민간 기업뿐 아니라 공공기관에도 AI 도입이 활발하게 진행되고 있습니다. 공공기관의 AI 활용은 민원 처리를 돕는 챗봇에서 시작해, 기관 내부 자료를 찾고 업무 현황을 정리하며 실제 업무를 지원하는 단계로 확장되고 있습니다.
그러나 기업과 기관 내 AI 도입이 확산되면서 AI로 인한 보안 사고도 적지 않게 발생하고 있는 것이 현실입니다. 이처럼 AI에 입력하는 정보 하나는 기관의 중요한 자산이 될 수 있습니다. 업무용 자료에는 업체명, 대표자 이름, 주민등록번호, 계약 내용, 시설 정보처럼 외부에 공개되어서는 안 되는 민감정보가 포함돼 있습니다. 공공기관 내부에서 개인 AI나 외부 AI 서비스를 업무에 활용하는 과정에서 이러한 자료가 의도하지 않은 경로로 전송되거나, 권한이 없는 사용자에게 노출될 위험도 함께 커집니다.
공공기관과 국방 분야에서는 데이터 유출이 개인의 피해에 그치지 않을 수 있습니다. 기관의 핵심 업무와 국가 기밀, 국민의 안전과 관련된 정보까지 영향을 받을 수 있기 때문입니다.
이때 공공기관의 AI 도입을 어떻게 바라봐야 할까요. AI 사용을 일괄 제한하는 방식으로는 현업의 업무 수요와 효율 개선 요구에 대응하기 어렵습니다. 기관은 데이터를 통제하면서 AI를 업무에 활용할 수 있는 운영 조건을 마련해야 합니다. 그 출발점이 소버린 AI입니다.
데이터 주권은 데이터를 보유한 기관에 있습니다
기업의 데이터 주권은 기업에, 공공기관의 데이터 주권은 기관에 있어야 합니다.
기관은 자신이 보유한 데이터가 어디에 저장되는지, 어떤 AI 모델과 시스템이 데이터를 참조하는지, 어떤 업무에 활용되는지를 직접 관리할 수 있어야 합니다. 문서와 데이터가 AI에 입력되는 시점부터 조회, 처리, 실행 결과 기록, 보존과 폐기까지 기관의 보안 정책과 운영 기준 안에서 관리돼야 합니다.
기관의 데이터가 AI 활용 과정에서 어디로 이동하는지 파악할 수 없다면, AI가 업무에 어떤 정보를 활용했는지 확인하기도 어렵습니다. 데이터 주권은 데이터를 내부에 보관하는 것만을 의미하지 않습니다. 기관이 데이터의 활용 범위와 접근 경로, 보존 정책을 직접 결정하고 운영할 수 있어야 합니다.
Enhans는 온톨로지를 통해 기관의 문서, 시스템, 업무 지침, 처리 이력을 업무 맥락 안에서 연결합니다. 이를 통해 기관이 관리하는 데이터와 업무 기준을 바탕으로 AI가 필요한 정보를 활용하도록 설계합니다.
데이터의 활용 범위는 역할과 업무 책임에 따라 나뉘어야 합니다
기관 내부에 있는 데이터라고 해서 기관 재직자와 AI가 내부 데이터를 모두 조회할 수 있어서는 안 됩니다.
집중호우 이후 재난 피해를 복구하는 업무를 가정해 보겠습니다. 재난 대응 총괄, 시설 담당자, 복지 담당자, 외부 유지보수 업체는 담당 업무와 책임 범위가 다릅니다. 확인할 수 있는 정보와 수행할 수 있는 업무도 달라야 합니다.
재난 대응 총괄은 승인된 범위에서 부서별 현황을 확인하고 보완 요청을 승인할 수 있습니다. 시설 담당자는 자신이 맡은 시설의 점검과 보수 이력을 조회하고 조치 내용을 입력합니다. 복지 담당자는 담당 지원 대상의 연락처와 주거지 주소, 상세 지원 필요 내용을 확인할 수 있어야 합니다.
사용자별 접근 권한과 데이터 반출 기준은 기존 조직에서 정한 접근 권한과 반출 기준을 AI에도 적용하는 것이 기본입니다. 사용자가 볼 수 있는 정보 안에서 AI가 조회하고 답변하도록 해야 하며, 역할과 업무 목적에 따라 표시할 정보, 마스킹할 정보, 숨길 정보를 구분해야 합니다.
프롬프트 우회와 같은 시도가 발생하더라도 AI가 사용자의 역할과 권한을 넘어 기밀 정보를 조회하거나 응답에 포함하지 않도록 권한 거버넌스를 설계해야 합니다. AI가 어떤 자료를 활용했고, 어떤 결과를 제공했는지 기록하면 감사와 운영 점검, 권한 정책 개선에도 활용할 수 있습니다.
중요한 업무 판단과 승인은 담당자가 맡아야 합니다
AI는 기관의 업무 기준에 따라 필요한 정보를 찾고, 현황을 정리하고, 요청 초안을 만들 수 있습니다. 다만 대외 발송, 지원 대상 변경, 보안 요청 등록, 중요 상태 변경처럼 기관의 책임이 수반되는 업무는 담당자의 판단과 승인이 필요합니다.
예를 들어 AI가 시설 점검 기록과 보수 이력을 바탕으로 미조치 시설을 식별하고 보완 요청 내용을 작성할 수 있습니다. 담당자는 대상 시설, 요청 내용, 담당 부서, 기한을 검토하고 승인합니다. AI는 승인된 내용으로 업무 시스템에 요청을 등록하고 처리 번호와 상태 변경 결과를 확인해 이력을 남깁니다.
업무 화면이 바뀌었거나 필수 정보가 없거나 권한이 부족한 상황에서는 AI가 임의로 다음 단계로 진행해서는 안 됩니다. 현재 상태와 중단 사유를 담당자에게 전달하고, 필요한 판단을 요청해야 합니다. 재시도 전에는 이미 등록된 요청이 있는지 확인해 중복 실행도 방지해야 합니다.
중요한 판단과 승인 권한은 사람에게 남기고, AI는 승인된 기준과 범위 안에서 실행하도록 설계할 때 기관은 AI의 업무 수행 결과를 관리할 수 있습니다.
기관의 데이터 주권을 지킬 때, 공공기관 안에서 실행되는 AI가 가능해집니다
소버린 AI는 공공기관이 데이터와 업무 기준, 권한, 실행 절차를 직접 운영할 수 있는 구조입니다. 기관은 데이터의 활용 범위를 관리하고, 역할별로 접근 가능한 정보를 구분하며, 중요한 업무 판단과 승인 권한을 유지합니다. AI는 기관이 정한 기준 안에서 정보를 찾고, 초안을 만들고, 승인된 업무를 실행합니다.
이러한 조건이 갖춰질 때 공공기관은 AI를 실제 업무에 활용하면서도 기관의 데이터와 결정권을 지킬 수 있습니다. 이것이 공공기관의 데이터 주권을 지키는 소버린 AI의 의미입니다.
in solving your problems with Enhans!
We'll contact you shortly!