사람들이 실제로 따르는 AI 사용 정책을 만드는 방법

대부분의 AI 사용 정책은 단순한 이유로 실패합니다.

그것들은 법무 팀(legal teams)에 의해 작성됩니다.

그다음 직원들에게 전달됩니다.

그러고 나서 잊혀집니다.

한 달 뒤, 아무도 그 문서가 어디에 있는지 기억하지 못합니다.

세 달 뒤, 사람들은 어쨌든 자기 마음대로 행동하고 있습니다.

저는 이런 일이 발생하는 것을 여러 번 보았습니다.

문제는 직원들이 규칙을 싫어하는 것이 아닙니다.

문제는 대부분의 AI 정책이 실제 업무에서 사용하기 불가능하다는 점입니다.

정책은 사람들이 바쁜 와중에도 기억할 수 있을 때만 작동합니다.

그것이 제가 사용하는 기준입니다.

정책이 얼마나 인상적으로 들리는가가 아닙니다.

일반적인 직원이 금요일 오후 4시 30분에 그것을 적용할 수 있는지 여부입니다.

가장 큰 실수: 직원이 아닌 감사인(Auditors)을 위해 작성하는 것

많은 AI 정책은 준수 문서(compliance documents)처럼 읽힙니다.

수 페이지의 정의들.

수 페이지의 법률 용어들.

수 페이지의 예외 사례(edge cases)들.

기술적으로는 정확합니다.

운영 측면에서는 쓸모가 없습니다.

직원들은 정보를 AI 도구에 붙여넣어도 되는지 결정할 때 20페이지짜리 문서가 필요하지 않습니다.

그들에게 필요한 것은 간단한 답변입니다.

'이걸 해도 되나요?'

'예' 또는 '아니오'?

답을 찾는 데 더 많은 노력이 필요할수록, 사람들이 정책을 따를 가능성은 낮아집니다.

규칙 #1: 도구를 분류하기 전에 정보를 분류하라

대부분의 기업은 도구부터 시작합니다.

저는 정보부터 시작합니다.

도구는 변하기 때문입니다.

데이터는 변하지 않습니다.

저는 보통 정보를 세 가지 범주로 그룹화합니다:

공개 정보 (Public information)

예시:

마케팅 콘텐츠 (marketing content)
공개 제품 문서 (public product documentation)
발표된 연구 (published research)
공개 웹사이트 콘텐츠 (public website content)

내부 정보 (Internal information)

예시:

내부 프로세스 (internal processes)
프로젝트 계획 (project plans)
회의록 (meeting notes)
운영 문서 (operational documents)

민감 정보 (Sensitive information)

예시:

고객 기록 (customer records)
재무 데이터 (financial data)
계약서 (contracts)
직원 정보 (employee information)
보안 문서 (security documentation)

직원들이 이러한 카테고리를 이해하고 나면, 도구에 대한 결정은 훨씬 쉬워집니다.

질문은 다음과 같이 바뀝니다:

"내가 어떤 정보를 공유하고 있는가?"

가 아니라:

"내가 어떤 AI 제품을 사용하고 있는가?"가 아닙니다.

규칙 #2: 안전한 경로를 쉬운 경로로 만들어라

사람들은 본능적으로 가장 빠른 옵션을 선택합니다.

좋은 정책은 이러한 현실을 인정합니다.

나쁜 정책은 이에 맞서 싸웁니다.

만약 직원들이 승인된 AI 솔루션을 사용하기 위해 열 단계의 절차를 거쳐야 한다면, 많은 이들이 이를 따르지 않을 것입니다.

대신, 그들은 지름길을 찾을 것입니다.

그것이 바로 섀도 AI (Shadow AI)가 시작되는 방식입니다.

저는 승인된 도구가 승인되지 않은 도구보다 더 편리할 때, 강제 집행이 훨씬 쉬워진다는 것을 배웠습니다.

편의성 (Convenience)은 거버넌스 (Governance) 도구입니다.

단순한 제품 기능이 아닙니다.

