회사 업무에서 AI 자동화하면 안 되는 영역 — 어디까지 사람을 남겨야 할까

이 글은 “AI를 쓰지 마세요”라고 말하지 않습니다. 그 답은 이미 실패했습니다.

대신 다른 질문을 다룹니다. 어느 지점에 사람을 남겨야 하는가. 어떤 업무는 사람이 최종 승인해야 하고, 어떤 업무는 반출 승인을 먼저 받아야 하며, 어떤 업무는 결과에 표시를 남겨야 합니다. 이건 취향이 아니라 상당 부분 법이 정해둔 문제입니다.

읽고 나면 사내 기준을 만들 때 쓸 수 있는 5단 등급표와 1페이지 초안이 손에 남습니다.

---

SECTION 01

“쓰지 마라”는 답이 이미 실패한 이유

2023년 5월, 삼성전자는 사내에서 ChatGPT 사용을 제한했습니다. 당시 이 사례는 국내 기사에서 “생성형 AI의 보안 위험”을 설명하는 대표 근거로 널리 인용됐습니다.

그런데 3년 뒤 결론이 바뀌었습니다. 2026년 6월 11일 삼성전자 뉴스룸 발표에 따르면, 삼성전자는 DX부문 임직원을 대상으로 챗GPT·제미나이·클로드 3종을 6월 12일부터 공식 도입했습니다. (해당 발표문에 구체적인 보안 통제 방식은 담기지 않았습니다.)

한 기업의 사례를 일반화할 수는 없습니다. 다만 이 전환이 보여주는 건 분명합니다. 문제가 “금지냐 허용이냐”에서 “어떤 조건으로 허용하느냐”로 옮겨갔다는 것.

전면 금지에는 현실적인 문제도 있습니다. 조직이 막으면 개인 계정으로 씁니다. 그러면 회사는 무엇이 어디로 나갔는지 알 수도 없게 됩니다. 통제하려다 통제력을 잃는 구조입니다.

---

SECTION 02

위험은 한 종류가 아닙니다 — 네 갈래로 나눕니다

“위험하다”를 한 단어로 뭉뚱그리면 대응도 뭉뚱그려집니다. 실무에서 나눠야 할 갈래는 넷입니다. 각각 막아야 하는 시점이 다릅니다.

① 개인정보·기밀 — 반출의 문제

고객 명단, 직원 인사 기록, 미공개 재무 자료, 계약서, 설계 도면.

이 위험의 특징은 결과가 정확해도 문제가 된다는 점입니다. AI가 완벽하게 요약해줘도, 그 자료가 외부 서비스로 나간 것 자체가 사고입니다.

그리고 이건 담당자가 혼자 판단할 수 없는 문제입니다. 반출 승인은 조직이 하는 결정이지 실무자가 하는 결정이 아닙니다. 그래서 이 위험은 착수 전에 걸러야 합니다.

② 금전·법적 책임 — 오류의 문제

정산, 세금계산서 발행, 급여 계산, 발주, 계약 조건 확인.

이건 반대입니다. 자료가 나가는 게 문제가 아니라 틀린 결과가 확정되는 것이 문제입니다. 그래서 대응도 다릅니다. 반출을 막는 게 아니라 확정 직전에 사람을 세우면 해결됩니다.

①과 ②를 같은 규칙으로 다루면 둘 다 어긋납니다. 반출 승인이 필요한 일에 검토 단계만 넣으면 규정 위반이 남고, 검토로 충분한 일에 매번 승인을 요구하면 자동화가 무의미해집니다.

③ 사람에 대한 결정 — 권리의 문제

채용 서류 선별, 인사 평가, 승진 대상 선정, 대출·보험 심사, 계약 해지 판단.

여기부터는 법이 직접 요구하는 것이 생깁니다. 다음 절에서 따로 다룹니다.

④ 대외 발신 — 신뢰의 문제

고객 응대 메일, 공지사항, 보도자료, SNS 게시물, 제안서.

