사내 AI 규정이 안 지켜지는 이유 — 규율이 아니라 설계 문제입니다

📋 사내 규정

규정을 어기는 게
더 편하기 때문입니다

벌을 세게 해도 안 바뀝니다.

AI 사용 규정을 만들어 공지했는데 여전히 개인 계정으로 씁니다. 교육도 했고 서명도 받았는데요. 이쯤 되면 "직원들이 말을 안 듣는다"로 결론 내기 쉽습니다. 그런데 원인은 대개 다른 데 있습니다 — 승인된 방법이 더 불편하기 때문입니다. 사람은 규칙보다 마찰을 피합니다. 왜 대부분의 AI 규정이 종이에만 남는지, 그리고 그대로 쓸 수 있는 한 장짜리 문안까지 정리했습니다.

📌 30초 요약

🔑 준수하는 쪽이 불편하면 집행은 실패합니다 — 이게 전부입니다
⚖️ 실패하는 규정은 너무 엄격하거나 너무 모호합니다
🚫 확인 장치 없는 조항은 규정을 무시해도 된다고 가르칩니다
📄 한 장이면 충분합니다 — 아래에 문안을 그대로 뒀습니다
🛣️ 할 일은 검사가 아니라 승인된 경로를 더 편하게 만드는 것

★ 규율 문제가 아닙니다

🔍 실제로 벌어지는 일

직원 입장에서 보면 이렇습니다.

승인된 도구 — 신청서 쓰고, 승인 기다리고, 사내망에서만 되고, 기능이 제한돼 있고
개인 계정 — 지금 브라우저 열면 바로

일이 급한 사람에게 이건 선택의 문제가 아닙니다. 규정을 어기려는 게 아니라 일을 끝내려는 것이죠.

그래서 이렇게 정리됩니다 — 승인된 선택지가 승인 안 된 것보다 나쁘면, 사람들은 우회합니다. 교육을 아무리 해도 이 구조는 안 바뀝니다.

💡 그래서 진단 질문은 하나입니다

"우리 승인 경로가 개인 계정보다 편한가?"

아니라면 규정을 아무리 다듬어도 같은 결과가 나옵니다. 규정을 고치기 전에 경로를 고쳐야 합니다.

⚠️ "몇 %가 규정 없이 쓴다"는 수치를 안 쓴 이유

이 주제를 검색하면 "직원 몇 %가 AI를 쓰는데 규정 있는 회사는 몇 %뿐" 같은 값이 나옵니다. 인상적이죠.

출처를 보면 대부분 AI 보안·정책 관리 솔루션을 파는 회사의 자료입니다. 규정 없는 회사가 많을수록 제품이 팔리는 위치고요.

그래서 퍼센트는 쓰지 않았습니다. 그리고 사실 필요도 없습니다 — 우리 회사에 규정이 있는지, 지켜지는지는 물어보면 바로 압니다. 업계 평균이 필요한 이야기가 아니에요.

실패하는 규정의 두 가지 모양

유형	문장 예시	결과
너무 엄격	"업무에 생성형 AI 사용을 금지한다"	개인 기기로 옮겨갑니다. 이제 보이지도 않아요
너무 모호	"민감 정보를 입력하지 않도록 유의한다"	판단을 각자에게 떠넘긴 것입니다. 기준이 사람마다 달라요
작동하는 형태	"고객 실명·계약서 원문·미공개 실적은 어떤 AI에도 입력 금지"	판단할 필요가 없습니다. 목록이니까

🚫 확인 장치 없는 조항이 제일 나쁩니다

"승인된 계정만 사용한다"고 써놓고 아무도 확인하지 않으면, 어긴 사람에게 아무 일도 안 생깁니다.

그러면 "규정은 지켜도 되고 안 지켜도 되는 것"이라고 조직이 배웁니다. 그 학습은 AI 규정 하나로 끝나지 않아요 — 다음 규정도 같은 취급을 받습니다.

확인할 수 없는 조항이라면 차라리 빼세요. 지킬 수 있는 세 줄이 지킬 수 없는 서른 줄보다 낫습니다.

★ 한 장짜리 문안 — 그대로 쓰셔도 됩니다

회사 이름과 도구 이름만 바꾸면 됩니다. 다섯 줄이고, 각 줄마다 왜 이 문장인지를 붙였습니다.

