공공기관 AI 활용 준비도 점검: 가이드라인·보안·교육, 무엇부터 할까

"업무 효율화를 위해 생성형 AI 활용을 적극 검토하기 바랍니다." 이런 문장이 담긴 공문을 받은 주무관이 제일 먼저 찾는 것은 활용법이 아니라 어디까지 써도 되는가입니다. 민원 답변 초안을 AI로 써도 되는지, 내부 보고서를 붙여 넣어도 되는지, 개인 계정으로 쓰다가 문제가 생기면 누구 책임인지. 공공기관은 기업보다 지켜야 할 지침이 많고, 그 지침이 여러 기관에서 시기를 달리해 나왔습니다. 이 글은 공공기관이 AI 활용 준비도를 점검할 때 가이드라인·보안·교육을 어떤 순서로 맞춰야 하는지, 그리고 조직 진단이 그 과정에서 무엇을 드러내는지 정리합니다.

🕰️ 공공부문 AI 지침은 어떻게 쌓여 왔나

공공부문의 생성형 AI 지침은 한 번에 정리된 것이 아니라 보안 → 도입 → 개인정보 → 법률 순으로 겹겹이 쌓였습니다. 담당자가 혼란스러운 이유는 문서가 없어서가 아니라, 각 문서가 다른 질문에 답하기 때문입니다.

2023년 국정원 보안 가이드라인이 제시한 필수 보안수칙은 지금도 직원 사용의 출발점입니다. 비공개·개인정보 등 민감 정보 입력 금지, 생성물의 정확성·윤리성·적합성 재검증, 지적재산권·저작권 침해 여부 확인, 연계·확장 프로그램의 보안 취약 여부 확인, 로그인 계정 보안 설정 강화가 그것입니다. 반면 2026년 행정안전부 가이드는 기관이 AI 서비스를 만들 때의 절차에 무게가 있습니다. 즉 직원 개인의 사용 규칙과 기관의 시스템 도입 절차는 다른 문서에서 다룹니다.

⚠️ 지침이 있어도 현장이 멈추는 이유

지침 문서가 많아도 부서 단위에서는 "그래서 우리 과는 무엇을 하면 되나"가 비어 있는 경우가 많습니다. 원인은 대체로 세 가지입니다.

• 상위 지침이 부서 기준으로 번역되지 않았다 — "민감 정보 입력 금지"는 누구나 알지만, 우리 부서 업무에서 무엇이 민감 정보인지 구체 목록이 없으면 직원은 쓰지 않거나, 각자 판단해서 씁니다.
• 허용된 도구가 없으니 개인 도구로 간다 — Microsoft·LinkedIn의 2024 Work Trend Index에서 AI 사용자의 78%가 회사가 제공하지 않은 자기 AI 도구를 업무에 가져와 쓴다고 답했습니다. 공공기관이라고 이 경향에서 자유롭지 않습니다. 개인용 유료 요금제도 설정에 따라 대화가 모델 개선에 쓰일 수 있어 "유료 계정이면 괜찮다"는 판단도 위험합니다.
• 교육이 규칙보다 먼저 왔다 — 활용법 교육을 먼저 하면 사용은 늘지만 확인 절차가 없는 상태가 됩니다. 2023년 삼성전자가 반도체 부문 직원의 소스코드·회의 내용 입력 사실이 알려진 뒤 사내 PC의 생성형 AI 사용을 제한한 사례는, 규칙 없이 늘어난 사용이 결국 "사용 제한"이라는 가장 비싼 선택으로 이어질 수 있음을 보여줍니다.

📌 핵심은 "금지냐 허용이냐"가 아니라 "순서" — 공공기관의 AI 활용은 기준이 명확할수록 오히려 넓어집니다. 무엇을 넣으면 안 되는지 알면, 넣어도 되는 업무에는 망설임 없이 쓸 수 있기 때문입니다.

🗺️ 가이드라인 → 보안 → 교육, 이 순서가 맞는 이유

기관 내부 준비는 세 단계로 나누면 빠집니다. 각 단계가 다음 단계의 전제가 되기 때문에 순서를 바꾸면 일을 두 번 하게 됩니다.

