AI 경영시스템 운영 안내
AI 경영시스템 운영(ISO/IEC 42001) — AI 를 업무에 쓰는 조직의 AI 경영시스템을 10단계로 운영합니다
ISO/IEC 42001 추진의 실제 차례대로 단계마다 AI가 초안을 씁니다: 계획(AI 상황분석 → 업무·프로젝트·부문별 AI 선정 → AI 시스템 인벤토리 → AI 리스크평가 → AI 시스템 영향평가) → 실행(통제 도입·적용명세서 → 검증·사용 승인 → 사용 중 모니터링·변경·개정관리) → 평가·개선(내부심사·준수평가 → 경영검토·개선). 평가 기준(업무 선정 6축, 사용범위 LEVEL, 우도×심각도 1~25, 영향평가 7개 영역, 인간 감독)은 모든 단계에 같은 뜻으로 씁니다.
이 플랫폼은 경영시스템 운영의 한 갈래입니다 — ISO/IEC 42001 의 공통 운영(조직상황 ~ 부적합·시정조치)은 경영시스템 운영 19단계로, AI 시스템마다 하는 일은 아래 10단계로 합니다. 처음 구축(매뉴얼·절차서)은 경영시스템 문서작성에서 합니다.
적용범위 — 개발 · 공급 · 사용: AI 경영시스템의 적용범위는 크게 개발, 공급, 사용으로 나뉩니다. 아래 운용하기에서 운영 단계보다 먼저 고르시면(여럿 가능) 고른 범위가 10단계 전부에 적용됩니다 — 적용범위 선언(4.3), AI 인벤토리, 중점 리스크, 부속서 A 통제, 승인 대상, 모니터링·변경·개정관리, 내부심사가 모두 고른 역할에 맞춰집니다. 단계 쪽마다 "적용범위별로 이 단계에서 할 일" 표가 있습니다.
| 개발 | 공급 | 사용 |
|---|---|---|
| AI 시스템·모델을 설계·개발·학습·시험(자체 개발, 고객 의뢰 개발) | AI 제품·서비스를 고객에게 제공(자체 개발품 판매, 외부 AI 를 통합·재판매) | 외부·자체 AI 를 업무·프로젝트에 사용(생성형 AI·비전 검사·예측 모델 등) |
AI 관리의 한 바퀴 — 업무·프로젝트·부문마다: 필요한 AI 선정(2단계) → 리스크평가(4단계, 고위험이면 5단계 영향평가) → 통제(SoA·인간 감독, 6단계) → 사용 승인(7단계 — 승인 전에는 쓰지 않음) → 사용 중 모니터링 → 변경관리(모델·지시문·데이터·공급자를 바꾸기 전에 영향 검토·재검증·승인) → 개정관리(인벤토리·리스크평가표·SoA·지침·모델의 버전과 개정 이력)(8단계). 재평가 계기(변경·인시던트·법령)가 생기면 4단계로 되돌아갑니다.
이용 금액 — 플랫폼 이용권 30만원(부가세 별도): 10단계를 모두, 기간 없이 씁니다(하루 AI 작성 횟수 안에서). 미리 결제하지 않습니다 — "AI로 작성"을 누르면 비용을 안내하고, 동의하시면 그 자리에서 결제한 뒤 이어서 작성합니다.