📄 AI 사용 규정 (안)

1. 업무에는 회사가 정한 계정으로 접속한다.
→ 도구를 금지하지 않고 경로만 정합니다. 금지하면 안 보이는 곳으로 갑니다

2. 다음은 어떤 AI에도 입력하지 않는다 — 고객 실명·연락처, 계약서 원문, 미공개 실적, 인사 정보, 접속 정보.
→ 목록으로 적습니다. "민감 정보"라고 쓰면 각자 다르게 해석해요. 우리 회사에 맞게 항목을 고치세요

3. AI가 만든 결과물은 담당자가 확인한 뒤 사용한다. 확인 책임은 사용한 사람에게 있다.
→ "AI가 그렇게 했다"는 변명을 미리 닫습니다. 동시에 사용을 장려하는 문장이기도 해요 — 확인만 하면 써도 된다는 뜻이니까

4. 새 도구를 쓰려면 담당 부서에 알린다. 승인이 아니라 통보다.
→ 여기가 핵심입니다. 승인제로 하면 안 알리고 씁니다. 통보제로 하면 최소한 목록은 확보됩니다

5. 판단이 어려우면 넣지 말고 묻는다. 물어본 것에 불이익은 없다.
→ 마지막 문장이 없으면 아무도 안 묻습니다. 물으면 일이 늦어지고 혼날까 봐요

📏 왜 다섯 줄인가

읽히려고요. 열 장짜리 규정은 서명만 받고 아무도 안 읽습니다. 그리고 안 읽은 규정은 없는 규정입니다.

분량이 필요한 조직이라면 이 다섯 줄을 1페이지로 두고 상세 내용을 부속 문서로 빼세요. 사람들이 기억하는 건 앞장뿐입니다.

집행은 검사가 아니라 경로를 만드는 일

🛣️ 승인된 길을 더 편하게

1. 로그인을 한 번에
회사 계정으로 바로 들어가지게 하세요. 비밀번호를 따로 기억해야 하면 그 순간 개인 계정이 이깁니다.

2. 기다리게 하지 않기
신규 사용 요청에 며칠이 걸리면 그냥 개인 걸 씁니다. 통보만으로 즉시 사용, 사후 검토가 현실적입니다.

3. 왜 막는지 한 줄로 알려주기
차단만 하면 우회 방법을 찾습니다. "이건 학습에 쓰일 수 있어서 막았고, 대신 이걸 쓰세요"까지 있어야 납득합니다.

4. 개인 계정에서 옮겨오는 길 열어주기
이미 개인 계정에 업무 자료가 쌓인 사람이 있습니다. 혼내면 숨깁니다. 기간을 정해 불이익 없이 옮기게 하는 편이 훨씬 빠릅니다 — 계정 소유권 문제도 같이 정리됩니다.

넣을 것과 빼야 할 것

✅ 넣으면 좋은 것	❌ 빼도 되는 것
금지 항목 목록(추상어 말고 명사로)	AI 기술 설명·용어 정의
물어볼 창구(사람 또는 채널 이름)	확인할 방법이 없는 조항
승인된 도구 목록과 갱신 주기	"적절히", "유의하여" 같은 표현
규정 자체의 재검토 시점	지킬 수 없는 벌칙 조항

🔁 재검토 시점을 규정 안에 적으세요

"본 규정은 6개월마다 재검토한다" 한 줄이면 됩니다.

도구도 약관도 계속 바뀝니다. 이 줄이 없으면 2년 전 규정이 그대로 남아, 현실과 안 맞는데 아무도 못 고치는 상태가 됩니다. 그 상태가 되면 사람들은 규정 전체를 무시하기 시작해요.

자주 묻는 질문

Q. 통보제로 하면 아무거나 쓰지 않을까요?

승인제여도 이미 아무거나 쓰고 있습니다. 다만 보이지 않을 뿐이죠. 통보제의 목적은 허용이 아니라 목록 확보입니다. 무엇이 쓰이는지 알아야 위험한 것부터 막을 수 있어요.

그리고 사후에 막을 수 있습니다. "통보해줘서 확인해보니 이건 곤란하다"는 대화가 가능해지는 게 승인제보다 낫습니다.