①을 먼저 해야 ②에서 도구를 고를 기준이 생기고, ②가 정해져야 ③의 교육이 "우리 기관에서 실제로 쓸 수 있는 방법"이 됩니다. 반대로 교육부터 하면 강의에서 배운 도구를 기관에서 쓸 수 없거나, 기준이 나중에 생기면서 교육 내용을 다시 고쳐야 합니다.

인공지능 기본법(2026.1.22 시행)도 순서 판단에 영향을 줍니다. 투명성(고지·표시) 의무는 주로 AI 제품·서비스를 제공하는 쪽에 있고, 업무 도구로 AI를 쓰는 직원 개인에게 직접 의무가 생기지는 않습니다. 다만 기관이 대국민 챗봇처럼 AI 서비스를 직접 제공한다면 AI 사용 사실을 미리 알리는 문제를 검토해야 합니다. 과태료는 최소 1년의 계도기간이 있습니다.

📊 진단 C영역으로 기관의 "규칙 상태"를 점검하기

누구나패스의 무료 AI 도입 진단은 12문항 중 3문항을 제도·거버넌스(C영역)에 배정합니다. 공공기관 담당자라면 이 영역을 먼저 보는 것이 좋습니다.

C1 사내 AI 사용 기준

입력 금지 정보와 검토 책임이 문서로 정해져 있는지를 묻습니다. 선택지는 막연한 동의 척도가 아니라 관찰 가능한 현재 상태 4단계라, "상위 지침은 있지만 부서 기준은 없다" 같은 공공기관의 전형적인 상태도 그대로 고를 수 있습니다.

C2 AI 교육·도구 예산

교육과 도구에 예산이 있는지를 봅니다. 예산은 있는데 적용할 업무가 불분명하면 리포트의 핵심 인사이트에서 "예산은 있는데 적용할 업무가 불분명"으로 짚어 줍니다.

C3 정부 지원 확인 — "사업주훈련 대상 아님" 선택지

기업이라면 고용보험 사업주 직업능력개발훈련 해당 여부를 확인하는 문항입니다. 이 훈련비 지원은 고용보험에 가입한 사업주가 한국산업인력공단 인정 과정으로 교육할 때 받을 수 있고, 공무원 등 고용보험 적용 제외 대상은 지원받을 수 없습니다. 그래서 C3에는 "사업주훈련 대상이 아니다(공공기관·학교 등)" 선택지가 따로 있어, 제도 대상이 아닌 기관이 해당하지 않는 항목 때문에 불리하게 진단되지 않습니다. 소속 기관의 고용보험 적용 여부가 불분명하다면 이 문항에 답하기 전에 인사·총무 부서에 먼저 확인하세요. D3의 "아직 AI 교육을 한 적이 없다" 선택지도 같은 원칙입니다.

C영역만 봐도 되는 것은 아닙니다. 점수는 36점 만점으로 0~11점 LEVEL 1(AI 입문), 12~23점 LEVEL 2(AI 활용), 24~36점 LEVEL 3(AI 심화)으로 나뉘는데, 총점과 실제 답변이 어긋나면 보정 설명이 붙습니다. 예를 들어 C영역은 비어 있는데 A1(직원 업무 사용 비율)이 높다면, 리포트는 "관리되지 않는 AI 사용 위험"이나 "개인 계정에 의존한 업무 사용" 같은 인사이트로 순서가 뒤집혀 있다는 신호를 줍니다.

💡 응답 팁 — 기관 전체가 아니라 "우리 부서(과·팀)" 기준으로 답하면 결과가 훨씬 쓸모 있습니다. 상위 기관 지침이 있어도 부서에 전달·적용되지 않았다면 "기준 있음"으로 답하지 마세요.