업무분장 — 계획은 eiso, 기초 데이터는 귀사 컴퓨터, 종합 분석은 eiso
| eiso — 계획(Plan) | 귀사 컴퓨터 — 실제 업무와 기초 데이터 | eiso — 정보 가공·분석·종합 |
|---|---|---|
| 단계별 계획·기준, 서식·문서 변경안(AI 시스템 인벤토리·리스크평가표·적용명세서·지침), 표·체크리스트 초안을 만듭니다. | 바뀐 서식으로 실제 업무를 하며 기초 데이터(AI 목록·평가 결과·시험 기록·모니터링 로그·인시던트 보고서)를 귀사 컴퓨터(또는 사내 서버)에 쌓습니다. 따로 집계·분석하지 않아도 됩니다. | 운영할 때 그 단계의 폴더·파일을 지정하면 브라우저 안에서만 읽어(저장하지 않음, AI 학습에 쓰이지 않음) eiso 가 가공·분석·종합하고 계획·서식을 고칩니다. |
권장 폴더 구조 — 단계마다 귀사 컴퓨터에서 하는 일과 eiso 에 지정할 기초 데이터 — 펼쳐 보기
| 단계 | 권장 폴더 | 귀사 컴퓨터에서 하는 일(기초 데이터) | 운영 때 지정할 자료(eiso 가 분석) |
|---|---|---|---|
| 1 | AI경영시스템\01_AI 상황분석 | 사업계획·AI 도입 계획 정리, 고객 요구·계약 조건 모으기 | 사업계획서, AI 도입 계획, 조직도, 고객 요구·계약서의 AI 조항, 기존 ISO 문서 |
| 2 | AI경영시스템\02_AI 선정 | 업무·프로젝트·부문마다 AI 를 쓰고 싶은 일과 지금의 병목 모으기 | 업무분장표·프로젝트 목록, 정보 등급 분류 기준, 부문별 AI 활용 요청 |
| 3 | AI경영시스템\03_AI 시스템 인벤토리 | 쓰는 AI 서비스·구독·자체 모델을 빠짐없이 등록하고 바뀌면 고치기 | AI 서비스·구독 목록, 시스템 구성도·데이터 흐름, 이전 인벤토리 |
| 4 | AI경영시스템\04_AI 리스크평가 | 리스크 처리 조치를 실행하고 오류·사건을 기록하기 | 이전 리스크평가표, 오류·인시던트 기록, 시험 결과, 공급자 정보 |
| 5 | AI경영시스템\05_AI 영향평가 | 완화 조치를 실행하고 편향·성능 시험을 하기 | 리스크평가 결과, 편향·성능 시험 결과, 개인정보 영향평가 자료, 이해관계자 의견 |
| 6 | AI경영시스템\06_통제·SoA | 통제를 사내 지침·절차에 반영하고 실행 기록 남기기 | 현행 적용명세서, 사내 AI 지침, 계약서의 AI 조항, 법규 목록, 직무별 역량 기준 |
| 7 | AI경영시스템\07_검증·사용 승인 | 시험·검증을 하고 사용 승인·데이터셋 기록 남기기 | 시험·검증 기록, 사용 승인 기록, 데이터셋 목록·출처 자료 |
| 8 | AI경영시스템\08_모니터링·변경·개정 | 지표를 재고 로그를 모으며, 변경 요청·개정 이력·인시던트·교육을 기록하기 | 모니터링 로그·지표 값, 변경 요청·승인, 개정 이력, 인시던트 보고서, 교육 이수 기록 |
| 9 | AI경영시스템\09_내부심사·준수평가 | 심사를 실시하고 체크리스트 결과·증거를 기록하기 | 심사 기록·체크리스트 결과, 이전 시정조치, 법규 준수 확인 자료 |
| 10 | AI경영시스템\10_경영검토·개선 | 경영검토 회의를 열고 결정·시정조치를 실행하기 | 각 단계 결과 요약, 이전 경영검토 회의록, 부적합·시정조치 기록 |
운영 단계
열 단계는 서로 이어져 있습니다 — 앞 단계의 결과가 다음 단계의 입력이 됩니다(예: AI 시스템 인벤토리 → 리스크평가, 13점 이상 고위험 → 영향평가 → 적용명세서). 지금 진행할 단계를 골라 누르세요. 단계는 하나만 따로 써도 되고, 처음이면 1 AI 상황분석부터 차례로 하세요. 2개 이상 쓰면 이 브라우저에 보관한 결과를 다른 단계가 이어받습니다.
