KO
무료 상담

AI 거버넌스

AI 거버넌스, 그만 쓴 AI 에이전트가 쥔 회사 열쇠를 거두는 목록 한 장

다 쓰고 멈춘 AI 에이전트도 누가 거두기 전까지는 회사 메일·드라이브·고객 명단에 이어 둔 열쇠를 그대로 쥐고 있습니다. 에이전트 보안 제품을 파는 아라키스 시큐리티는 자기 고객사 에이전트 수천 개를 12주 동안 살펴보니, 켜져 있는 에이전트의 76%가 60일 동안 한 번도 일하지 않았는데 로그인 정보와 연결은 살아 있었다고 밝혔습니다(2026년 10월 21일 발표). 그래서 작은 회사의 AI 거버넌스는 규정집보다 회사에 붙은 AI 에이전트와 자동화를 한 장에 적고, 하나마다 책임자와 끝내는 기준을 정하는 일부터 합니다. 쓰지 않는 것은 끄고 이어 둔 연결과 열쇠(API 키)를 거두며, 직원이 나갈 때는 그 사람이 만든 에이전트도 같이 정리하세요.

확인한 날
2026. 11. 02
다시 확인
매달 첫 주

작은 회사의 AI 거버넌스는 무엇부터 하나요

회사에 붙은 AI 에이전트와 자동화를 한 장에 적는 일부터 합니다. AI 거버넌스는 회사가 어떤 AI를 누가, 어떤 자료와 권한으로 쓰는지 정하고 지켜보는 규칙과 절차인데, 지금 무엇이 붙어 있는지 모르면 규칙을 어디에 걸지 정할 수 없습니다. 여기서 AI 에이전트는 사람이 매번 시키지 않아도 정해 둔 일을 스스로 하는 AI 프로그램이고, 회사 메일이나 드라이브에 이어 둔 자동화도 같이 셉니다.

큰 회사도 같은 순서로 갑니다. SK텔레콤은 2026년 10월 26일 처음 펴낸 'AI 거버넌스 리포트'에서, 사내 AI 에이전트의 개발이 끝나면 개발·운영을 시작한 때, 사내 업무 환경과 이어진 현황, 맡은 업무 범위를 먼저 확보하고 책임자를 정한다고 밝혔습니다. 같은 리포트의 중장기 계획표에는 에이전트 식별·등록과 소유자 지정이 2026년 칸에, 운영·평가·유지·고도화·폐기까지 관리하는 일이 2028년 칸에 있습니다. 끝내는 일까지 관리하는 체계는 큰 회사에서도 가장 늦게 자리 잡는 일로 잡혀 있으니, 작은 회사는 처음부터 목록에 끝내는 기준 칸을 두는 편이 낫습니다.

SK텔레콤 리포트에 있는 것작은 회사에서는
에이전트마다 기본 ID를 주고, 별도 심사로 사내 기준을 충족한 에이전트에만 사번을 줌목록 한 장에 모두 적고, 회사 자료에 닿는 것을 따로 표시
개인 업무를 돕는 에이전트는 쓰는 사람이, 영향이 크거나 스스로 하는 일이 많은 에이전트는 팀장·임원이 책임책임자 칸에 이름 한 명. 고객 명단이나 회사 메일에 닿는 것은 팀장 이상
누가 쓸 수 있는지, 어떤 범위의 자료를 볼 수 있는지 나눔권한 칸에 읽기만 하는지, 고치거나 밖으로 보내기까지 하는지
실행 기록과 사용량을 한곳에서 보고, 이상하면 실행을 멈춤마지막으로 일한 날과 끄는 곳을 적어 둠
업무 성과·운영 비용·기능을 정기적으로 평가하고, 쓸 필요가 줄면 운영을 끝냄두 달에 한 번 보고, 끝내는 기준에 닿으면 끔

왼쪽 칸은 SK텔레콤 'AI 거버넌스 리포트' 25~30쪽을 줄여 적은 것이고, 오른쪽 칸은 byte-creo가 작은 회사에 맞춰 줄인 안입니다.

AI 에이전트 목록에는 어떤 칸을 두나요

이름, 하는 일, 이어 붙은 계정, 권한, 책임자, 마지막으로 일한 날, 끝내는 기준의 일곱 칸이면 됩니다. 공유 문서 한 장으로 충분하고, 칸이 비어 있는 줄이 먼저 볼 줄입니다.