🔍 리포트를 받은 뒤, 부서에서 할 일 체크리스트

진단은 회원가입 없이 약 5분이면 끝나고 리포트가 즉시 나옵니다. 답변은 데이터베이스에 저장되지 않고 결과 링크에도 이름·소속이 들어가지 않으며, 리포트는 PDF로 저장해 내부 보고에 첨부할 수 있습니다. 받은 뒤에는 다음 순서로 읽습니다.

1. 30초 요약에서 "먼저 보완할 점"과 "첫 30일 할 일"을 확인합니다. C영역이 여기에 올라왔다면 교육 계획보다 기준 정리가 먼저입니다.
2. 우선 보완 항목의 "지금 모습 → 목표 모습"과 "이대로 두면 생기는 문제"를 내부 보고서의 문제 제기 문단으로 옮깁니다.
3. 90일 실행 로드맵(0~30일 기반 만들기 / 31~60일 첫 성과 / 61~90일 정착)에 앞서 본 가이드라인 → 보안 → 교육 순서를 겹쳐 일정표를 만듭니다.
4. 교육 대상 구성안에서 의사결정 층(기관장·부서장 3~6시간), 리터러시 층(아직 안 쓰는 다수 4~8시간), 실무 집중군(반복 행정 업무가 명확한 부서 6~20시간), 핵심 인력(내부 자동화를 맡을 소수 12~36시간) 중 "지금 필요"로 판정된 층부터 교육 계획에 올립니다.
5. 직원 개인의 수준이 궁금하다면 희망자에게 무료 AI 역량평가를 안내합니다. 결과는 저장되지 않으니 본인이 공유한 경우에만 참고합니다.

✅ 이 과정을 거치면 달라지는 것 — "AI 활용 적극 검토"라는 추상적 지시가 "부서 기준 마련(30일) → 허용 도구 안에서 반복 업무 시범 적용(60일) → 층별 교육과 정착(90일)"이라는 보고 가능한 계획으로 바뀝니다. 진단 결과는 공식 인증이 아니라 이 계획의 출발점입니다.

❓ 공공기관 담당자가 자주 묻는 질문

Q1. 공공기관은 진단 점수가 기업보다 낮게 나오지 않나요?

정부 지원 문항에 "사업주훈련 대상이 아니다" 선택지가 있고, 이전 교육 경험이 없는 조직을 위한 선택지도 있어 구조적 차이로 불리해지지 않도록 설계되어 있습니다.

Q2. 국정원·행안부 지침이 이미 있는데 부서 기준을 또 만들어야 하나요?

상위 지침은 원칙을 주고, 부서 기준은 그 원칙을 우리 업무의 구체 목록으로 바꿉니다. 새 규정을 만드는 것이 아니라 상위 지침을 부서 언어로 옮기는 작업이라고 보면 됩니다.

Q3. 진단 결과를 외부에 제출해도 되나요?

리포트는 PDF로 저장할 수 있어 내부 검토 자료로 쓰기 좋습니다. 다만 한 사람의 응답에 기반한 자가 진단이므로 공식 평가나 인증 자료로 쓰지는 마세요.

Q4. 교육은 언제 시작하는 게 좋나요?

최소한 입력 금지 정보와 허용 도구가 정해진 뒤가 좋습니다. 기준 없이 교육부터 하면 배운 방법을 기관에서 쓰지 못하거나 교육 내용을 다시 고쳐야 할 수 있습니다.

기준 정리 이후 기관 맞춤 교육이 필요하다면 출강 교육 안내를 보거나 교육 문의를 남겨 주세요.

📎 출처

• 전자신문, 「"민감정보 입력 마세요"…국정원, 생성형 AI 보안 가이드라인 배포」 (2023.6.29)
• 전자신문, 「디플정위, 공공 초거대 AI 기본지침 '가이드라인 2.0' 배포」 — 디지털플랫폼정부위원회 (2025.4.16)
• 국가정보원, 국가·공공기관 AI 보안 가이드북 발간 (2025.12)
• 행정안전부, 「공공부문 AI 도입·활용 가이드」 배포 (2026.6)
• 개인정보보호위원회, 생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서 (2025.8)
• Microsoft·LinkedIn, 2024 Work Trend Index (2024.5)