- 1AI 상황분석4.1~4.4처음 시작하는 단계이 단계 선택 ›
- 2AI 선정4.1·6.1·8.1← ① 결과를 이어받음이 단계 선택 ›
- 3AI 시스템 인벤토리4.3·A.4·A.6← ② · ① 결과를 이어받음이 단계 선택 ›
- 4AI 리스크평가6.1.2·6.1.3·8.2·8.3← ③ · ① 결과를 이어받음이 단계 선택 ›
- 5AI 시스템 영향평가6.1.4·8.4·A.5← ④ · ③ 결과를 이어받음이 단계 선택 ›
- 6통제 도입·적용명세서(SoA)6.1.3·부속서 A·B← ④ · ⑤ · ① 결과를 이어받음이 단계 선택 ›
- 7검증·사용 승인8.1·A.6·A.7← ③ · ④ · ⑥ 결과를 이어받음이 단계 선택 ›
- 8모니터링·변경·개정관리9.1·7.5·A.6·A.8·A.9← ④ · ⑥ · ⑦ 결과를 이어받음이 단계 선택 ›
- 9내부심사·준수평가9.1·9.2← ⑥ · ④ · ⑧ 결과를 이어받음이 단계 선택 ›
- 10경영검토·개선9.3·10.1·10.2← ① · ④ · ⑧ · ⑨ 결과를 이어받음이 단계 선택 ›
단계별 하는 일과 결과물 — 펼쳐 보기
| 단계 | 조항 | 하는 일 | 결과물(예) |
|---|---|---|---|
| 1 AI 상황분석 | 4.1~4.4 | 조직이 개발·제공·사용하는 AI 의 목적과 AI 역할을 정하고, 이해관계자(AI 대상자 포함)의 니즈·기대, 외부 이슈(PESTEL)·내부 이슈, SWOT·교차전략을 분석해 리스크·AI 목표·경영검토로 잇습니다. | 이해관계자 분석표 — 영향도×관심도 관리전략, AI 대상자는 따로 한 줄 PESTEL·내부 이슈·SWOT·교차전략(항목마다 출처 ID) 전략 실행계획과 리스크(6.1)·AI 목표(6.2)·경영검토(9.3) 연계표 |
| 2 AI 선정 | 4.1·6.1·8.1 | 업무·프로젝트·부문(부서)마다 필요한 AI 를 찾아, 반복빈도·판단난이도·오류비용·데이터 기밀등급·AI 영향·인적 감독 필요도 6축으로 평가해 도입 우선순위(P1 즉시 도입 · P2 AI 초안 + 지정 검토자 승인 · P3 영향평가 뒤까지 보류)를 정합니다. | 업무·프로젝트·부문별 필요한 AI 선정표 — 단위 / 업무 / 병목 / AI 후보 AI 적용 평가표 — 6축 · 우선순위 · 사용 도구(제품명) · 입력물 → 산출물 P1 업무의 90일 도입 로드맵, P3 업무의 영향평가 쟁점 |
| 3 AI 시스템 인벤토리 | 4.3·A.4·A.6 | 쓰는(쓰려는) AI 시스템을 목적·AI 역할·공급자·모델·입력 데이터·출력이 영향을 주는 대상·사용범위(LEVEL 1 개인 ~ 4 전사)와 함께 등록하고, 평가 유형(제외·약식·정식)과 적용범위를 정합니다. | AI 시스템 인벤토리 — 목적 / 역할 / 공급자·모델 / 데이터 / 영향 대상 / LEVEL / 평가 유형과 근거 / 상태 적용범위 판단 — 포함·제외와 근거 빠진 정보·확인할 것 |
| 4 AI 리스크평가 | 6.1.2·6.1.3·8.2·8.3 | 6개 카테고리(기술·데이터·윤리·사회·법규·사업·공급망·수명주기)로 리스크를 찾아 우도×심각도(1~25)로 평가하고, 7개 처리 옵션으로 처리 계획을 세워 조치 뒤 다시 평가합니다. 13점 이상(고위험)은 영향평가로 넘깁니다. | AI 리스크평가표(PFMEA 형식) — 기능 / 잠재 리스크 / 원천 / 현재 통제 / 우도 · 심각도 · 위험도 · 등급 리스크 처리계획 — 처리 옵션 / 근거 통제(부속서 A 영역) / 담당 · 기한 / 조치 후 재평가 종합 결론 — 최고 위험도 · 영향평가 착수 여부 · 배포 가능 여부 · 재평가 계기 |