칸적을 것이 칸이 비면
이름직원들이 부르는 이름과 만든 도구(ChatGPT, 코파일럿, 제미나이, n8n, Zapier 등)같은 일을 하는 것이 둘셋 생겨도 모릅니다
하는 일무엇을 받아 무엇을 내놓는지 한 줄. 예: 들어온 문의 메일을 갈래별로 나눠 메신저로 알림끌지 말지 정할 때 그 결과를 받던 사람을 못 찾습니다
이어 붙은 계정회사 메일, 공유 드라이브 폴더, 고객 명단, 광고 계정, 메신저처럼 그 에이전트가 들어가는 곳과, 누구 이름의 계정으로 이어졌는지끌 때 끊어야 할 연결이 남습니다
권한읽기만 하는지, 고치거나 지우는지, 메일·메시지를 밖으로 보내는지, 돈이 나가는 일을 하는지처음보다 권한이 늘어나도 알아채지 못합니다
책임자켜고 끄는 것을 정할 사람 한 명. 만든 사람과 다를 수 있습니다아무도 끄지 않습니다
마지막으로 일한 날그 도구의 실행 기록이나 사용량 화면에서 본 날짜쉬고 있는 에이전트를 가려낼 수 없습니다
끝내는 기준언제 끌지. 예: 60일 동안 일하지 않으면 책임자에게 묻고 끔, 그 일을 맡은 부서가 바뀌면 다시 정함다 쓴 뒤에도 켜진 채 남습니다

표의 예는 흔한 예이고 특정 회사의 사례가 아닙니다. 60일은 앞에서 본 아라키스 발표가 쓴 구간을 빌린 것이라, 한 달에 한 번이나 분기에 한 번 도는 에이전트처럼 일의 주기가 길면 회사에 맞게 늘리세요.

일곱 칸 가운데 이어 붙은 계정과 권한이 가장 중요하고 가장 채우기 어렵습니다. 아라키스 발표에 따르면 살펴본 에이전트의 70%가 클라우드 저장소, AI 서비스, 마케팅 도구처럼 민감한 곳에 이어져 있었습니다. 다음 절의 관리 화면을 열어 채우세요.

회사에 붙은 AI 에이전트와 연결은 어디서 찾나요

결제 내역, 회사 계정의 관리 화면, 자동화 도구의 작업 목록을 먼저 열고, 마지막으로 직원에게 묻습니다. 직원이 개인 계정이나 개인 카드로 이어 둔 것은 회사 관리 화면에 보이지 않아 물어야만 나옵니다.

찾는 곳보이는 것누가 여나
회사 카드와 계좌에서 매달 나가는 결제AI 도구와 자동화 도구의 구독대표, 회계 담당
구글 워크스페이스 관리 콘솔: 보안 > 액세스 및 데이터 관리 > API 관리 > 액세스한 앱회사 구글 자료에 들어온 앱, 앱마다 쓰는 사람 수, 쓰는 서비스(Gmail, 캘린더, 드라이브). 목록을 파일로 내려받을 수 있고, 앱마다 신뢰·제한·차단을 정합니다관리자
직원 각자의 구글 계정 연결된 앱 페이지(myaccount.google.com/linkedapps)그 사람 계정에 들어온 앱. 에이전트 액세스 권한 필터를 고르면 제미나이나 구글 AI 에이전트에 이어진 앱만 볼 수 있습니다직원 본인
마이크로소프트 365 관리 센터의 에이전트 레지스트리(영어 화면 Agents > All agents > Registry)회사에 있는 에이전트 전체와 소유자 없는 에이전트 수. 목록을 파일로 내려받으면 소유자, 만든 날, 마지막으로 고친 날이 들어갑니다관리자
Microsoft Entra 관리 센터의 엔터프라이즈 앱 > 모든 애플리케이션 > 권한직원이나 관리자가 동의해 회사 계정에 들어온 앱과 그 앱이 받은 권한관리자
자동화 도구(n8n, Zapier, Make 등)의 작업 목록돌고 있는 자동화, 만든 사람, 쓰는 연결그 도구의 관리자
직원에게 묻기개인 계정이나 개인 카드로 회사 자료에 이어 둔 AI 도구대표, 팀장

메뉴 이름은 2026년 11월 2일 각 회사 도움말 기준이고, 화면 언어와 요금제에 따라 다르게 보일 수 있습니다. 구글 관리 콘솔의 앱 목록은 서비스 설정 관리자 권한이 있어야 열립니다.