틀리면 정정할 수 있지만, 정정하는 과정에서 신용이 깎입니다. 특히 AI가 만든 문장을 검토 없이 내보냈다가 사실과 다른 내용이 나가는 경우가 여기에 해당합니다.

---

SECTION 03

법이 실제로 요구하는 것

먼저 분명히 해둡니다. 이 절은 일반적인 정보 제공이며 법률 자문이 아닙니다. 조문 번호를 함께 적어두었으니, 실제 적용 여부는 현행 조문을 직접 확인하시거나 법률 전문가의 검토를 받으시기 바랍니다. 아래 내용은 2026년 8월 26일 기준입니다.

완전히 자동화된 결정 — 개인정보 보호법 제37조의2

개인정보 보호법에는 자동화된 결정에 대한 정보주체의 권리 조항이 있습니다(제37조의2). 2023년 3월 개정으로 신설되어 2024년 3월 15일부터 시행됐습니다.

국가법령정보센터의 현행 조문(2026년 8월 26일 조회)을 항별로 보면 이렇습니다.

제1항 — 거부권

“정보주체는 완전히 자동화된 시스템으로 개인정보를 처리하여 이루어지는 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 개인정보처리자에 대하여 해당 결정을 거부할 수 있는 권리를 가진다”

다만 이 항에는 단서가 붙어 있습니다. 자동화된 결정이 제15조 제1항 제1호·제2호·제4호에 따라 이루어지는 경우(정보주체의 동의, 법률의 특별한 규정이나 법령상 의무 준수, 계약의 체결·이행 등)에는 거부권이 적용되지 않습니다. 거부권이 모든 자동화된 결정에 무조건 붙는 것은 아니라는 뜻입니다.

제2항 — 설명 요구

“정보주체는 개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다”

제3항 — 인적 개입 조치

“개인정보처리자는 정보주체가 자동화된 결정을 거부하거나 이에 대한 설명 등을 요구한 경우에는 정당한 사유가 없는 한 자동화된 결정을 적용하지 아니하거나 인적 개입에 의한 재처리·설명 등 필요한 조치를 하여야 한다”

제4항 — 공개 의무

“개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다”

제5항은 거부·설명 요구의 절차와 방법을 대통령령에 위임하고 있고, 개인정보 보호법 시행령 제44조의2가 그 방법과 절차를 정하고 있습니다. 개인정보처리자가 방법과 절차를 마련해 공개하고, 정보주체는 그에 따라 거부하거나 설명·검토를 요구하는 구조입니다.

실무에서 읽을 때 중요한 지점 셋

• “완전히”라는 단어. 시스템이 결론까지 내는 구조와, 사람이 실질적으로 판단하는 구조는 취급이 다릅니다. 다만 “사람이 형식적으로 버튼만 누르는” 경우가 어디에 해당하는지는 단순하지 않으므로 단정하기 어렵습니다.
• 거부권과 설명 요구는 별개입니다. 제1항의 단서에 해당해 거부권이 적용되지 않는 경우에도, 제2항의 설명 요구와 제4항의 공개 의무는 그와 별개 조항입니다.
• 제3항이 요구하는 것은 “AI 금지”가 아니라 “사람이 다시 볼 수 있는 경로”입니다. 인적 개입에 의한 재처리·설명 등의 조치를 할 수 있게 절차를 갖추라는 요구에 가깝습니다.

개인정보보호위원회는 이 조항의 실무 적용을 돕기 위해 자동화된 결정에 대한 정보주체의 권리 안내서(2024년 9월)를 발간했습니다. 사내 기준을 만드신다면 이 문서가 출발점입니다.

고영향 인공지능 — AI 기본법

「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI 기본법)이 2026년 1월 22일 시행됐습니다.