규칙 #3: 고위험 행동에 집중하라

제가 보는 또 다른 실수는 모든 것을 규제하려고 시도하는 것입니다.

그러한 접근 방식은 거의 효과가 없습니다.

대신, 실제로 위험을 초래하는 행동들을 식별하십시오.

대부분의 조직의 경우, 다음과 같은 것들이 포함됩니다:

고객 데이터 업로드
계약서 업로드
자격 증명 (Credentials) 공유
재무 정보 노출
내부 보안 정보 노출

이러한 것들은 주의를 기울일 가치가 있습니다.

누군가가 회의 요약본을 다시 작성하기 위해 AI를 사용하는지 여부는 대개 중요하지 않습니다.

좋은 정책은 우선순위를 정합니다.

훌륭한 정책은 공격적으로 우선순위를 정합니다.

규칙 #4: 직원들에게 예시를 제공하라

예시는 규칙보다 더 유용합니다.

다음 두 가지 접근 방식을 비교해 보십시오.

접근 방식 A:

"기밀 정보를 업로드하지 마십시오."

접근 방식 B:

"고객 계약서, 재무제표, 직원 기록 또는 미발표 제품 로드맵을 업로드하지 마십시오."

두 번째 버전이 훨씬 따르기 쉽습니다.

사람들은 예시를 기억합니다.

정책 문구는 거의 기억하지 못합니다.

가능할 때마다 저는 추상적인 규칙을 구체적인 시나리오로 대체합니다.

규칙 #5: 정책은 무시될 것이라고 가정하라

이것은 비관적으로 들릴 수 있습니다.

하지만 사실은 실용적인 것입니다.

모든 정책은 가끔 발생하는 실수를 가정해야 합니다.

즉, 조직에는 다음과 같은 것들이 필요합니다:

로깅 (Logging)
모니터링 (Monitoring)
승인 워크플로 (Approval workflows)
권한 제어 (Permission controls)
감사 기능 (Audit capabilities)

정책은 위험을 줄입니다.

시스템은 위험을 집행합니다.

둘 다 필요합니다.

문서 하나만으로는 회사를 보호해 본 적이 없습니다.

규칙 #6: 생각보다 더 자주 정책을 검토하라

AI는 빠르게 변화합니다.

6개월 전에는 합리적이었던 것이 이미 구식이 되었을 수도 있습니다.

저는 기업들이 AI 정책을 한 번 만든 뒤 다시는 검토하지 않는 것을 보아왔습니다.

그것은 위험합니다.

단순한 검토 주기(review cycle)를 갖는 것이 훨씬 효과적입니다.

분기별 검토면 보통 충분합니다.

목표는 정책 전체를 새로 쓰는 것이 아닙니다.

목표는 정책을 현실과 일치시키는 것입니다.

왜냐하면 현실은 변하기 때문입니다.

매우 빠르게 말이죠.

제대로 된 AI 거버넌스 (AI Governance)란 무엇인가

좋은 거버넌스는 제약처럼 느껴지지 않습니다.

명확하게 느껴집니다.

직원들은 다음 사항을 알게 됩니다:

무엇을 할 수 있는지
무엇을 할 수 없는지
어떤 도구가 승인되었는지
어떤 데이터가 민감한지
확신이 서지 않을 때 누구에게 물어봐야 하는지

이러한 질문들에 대한 답이 명확할 때, 도입(adoption)은 더 쉬워집니다.

그리고 리스크는 낮아집니다.

그것이 대부분의 조직이 원하는 결과입니다.

나의 견해

만약 직원들이 AI 사용이 허용되는지 끊임없이 묻는다면, 그 정책은 아마 너무 복잡할 것입니다.

만약 아무도 정책을 읽지 않는다면, 그것은 분명히 너무 복잡한 것입니다.

최고의 AI 사용 정책은 가장 긴 정책이 아닙니다.

기억하기 가장 쉬운 정책입니다.

정책은 사람들이 실제로 따를 때만 가치를 창출하기 때문입니다.

그리고 사람들은 자신이 이해하는 정책만을 따릅니다.