마이크로소프트 도움말에 따르면 직원이 만들어 공유한 에이전트는 그 직원을 회사 계정에서 지우면 소유자 없는 에이전트가 되고, 관리 센터의 소유자 없는 에이전트 수는 계정을 완전히 지울 때 바로 바뀝니다. 이 수가 0이 아니라면 목록의 책임자 칸부터 채우세요.

그만 쓴 AI 에이전트는 어떤 순서로 정리하나요

책임자에게 묻고, 지우기 전에 먼저 끈 뒤, 바깥에서 깨우는 주소, 이어 둔 연결, 열쇠를 차례로 거둡니다. 끄기만 하고 연결과 열쇠를 남겨 두면, 누가 다시 켜거나 열쇠가 새어 나갈 길이 그대로 남습니다.

아라키스 발표에 따르면 오래 쉬던 에이전트의 24%는 회사 밖에서 보낸, 누가 보냈는지 확인하지 않는 신호 하나로 다시 깨울 수 있었습니다. 같은 조사를 다룬 Help Net Security와 데일리시큐 보도에 따르면 19%는 만료일이 없는 열쇠를 설정에 그대로 적어 두고 있었습니다. 데일리시큐는 이 조사를 전하며 에이전트 전체 목록과 담당자를 파악하고, 오래 쓰지 않은 에이전트의 실행을 멈추고, 열쇠와 접근 권한을 거두라는 보안 전문가들의 권고를 실었습니다.

  • 책임자에게 묻기: 정말 안 쓰는지, 그 결과를 받아 보던 사람이나 그 결과로 이어 도는 다른 자동화가 있는지 확인합니다. 책임자 칸이 비어 있으면 그 에이전트가 들어가는 계정을 쓰는 부서의 책임자가 정합니다.
  • 먼저 끄고 기록 받아 두기: 바로 지우지 말고 멈춘 뒤 실행 기록을 내려받아 둡니다. 나중에 그 에이전트가 무엇을 했는지 확인할 자료입니다. SK텔레콤 리포트도 실행 이력을 에이전트가 한 일을 나중에 확인하는 자료로 쓴다고 적었습니다.
  • 바깥에서 깨우는 주소 지우기: 다른 프로그램이 신호를 보내면 에이전트가 일을 시작하는 호출 주소(웹훅)가 있다면 지웁니다.
  • 이어 둔 연결 끊기: 구글이라면 관리 콘솔에서 그 앱을 차단하거나, 이어 둔 사람의 연결된 앱 페이지에서 액세스 권한을 삭제합니다. 구글 도움말은 제미나이나 구글 AI 에이전트의 앱 사용만 중지하면 계정과 앱의 연결은 그대로 남는다고 밝히니, 연결 자체를 지웁니다.
  • 열쇠 거두기: 그 에이전트가 쓰던 열쇠(API 키, 프로그램끼리 자료를 주고받을 때 쓰는 열쇠)를 발급한 곳에서 지웁니다. 같은 열쇠를 다른 곳에서도 썼다면 새 열쇠로 바꿉니다.
  • 이미 가져간 자료 확인: 연결을 끊어도 그 앱이 이미 가진 자료는 남을 수 있습니다. 필요하면 그 앱 회사에 지워 달라고 요청합니다.
  • 결제 끊고 목록에 적기: 구독을 해지하고, 목록에 끝낸 날과 끝낸 사람을 적습니다. 끝낸 기록이 남아야 다음 점검 때 같은 것을 다시 찾지 않습니다.

퇴사 처리 때 AI 에이전트는 무엇을 같이 보나요

퇴사자 계정 관리 순서에 그 사람이 만든 에이전트·자동화와, 그 사람 이름으로 이어 둔 연결을 같이 넣습니다. 계정을 지우기 전에 넘겨받을 사람부터 정해야 돌던 일이 끊기지 않고, 맡을 사람 없는 에이전트도 남지 않습니다.