이 법은 고영향 인공지능이라는 범주를 두고 있습니다. 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 AI를 가리키며(제2조 제4호), 채용을 비롯한 특정 영역이 관련 규정에서 다뤄집니다. 해당하는 경우 사업자에게 고영향 AI 여부 확인(제33조), 안전성·신뢰성 확보 조치(제34~35조) 등의 의무가 따릅니다.

생성형 AI 산출물 표시

AI 기본법은 생성형 AI 산출물에 대한 투명성 확보 의무도 두고 있습니다(제31조 및 시행령 제23조). 사람이 인식할 수 있는 표시나 기계 판독이 가능한 방식이 언급되며, 딥페이크 등 일부 유형에는 더 명확한 표시가 요구됩니다.

실무적으로는 대외로 나가는 산출물에 AI가 관여했다면 표시 의무 해당 여부를 확인해야 한다는 뜻입니다. 사내 문서에는 통상 해당하지 않지만, 마케팅 이미지나 홍보 영상을 AI로 만드신다면 확인이 필요합니다.

이 절을 읽으실 때의 주의

• “채용이나 평가에 AI를 쓰면 불법”이 아닙니다. 흔한 오해라 분명히 해둡니다. 위 조문들은 AI 사용 자체를 금지하지 않습니다. 요구하는 것은 완전히 자동화된 결정에 해당할 경우 정보주체가 거부하거나 설명을 요구할 수 있는 절차를 갖추고, 기준과 절차를 공개하며, 필요하면 사람이 다시 볼 수 있게 하라는 것입니다. 금지 규정과 절차 규정은 다릅니다. 이 차이를 뭉개면 사내 논의가 “쓰자/말자”로 되돌아갑니다.
• 적용 여부는 사안마다 다릅니다. 우리 업무가 “완전히 자동화된 결정”에 해당하는지, 제1항 단서에 걸리는지, “중대한 영향”에 해당하는지는 구체적인 처리 구조를 봐야 판단됩니다. 이 글로 결론을 내리지 마시고 확인 절차를 거치시기 바랍니다.
• 발의안과 시행 중인 법을 구분하세요. AI 채용 관련 규제는 논의가 계속되고 있고, 언론에서 발의 단계 내용이 시행 중인 것처럼 소개되는 경우가 있습니다.
• 업종별로 추가 규제가 있습니다. 금융·의료·공공은 별도 감독규정을 함께 봐야 합니다.
• 조문은 개정됩니다. 사내 문서에 인용하실 때는 조회 날짜를 함께 적어두세요.

---

SECTION 04

금지 대신 5단 등급으로 설계하세요

“쓴다/안 쓴다”의 이분법으로는 실무가 굴러가지 않습니다. 일잘랩이 사내 기준을 만들 때 쓰는 5단 구분을 제안합니다. 이건 법정 분류가 아니라 일잘랩이 설계한 실무 기준입니다.

등급	무엇을 뜻하나	해당하는 업무의 예
1 · 완전 자동	사람이 보지 않아도 됩니다	공개 자료 수집, 사내 알림 발송, 정형 데이터 이관
2 · 자동 + 사후 점검	자동으로 나가되 주기적으로 표본 확인	내부 리포트 생성, 로그 요약
3 · AI 초안 + 사람 확정	AI가 만들고 사람이 승인해야 나갑니다	고객 응대 초안, 계약서 조항 정리, 보고서 초안
4 · 참고만	AI 결과를 판단 재료로만 씁니다	지원자 서류 요약, 시장 분석
5 · 투입 금지	이 자료·이 결정에는 넣지 않습니다	미공개 재무 정보, 인사 평가 결정 자체

등급을 정하는 순서는 이렇습니다.