| 5 AI 시스템 영향평가 | 6.1.4·8.4·A.5 | 고위험(13점 이상) AI 시스템이 개인·집단·사회에 미치는 영향을 안전성·공정성·투명성·개인정보·보안·인간 감독·사회·환경 7개 영역으로 평가하고, 승인·조건부 승인·보류와 배포 조건을 정합니다. | AI 시스템 영향평가서 — 7개 영역마다 상·중·하 / 근거 / 영향받는 사람·집단 / 완화 조치 종합 판정(승인·조건부 승인·보류)과 배포 게이트 조건 이해관계자 고지·의견 수렴 계획 |
| 6 통제 도입·적용명세서(SoA) | 6.1.3·부속서 A·B | 리스크 처리에서 고른 부속서 A 통제를 적용명세서(SoA)로 정당화하고, 인간 감독(검토·개입·무시 권한)과 법적 요구사항·준수의무, AI 시스템을 위한 자원·역량을 설계합니다. | 적용명세서(SoA) — 부속서 A 영역(A.2~A.10)별 적용·제외 이유 / 이행 방법 / 관련 문서·기록 인간 감독 설계표 — 감독 방식 / 무시 권한자 / 개입 시점 / 우려 보고 경로 법적 요구사항·준수의무 목록, 자원·역량(인식 교육 대상) 계획 |
| 7 검증·사용 승인 | 8.1·A.6·A.7 | 검토·검증·타당성 확인(V&V)으로 AI 가 요구사항과 의도한 용도에 맞는지 확인하고, 통제 이행을 확인한 뒤 등급별 승인권자가 사용을 승인합니다(승인 전에는 사용하지 않음, 고위험은 영향평가 완료 뒤). 수명주기 단계별 통제와 학습·운영 데이터셋 관리도 정합니다. | 사용 승인 기록 — 적용 업무·프로젝트·부문 / 위험도 / 영향평가 / 통제 이행 / V&V 결과 / 승인 조건·사용 제한 / 승인권자 / 다음 재평가 검토·검증·타당성 확인 계획과 배포 게이트 기준 수명주기 단계별 통제표와 학습·운영 데이터셋 등록부 |
| 8 모니터링·변경·개정관리 | 9.1·7.5·A.6·A.8·A.9 | 승인된 AI 를 쓰는 동안 중요 리스크를 지표·임계값으로 모니터링하고(성능 저하 포함), 모델·지시문·데이터·공급자·용도를 바꿀 때는 영향 검토·재검증·승인을 거치는 변경관리, 인벤토리·리스크평가표·SoA·지침·모델 버전의 개정관리, 인시던트 대응과 AI 인식 교육을 운영합니다. | 승인된 AI 사용 현황과 중요 리스크 모니터링표 — 지표 / 측정 방법·로그 / 주기 / 경보 기준 / 넘으면 할 조치 변경관리 기록과 개정관리 대장(버전·개정일·사유·재평가 필요·승인) 인시던트 대응 절차와 AI 인식 교육 계획 |
| 9 내부심사·준수평가 | 9.1·9.2 | 리스크평가 → SoA 통제 → 사내 지침 → 실제 운영 기록·로그로 이어지는지 추적 심사하고(고위험 시스템부터 표본), 부서별 체크리스트로 확인하며, 법적 요구사항의 준수를 평가합니다. | 내부심사 계획(범위·일정·심사원 — 독립성 확인) 추적 심사 경로와 부서별 체크리스트(문서·현장 관찰·인터뷰·시스템 시연·지난 시정조치) 준수평가표와 결과 요약 |
| 10 경영검토·개선 | 9.3·10.1·10.2 | 경영검토 입력(이슈 변화·AI 성과·리스크·영향평가·인시던트·심사 결과·이해관계자 의견)을 정리해 결정·자원을 끌어내고, 부적합의 근본 원인을 찾아 시정조치하며 리스크평가·영향평가·SoA 를 갱신합니다. | 경영검토 입력·출력(결정·자원·변경) 부적합·시정조치 — 즉시 조치 / 근본 원인 / 관련 통제 / 유효성 확인 리스크평가·영향평가·SoA 갱신 목록과 지속적 개선 과제 |
평가 방법(모든 단계 공통) — 펼쳐 보기
- 업무 선정 6축: 반복빈도 · 판단난이도 · 오류비용 · 데이터 기밀등급(A 공개 · B 사내 · C 고객·개인정보) · AI 영향 수준(채용·인사평가·안전·자격판정·신용판단은 늘 "높음") · 인적 감독 필요도 → P1 즉시 도입 · P2 AI 초안 + 지정 검토자 승인 · P3 보류.