아라키스 시큐리티의 탈 바론 대표는 발표에서 '직원이 나가면 그날 접근 권한을 지운다. 에이전트는 쓰지 않게 돼도 아무것도 지우지 않는다. 대부분의 회사에서 그 에이전트를 맡은 사람이 없기 때문'이라고 말했습니다. 사람의 퇴사 처리가 이미 있는 회사라면 그 순서에 에이전트 줄을 더하는 것이 가장 빠릅니다.

볼 것왜 같이 보나퇴사 전에 할 일
그 사람이 만들어 공유한 에이전트마이크로소프트 365에서는 만든 사람을 회사 계정에서 지우면 소유자 없는 에이전트가 되고, 관리자가 그 수를 보고 막거나 지웁니다넘겨받을 사람을 정하거나 끕니다
자동화 도구(Zapier)의 작업팀에서 사람을 빼면 그 사람의 작업은 새 주인(빼는 사람이 고른 사람이나 계정 주인)에게 넘어가고, 켜져 있던 것은 켜진 채로 남습니다. 넘어간 연결 가운데 공유된 것은 그 사람의 앱 계정이 남아 있는 동안 계속 돕니다넘겨받은 사람이 하나씩 열어 끌 것은 끕니다. 웹훅으로 시작하는 작업은 호출 주소가 새로 바뀌니, 옛 주소를 쓰던 곳을 고칩니다
자동화 도구(n8n)의 작업사용자를 지울 때 그 사람의 작업과 연결 정보를 다른 사용자에게 옮길지, 영구히 지울지 고르게 합니다지우기 전에 옮길 사람을 정합니다
그 사람 이름으로 이은 회사 메일·드라이브 연결그 사람 계정에 기대어 돌던 일은 계정을 지우는 날 함께 멈출 수 있고, 계정을 남겨 두면 그대로 돕니다계속 쓸 연결은 넘겨받을 사람이나 회사 공용 계정으로 다시 잇고, 나머지는 끊습니다
그 사람 개인 계정에 이은 회사 자료회사 관리 화면에 보이지 않고, 개인 계정의 연결은 그 사람이 직접 관리합니다퇴사 전에 본인이 지우게 하고 화면으로 함께 확인합니다
그 사람 카드로 낸 AI 구독회사 자료가 개인 결제 계정에 남습니다회사 결제로 옮기거나 해지하고, 그 계정에 남은 회사 자료를 확인합니다

Zapier 내용은 팀·엔터프라이즈 요금제 기준(2026년 10월 26일 고친 도움말)이고, n8n·마이크로소프트·구글 내용은 2026년 11월 2일 각 도움말 기준입니다. 다른 도구는 그 도구의 도움말에서 사람을 지울 때 무엇이 남는지 확인하세요.

손님 정보가 든 시스템이라면 법이 정한 일도 있습니다. 개인정보보호위원회 고시 '개인정보의 안전성 확보조치 기준' 제5조는 손님 정보를 다루는 직원이 바뀌거나 그 업무가 바뀌면 지체 없이 그 시스템의 접근 권한을 바꾸거나 지우고, 권한을 주고 바꾸고 지운 내역을 최소 3년 남기라고 합니다. AI 에이전트를 콕 집은 조항은 아니지만, 떠나는 사람이 만든 에이전트가 같은 시스템에 이어져 있다면 같은 날 거두고 같은 기록에 남겨 두세요.

AI 에이전트 점검은 얼마나 자주, 무엇을 보나요

끝내는 기준보다 길지 않은 간격으로 봅니다. 60일 동안 일하지 않으면 끈다고 정했다면 두 달에 한 번입니다. 석 달에 한 번 보면, 점검 바로 뒤에 60일을 넘긴 에이전트는 다음 점검까지 석 달 가까이 더 켜진 채 남습니다.

SK텔레콤도 에이전트의 업무 결과와 성과, 운영 비용, 기능을 정기적으로 평가해 그대로 두거나 기능과 업무 범위를 바꾸고, 쓸 필요가 줄어든 에이전트는 운영을 끝낸다고 밝혔습니다. 작은 회사는 줄마다 그대로 둠, 범위를 줄임, 끝냄 가운데 하나를 적으면 됩니다.