1. ①번 위험(반출)에 해당하면 — 외부 서비스 사용은 4~5등급, 사내 도구를 쓰더라도 승인 후 3등급 이하
2. ②번 위험(오류)에 해당하면 — 확정 단계가 있는 3등급, 사람이 최종 승인
3. ③번 위험(사람에 대한 결정)에 해당하면 — 결정 자체는 5등급, 정리·요약 보조는 4등급. 금지라서가 아니라, 완전 자동화로 두면 거부·설명·인적 개입 절차를 따로 갖춰야 하기 때문입니다
4. ④번 위험(대외 발신)에 해당하면 — 3등급, 발신 전 검토 필수
5. 어느 것에도 해당하지 않으면 — 1~2등급

이 등급표는 회사 업무 자동화 대상 진단 기준과 같은 판단을 씁니다. 진단표의 오류 비용과 보안·개인정보 위험 두 관문이 여기서 말한 ②번과 ①번 위험입니다. 업무별로 등급을 매기실 때 진단표를 함께 쓰시면 판단이 빨라집니다.

---

SECTION 05

사람을 남길 때 어디에 남기나 — 세 지점

“사람이 확인하세요”는 설계가 아닙니다. 어느 지점에 세울 것인지를 정해야 실제로 작동합니다. 자리는 셋뿐입니다.

① 입력 게이트 — 들어가기 전

AI에 무엇을 넣을지 거르는 지점입니다. ①번 위험(반출)에 대한 대응입니다.

• 자료를 올리기 전에 가릴 항목을 정해둡니다 (고객명, 주민등록번호, 계좌번호, 금액, 계약 상대방)
• 어떤 종류의 파일은 아예 올리지 않는다는 목록을 만듭니다
• 반출 승인이 필요한 자료는 승인 이력을 남깁니다

② 출력 게이트 — 나가기 전

AI 결과가 확정되거나 외부로 나가기 직전의 지점입니다. ②번과 ④번 위험에 대한 대응입니다.

• 숫자가 들어간 산출물은 합계 대조·표본 검증을 절차에 넣습니다
• 대외 발신물은 발신 권한자를 지정합니다
• 승인한 사람이 누구인지 기록에 남깁니다

중요한 구분: 건별 승인과 배치 검토는 다릅니다. 하루 수백 건이 도는 업무에 건별 승인을 걸면 자동화가 의미를 잃습니다. 오류가 되돌릴 수 있는 종류라면 표본 검토로 충분한 경우가 많습니다. ②번 위험 중에서도 되돌릴 수 없는 것(송금, 발행, 계약)만 건별 승인 대상입니다.

③ 예외 게이트 — 규칙 밖으로 나갔을 때

자동화는 정상 흐름을 처리합니다. 문제는 언제나 예외에서 생깁니다.

• 예상 범위를 벗어난 값이 나오면 자동 처리를 멈추고 사람에게 넘깁니다
• “확신이 낮으면 확인 요청” 규칙을 넣습니다
• 예외 발생 건수를 주기적으로 봅니다 — 예외가 늘고 있다면 규칙이 현실과 어긋나고 있다는 신호입니다

세 게이트를 다 세울 필요는 없습니다. 위험의 종류에 맞는 자리에 하나만 제대로 세우는 편이, 세 개를 형식적으로 두는 것보다 낫습니다.

---

SECTION 06

기록이 없으면 통제도 없습니다

감사나 사고 조사 상황에서 실제로 필요한 것은 정책 문서가 아니라 기록입니다. 최소한 다음은 남겨두시길 권합니다.

• 무엇을 AI로 만들었는지 (문서·산출물 단위)
• 누가 승인했는지
• 언제 처리했는지
• 어떤 자료를 넣었는지 (개인정보가 관련된 경우 특히)

자동화 도구를 쓰신다면 실행 기록이 이 역할을 일부 합니다. 다만 실행 기록은 보존 기간 설정에 따라 자동으로 지워집니다. 감사에 필요한 기록이라면 별도로 보관해야 한다는 뜻이며, 관련 글에서 실행 기록 보존 설정을 다룹니다.

---

SECTION 07

사내 AI 사용 기준 1페이지 초안

그대로 쓰시라는 게 아니라, 여기서 시작해 우리 회사 사정에 맞게 고치시라는 초안입니다. 법무·보안 검토를 거치신 뒤 사용하세요.