Q. 규제 대응이 필요한 업종인데 다섯 줄로 되나요?

안 됩니다. 금융·의료·공공처럼 별도 규율이 적용되는 곳은 해당 감독 기준을 먼저 따라야 하고, 이 글의 문안은 그걸 대체하지 못합니다. 이 글은 법률·컴플라이언스 자문이 아닙니다.

다만 그런 조직에서도 "직원이 읽는 한 장"과 "감사에 제출하는 문서"를 분리하는 건 유효합니다. 후자가 길어지는 건 어쩔 수 없지만, 전자까지 길어지면 아무도 안 읽어요.

Q. 이미 개인 계정으로 다 쓰고 있는데 지금 규정을 만들면요?

과거를 문제 삼지 않는 게 시작입니다. "지금까지는 규정이 없었으니 책임을 묻지 않는다. 대신 이번 달 안에 옮겨달라"가 가장 빨리 정리되는 방법이에요.

소급해서 추궁하면 다들 숨깁니다. 그러면 목록도 못 만들고, 정작 위험한 것도 못 찾습니다.

✨ 정리하면

사람들은 규칙이 아니라 마찰을 피합니다.
승인된 길이 더 편하면 규정은 저절로 지켜집니다.
그러니 문서를 다듬기 전에 경로부터 고치세요.

📎 같이 읽으면 좋은 글

· 사내 AI 보안 체크리스트 — 넣으면 안 되는 것부터
· 퇴사하면 계정도 같이 나갑니다 — 소유권 옮기는 순서
· 사놓고 아무도 안 쓴다 — 정착 비용과 국비 환급
· 도입 전 2주 — 나란히 돌려보는 검증

🔐 규정에 "N개월 뒤 삭제된다"고 쓰기 전에

개인정보처리방침을 실제로 열어보니 보관 기간에 숫자가 없었습니다. "as long as reasonably necessary" — 기간이 아니라 목적으로 정하는 방식이었어요.

그래서 사내 규정에 "AI 도구에 넣은 자료는 N개월 뒤 삭제됨"이라고 써두셨다면 그 N의 근거가 벤더 문서에 없을 수 있습니다. 지우는 것도 화면에서는 즉시, 서버에서는 최대 30일이라고 적혀 있고요.

→ 규정은 "벤더가 지워준다"에 기대지 말고 "애초에 안 넣는다"로 설계하는 편이 확실합니다.

· 대화를 지워도 서버에서는 최대 30일 — AI에 개인정보 넣기 전 확인할 6곳

🗺️ 전체 지도 — 상황별로 어디를 봐야 하나

· AI에 쓰는 돈 총정리 — 개인·개발자·회사별 지출 가이드
회사 도입 다섯 단계가 정리돼 있습니다. 규정은 3단계(쓰게 만들기)에 붙는 일이에요

출처와 한계 · 2026년 8월 기준입니다. 본문에 규정 보유율이나 미승인 사용 비율 같은 수치를 사용하지 않았습니다. 관련 수치들이 주로 AI 보안·정책 관리 솔루션을 판매하는 업체의 자료를 통해 유통되고 있어(규정 미비가 많을수록 상업적 이해가 걸리는 위치) 판단 근거로 삼지 않았습니다. 본문의 "준수하는 선택지가 불편하면 집행이 실패한다", 정책이 과도하거나 모호할 때 실패한다는 구분, 확인 장치 없는 조항의 부작용은 여러 실무 자료에서 공통적으로 언급되는 관점을 정리한 것으로 특정 연구의 검증된 결론이 아닙니다. 본문의 규정 문안은 일반적인 사무직 조직을 가정한 예시이며, 그대로 쓰기 전에 조직의 업종·취급 정보·기존 사규와 맞는지 확인이 필요합니다. 금융·의료·공공 등 별도 감독 기준이 적용되는 분야에는 이 문안이 충분하지 않습니다. 이 글은 법률·노무·컴플라이언스 자문이 아니며, 개인정보 처리와 관련한 의무는 관련 법령과 소속 조직의 기준을 따르시기 바랍니다. 이 블로그는 언급된 어떤 서비스·솔루션과도 제휴 관계가 없습니다.