본 사례는 교육 목적의 가상 시나리오입니다. 회사·사람·수치는 모두 지어낸 예시입니다. 화면 이름과 동작은 2026년 11월 eiso 기준입니다.

사례 개요

가상의 회사 (주)픽셀모먼트는 eiso 하나로 AI사진관에 쓸 AI를 고르고, 리스크와 영향을 평가하고, 그 결과를 문서로 남기고, 운영 중 계속 점검하는 체계를 6주 만에 갖췄습니다. 이 사례는 ISO/IEC 42001(AI 경영시스템)이 요구하는 핵심 흐름을 작은 서비스 기업이 실제로 어떻게 밟는지 보여 줍니다.

쉽게 말하면, 사진관이 "어떤 AI를 쓸지, 그 AI가 고객에게 어떤 문제를 일으킬 수 있는지, 문제가 생기지 않게 무엇을 하는지"를 한 곳에 기록하고 관리하는 일입니다. eiso 는 이 과정을 ICT 경영시스템 운영의 단계로 안내하고, 한 단계의 결과를 다음 단계가 이어받아 문서로 이어지게 합니다.

전체 흐름

다섯 단계는 앞 단계의 결과가 다음 단계의 입력이 되는 하나의 흐름입니다. 그림 아래 숫자는 각 단계가 대응하는 ISO/IEC 42001 조항과 부속서 A 통제 번호입니다.

강조한 3단계(영향평가)가 이 사례의 핵심 결정을 낳았고, 5단계에서 변화가 생기면 2단계로 돌아가 다시 평가합니다. 사례의 다섯 단계는 eiso ICT 경영시스템 운영(ISO/IEC 42001, 17단계)의 아래 단계에 해당합니다.

기초 자료(후보 AI 자료, 시험 결과, 민원 기록, 월 지표)는 귀사 컴퓨터의 "AI경영시스템" 아래 단계 폴더(예: AI경영시스템\03_AI 선정)에 두고, eiso 는 지정한 폴더의 자료를 읽어 표와 문서 초안을 만듭니다.

1단계. AI 선정

픽셀모먼트는 후보 AI 3개를 비교해 국내 클라우드형 B사 솔루션을 선정했습니다. 가격보다 "고객 사진이 어디에 저장되고 학습에 쓰이는가"에 가장 큰 가중치를 두었습니다(ISO/IEC 42001 부속서 A.10 제3자 및 고객 관계). 3 AI 선정 단계의 요청사항에 후보 3개와 아래 비교 항목·가중치를 적어 비교표를 받았습니다.

선정한 뒤 eiso 에는 세 가지가 남습니다.

• AI 시스템 인벤토리(4단계): 시스템 이름, 목적, AI 역할, 공급자, 처리 데이터, 영향 대상, 책임자(운영팀장)
• 공급자 요구사항: 학습 미사용, 30일 안 삭제, 사고 때 24시간 안 통보를 계약서에 반영
• 재평가 일정: 연 1회 및 모델 변경 때

점수표는 예시이며, 비교 항목과 가중치는 요청사항에서 회사 사정에 맞게 바꿉니다.

2단계. AI 리스크평가

선정한 AI로 리스크 6건을 찾았고, 이 가운데 높음(12점 이상) 4건을 대응한 뒤 모두 보통 이하로 낮췄습니다. 8 AI 리스크평가 단계는 4 AI 시스템 인벤토리를 이어받아 "무엇이 잘못될 수 있는가 → 얼마나 자주·얼마나 심각한가 → 어떻게 막을 것인가" 순서로 표를 만듭니다(ISO/IEC 42001 6.1.2 리스크평가, 6.1.3 리스크 처리).

평가 방법: 리스크 점수 = 가능성(1~5) × 심각도(1~5). 픽셀모먼트는 자사 리스크평가 절차의 3등급 기준을 썼습니다. 12점 이상 높음(즉시 대응), 6~11점 보통(계획 대응), 5점 이하 낮음(모니터링). eiso 는 회사 절차가 있으면 그 기준을 따르고, 없으면 기본 4등급(1~6 저위험 · 7~12 중위험 · 13~19 고위험 · 20~25 심각, 수용 기준 6점 이하)을 씁니다.

남은 리스크(R1~R3, 보통)는 대표가 수용을 승인하고 5단계 모니터링 대상으로 넘겼습니다. 대응 조치는 9 AI 리스크 처리 단계에서 담당자·기한이 붙은 처리 계획이 되고, 같은 단계에서 부속서 A 통제마다 적용 여부와 사유를 적은 적용명세서(SoA)를 만듭니다. R1 이 15점이라 eiso 는 이 AI 를 10 AI 시스템 영향평가로 넘겼습니다(eiso 기본 규칙: 13점 이상은 영향평가가 끝나기 전에는 배포 보류).