1. 넣지 않는 자료
개인정보(주민등록번호, 연락처, 계좌, 건강 정보 등), 미공개 재무 정보, 인사 기록, 계약 상대방을 특정할 수 있는 정보, 미공개 기술 자료.
→ 필요한 경우 식별 정보를 가리고 사용합니다.

2. 사람이 확정해야 하는 결과
외부로 나가는 문서, 금액이 확정되는 처리, 사람에 대한 판단이 포함된 결과.
→ 승인자와 승인 기록을 남깁니다.

3. AI를 결정 주체로 두지 않는 영역
채용·인사 평가·징계 등 개인의 권리·의무에 중대한 영향을 주는 결정.
→ AI는 정리·요약까지만 사용하고, 판단은 사람이 합니다. 관련 법령 적용 여부를 별도로 확인합니다.

4. 표시
대외로 나가는 산출물에 AI가 관여한 경우 표시 의무 해당 여부를 확인합니다.

5. 계정
업무에는 회사가 승인한 계정만 사용합니다. 개인 계정 사용 시 회사는 처리 내역을 확인할 수 없습니다.

6. 예외 요청
위 기준에 맞지 않는 사용이 필요하면 [담당 부서]에 사전 승인을 요청합니다.

*본 기준은 [제정일] 기준이며 관련 법령 개정에 따라 갱신합니다.*

---

SECTION 08

우리 회사 업무에 적용하려면

기준을 만드는 것보다 우리 업무 목록에 등급을 매기는 일이 어렵습니다. 어떤 업무가 ①번 위험인지 ②번 위험인지 구분이 안 되는 경우가 대부분이고, 그 구분이 곧 대응 방식을 결정하기 때문입니다.

업무 목록에 등급을 매기다 막히시면 보내주세요. 각 업무가 네 갈래 중 어디에 해당하고, 세 게이트 중 어디에 사람을 세워야 하는지 정리해 회신드립니다.

보내실 때 업무명을 일반화해 주세요. “A사 3분기 정산”이 아니라 “거래처 정산 대사”면 충분합니다. 이 글의 주제가 바로 그것이기도 합니다.

업무 목록 자체가 아직 없으시다면 회사 업무 자동화 대상 진단표부터 쓰시는 편이 빠릅니다. 진단표에 오류 비용과 보안 위험 항목이 이미 들어 있어, 채우고 나면 이 글의 등급을 매기기 훨씬 쉬워집니다.

---

SECTION 09

참고한 자료

2026년 8월 26일 조회 기준입니다. 법령은 개정될 수 있으므로 인용하실 때 현행 조문을 확인하시기 바랍니다.

• 국가법령정보센터, 개인정보 보호법 제37조의2 (자동화된 결정에 대한 정보주체의 권리 등) — 2024.3.15 시행
• 국가법령정보센터, 개인정보 보호법 시행령 제44조의2 (거부 및 설명 등 요구의 방법 및 절차)
• 개인정보보호위원회, 자동화된 결정에 대한 정보주체의 권리 안내서 (2024.9)
• 개인정보보호위원회, 생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서 (2025.8)
• 국가법령정보센터, 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 (2026.1.22 시행)
• 삼성전자 뉴스룸, 삼성전자, 외부 생성형 AI 도입으로 AX 본격화 (2026.6.11)

---

*이 글의 4갈래 위험 구분, 5단 등급표, 3게이트 설계는 일잘랩이 실무용으로 정리한 기준이며 법정 분류나 업계 표준이 아닙니다. 법령에 관한 서술은 일반적인 정보 제공이며 법률 자문이 아닙니다. 실제 적용 여부는 현행 조문 확인과 전문가 검토가 필요합니다.*

*기준 시점 2026년 8월 26일 · 최종 수정 2026년 8월 26일*