 지켜졌는지 확인할 길이 없다.

그래서 사용 로그를 남긴다. 한 줄에 누가, 언제, 어떤 모델로, 무엇을 입력해, 어떤 답을 받았는지를 기록한다.
이게 있어야 사고가 나도 “3월 2일 14시, 영업팀 김OO가 이 프롬프트를 넣었다”까지 짚어낸다.

로그는 세 가지 일을 한다.
책임 추적은 누가 했는지를 보고, 사고 대응은 무엇이 샜는지를 보고,개선은 어디서 오남용이 도는지를 본다.

단, 로그 자체가 프롬프트와 답변을 담아 또 다른 민감 저장소가 된다.
그래서 로그도 접근 통제와 보존 기간, 마스킹을 같이 정해야 한다. 감사하려고 만든 게 새 구멍이 되면 안 된다.

규제 대응, 정책을 법에 묶기

거버넌스를 굳이 문서로 못박는 진짜 이유 중 하나는 규제다.

개인정보보호법은 개인정보를 외부 모델에 넘길 때 근거와 동의, 처리 기록을 요구한다.
EU AI Act는 채용이나 평가 같은 고위험 용도에 사람의 검토와 기록 의무를 둔다.
금융과 의료는 데이터 리전과 보존 기간까지 따로 규정이 있다.

이 요구들은 사실 앞서 만든 거버넌스 항목과 그대로 맞물린다.
승인 모델 목록은 검증된 처리자가 되고, 사용 로그는 처리 기록이 되며, 조건부 승인은 사람의 검토가 된다.
거버넌스를 제대로 세워두면 규제 대응은 “이미 하는 걸 증빙하는 일”이 된다.