- 사용범위 LEVEL: 1 개인 · 2 부서 · 3 사업장 · 4 전사 → 평가 유형 제외·약식·정식(외부 고객 노출, 개인정보 대량 처리나 사람에 대한 자동화 의사결정, LEVEL 3·4, 기간계 실데이터 연동이면 정식).
- 리스크 점수 = 우도(1~5) × 심각도(1~5, 사업 영향과 개인·사회 영향 중 높은 값): 1~6 저위험 · 7~12 중위험 · 13~19 고위험(영향평가 의무, 배포 보류) · 20~25 심각(즉시 완화·경영진 보고).
- 리스크 카테고리 6: 기술 · 데이터 · 윤리·사회 · 법규 · 사업·공급망 · 수명주기. 처리 옵션 7: 회피 · 기회 추구 · 원천 제거 · 우도 감소 · 결과 감소(사람 개입·이중 검수·대체 수단) · 전가·분산 · 수용.
- 영향평가 7개 영역: 안전성 · 공정성 · 투명성·설명가능성 · 개인정보 · 보안 · 인간 관리·감독 · 사회·환경 — 한 영역이라도 "상"이면 조건부 승인 또는 보류.
- 인간 감독: 사람이 AI 의 결정·출력을 검토하고 개입하며 무시(override)할 수 있는 실질적 권한 — 화면을 지켜보는 것만이 아닙니다.
AI 운영 단계 선정
먼저 적용범위(개발·공급·사용)를 고르고 운영 단계를 고른 뒤 AI 를 쓰는 업무·프로젝트와 AI 시스템을 적으면, ISO/IEC 42001 과 위 평가 방법에 따라 그 단계의 초안을 씁니다. 플랫폼 이용권 30만원(부가세 별도)으로 10단계를 모두 씁니다 — 미리 결제하지 않습니다. "AI로 작성"을 누르면 비용을 안내하고, 동의하시면 그 자리에서 결제한 뒤 이어서 작성합니다.
AI 작성 연결 전에는 "담당자에게 문의"로 남겨 주세요.입력하고 "AI로 작성"을 누르세요 — 결과물은 문서 완성도 점검(80점) 뒤에 나옵니다. 화면 결제(카드·간편결제)는 10월 22일에 열 예정이며, 그 전이나 계좌 입금을 원하시면 "담당자에게 문의"를 누르세요 — 담당자가 금액과 입금 방법을 안내하고 입금 확인 뒤 열어 드립니다(eiso 사용 비용 안내).
※ AI가 만든 결과물은 참고용 초안이며 인증 취득을 보장하지 않습니다. — 에이전트 eiso.co.kr
유의사항
- AI가 만든 결과물은 참고용 초안이며 인증 취득을 보장하지 않습니다. eiso에서 에이전트는 특정 회사의 문서를 인위적으로 작성하거나 검토하지 않습니다(이행 컨설팅·교육은 eiso와 별도로 경영시스템 지원 및 교육 문의) — 리스크 수용·통제 제외·배포 승인 같은 결정은 귀사의 몫입니다.
- 회사 로고·회사명·주소·메일·전화번호는 그대로 올려도 됩니다. 개인정보(사람 이름·개인 휴대전화·개인 메일 등)나 영업비밀(고객 정보·모델·데이터 세부·기술 노하우 등)이 될 만한 내용은 지우거나 바꿔서 올려 주십시오. 올린 정보는 AI 학습에 쓰이지 않습니다 — 홈페이지에 저장하지 않고, AI(Anthropic API)는 받은 내용을 모델 학습에 쓰지 않습니다.
- ISO/IEC 42001 원문은 저작권이 있어 해설·요약만 드립니다. 조항·통제 번호와 요구사항은 발행된 표준 원문과 대조하십시오.