3단계. AI 시스템 영향평가

영향평가 결과 "증명사진 본인 확인 불가"가 가장 큰 부정 영향으로 판정되어, 증명사진에는 스타일 변환을 아예 끄기로 결정했습니다. 리스크평가가 "회사에 어떤 문제가 생기나"를 보는 것이라면, 영향평가는 "고객과 사회에 어떤 영향을 주나"를 봅니다(ISO/IEC 42001 6.1.4, 부속서 A.5 / 세부 방법은 ISO/IEC 42005). eiso 10단계는 7개 영역(안전성 · 공정성(편향) · 투명성·설명가능성 · 개인정보 · 보안 · 인간 관리·감독 · 사회·환경 영향)마다 상·중·하로 판정하고, 픽셀모먼트는 그 결과를 영향 대상별로 다시 묶어 보았습니다.

영향평가는 출시 전 한 번으로 끝내지 않습니다. 새 스타일 추가, AI 모델 교체, 고객 민원이 생기면 12단계에 변경으로 기록하고 8·10단계를 다시 돌립니다.

4단계. 문서화

1~3단계 결과와 AI 방침(2 AI 방침·R&R·목표수립 단계), 법규 대장(14 법규파악·모니터링 단계)을 이어받아 eiso 가 문서 8종의 초안을 만들었고, 픽셀모먼트는 검토·승인만 했습니다. 11 문서화된 정보 관리 단계에서 문서 번호·개정·승인 이력을 붙여 두어 심사·고객 문의·관계기관 요청에 그대로 보여 줄 수 있습니다.

고객 안내문은 부스 화면과 매장 부착물로 바로 쓸 수 있는 문구로 받았습니다. 법령별 세부 의무(고지 문구·동의 항목)는 14 법규파악·모니터링 단계의 AI 법규관리대장에 시행령·고시 기준으로 적고, 반기마다 다시 확인합니다.

5단계. 모니터링

픽셀모먼트는 지표 5개의 월 자료를 회사 폴더에 쌓고 12 모니터링·변경·개정관리 단계에서 월 단위로 봅니다. 목표를 벗어난 지표는 16 부적합 및 시정조치 단계가 이어받아 원인과 조치를 적습니다(ISO/IEC 42001 9.1 모니터링, 10.2 부적합 및 시정조치).

개선 주기는 네 층으로 돌아갑니다.

• 월간: 지표 확인, 목표를 벗어나면 시정조치 등록
• 분기: 편차 시험, 공급자 성과 검토
• 연간: 내부심사(9.2), 경영검토(9.3), 리스크·영향평가 재검토, 공급자 재평가
• 수시: 모델 교체, 새 스타일 출시, 사고·중대 민원 때 2~3단계로 돌아가 재평가

예: 도입 3개월째에 50대 이상 만족도가 평균보다 14%p 낮게 나오자 시정조치를 열었고, 공급자가 보정 파라미터를 조정한 뒤 다음 분기에 6%p로 줄었습니다(가상 수치).

도입 효과와 시작 방법

픽셀모먼트가 얻은 것은 "AI를 어떻게 관리하느냐"는 질문에 문서와 데이터로 답할 수 있는 체계입니다. 아래 수치는 가상 사례 기준입니다.

같은 방식을 다른 업종에도 적용할 수 있습니다. AI 챗봇 상담, AI 채용 서류 심사, AI 불량 검사처럼 사람에게 영향을 주는 AI라면 단계와 문서 구성은 그대로이고 내용만 바뀝니다.

시작 순서는 다음과 같습니다.

1. eiso.co.kr 에 회원가입하고 로그인
2. 경영시스템 운영 › ICT 경영시스템 운영에서 ISO/IEC 42001 을 고르고 적용범위(AI 개발·공급·사용)를 체크
3. 회사 폴더를 지정하고, 3 AI 선정 → 4 AI 시스템 인벤토리에 쓰거나 쓸 예정인 AI 를 등록
4. 8 AI 리스크평가 → 9 AI 리스크 처리 → 10 AI 시스템 영향평가를 차례로 운용
5. 만든 문서를 11 문서화된 정보 관리에서 검토·승인
6. 12단계에 모니터링 지표를 정해 운영하고, 필요하면 인증기관에 ISO/IEC 42001 인증 심사를 신청