에이전트(가상 예시)마지막으로 일한 날책임자이번 점검 결정
채용 지원서 정리 에이전트(인사 담당이 만들고 퇴사)넉 달 전비어 있음끝냄. 채용 메일함과 드라이브 연결을 끊고 열쇠를 지움
문의 메일 분류 자동화어제고객지원 팀장그대로 둠
회의록 요약 AI직원마다 다름쓰는 사람 각자60일 넘게 안 쓴 직원의 연결만 끊음
거래처 견적 초안 에이전트지난주영업 팀장범위를 줄임. 메일을 바로 보내던 것을 초안 저장까지만

표는 이해를 돕기 위한 가상 예시이고, 특정 회사의 사례가 아닙니다.

  • 두 달 넘게 쉰 것: 마지막으로 일한 날이 60일을 넘었으면 책임자에게 묻습니다. 아라키스 발표에서는 켜져 있는 에이전트의 76%가 60일, 44%가 180일 동안 일하지 않았습니다.
  • 책임자가 나갔거나 자리를 옮긴 것: 책임자 칸을 새로 채우거나 끕니다.
  • 처음보다 권한이 늘어난 것: 읽기만 하던 것이 고치거나 밖으로 보내기까지 하게 됐다면 그 까닭과 정한 사람을 적습니다.
  • 다른 에이전트에게 일을 넘기는 것: 아라키스 발표에 따르면 20%는 권한이 다른 에이전트에게 일을 넘기고 결과를 받아 올 수 있었습니다. 자기에게 없는 권한으로 만든 결과를 받는 셈이라, 넘겨받는 쪽의 권한까지 같이 봅니다.
  • 돈은 나가는데 쓰는 사람이 없는 것: 결제 내역과 마지막으로 일한 날을 맞춰 봅니다.
  • 목록에 없는데 관리 화면에 보이는 것: 지난 점검 뒤 새로 붙은 것이라 목록에 올리고 책임자를 정합니다.

끝내기로 한 줄은 위의 정리 순서대로 거두고, 목록에 끝낸 날을 적습니다.

자주 묻는 질문

직원 열 명 남짓인 작은 회사도 AI 거버넌스가 필요한가요?

회사 계정에 AI를 이어 쓰고 있다면 필요합니다. 회사 크기보다 AI가 회사 메일·드라이브·고객 명단에 이어져 있는지가 기준입니다. 처음부터 규정집을 만들 필요는 없고, 목록 한 장과 두 달에 한 번 점검이면 시작할 수 있습니다.

ChatGPT나 코파일럿에 대화로 묻기만 하는 것도 목록에 넣나요?

대화만 하는 것은 따로 적고, 회사 메일·드라이브·일정에 이어 두었거나 정해 둔 때에 스스로 일하는 것을 목록에 올립니다. SK텔레콤 리포트도 직원이 AI 도구를 쓰는 경우와 AI 에이전트를 만들어 쓰는 경우를 나눠, 도구를 쓸 때는 개인정보 입력을 제한하고 에이전트를 만들 때는 쓸 자료가 개인정보인지와 처리 근거를 먼저 확인하게 한다고 밝혔습니다. 대화만 하더라도 회사 자료를 넣어도 되는지는 사내 AI 사용 원칙으로 정해 두세요.

연결을 끊으면 그 앱이 가져간 자료도 지워지나요?

저절로 지워지지 않을 수 있습니다. 구글 도움말은 연결을 끊으면 그 앱이 더 이상 자료에 들어오지 못하지만, 이미 가진 자료는 그 앱에 지워 달라고 요청해야 할 수도 있다고 안내합니다. 구글 계정으로 로그인 연결을 지워도 그 앱에 있는 자료는 지워지지 않는다고도 적혀 있습니다. 그 앱의 개인정보처리방침에서 지우는 방법을 확인하세요.

외주 업체가 업체 계정으로 만들어 둔 자동화는 어떻게 넘겨받나요?

넘겨받는 날 회사 계정으로 다시 잇는 것까지가 인수입니다. 업체 직원 계정에 이어 둔 연결은 회사 계정으로 옮기고, 업체가 쓰던 열쇠는 회사가 새로 발급한 열쇠로 바꾸고, 관리 화면과 자동화 도구에서 업체 사람의 계정을 뺍니다. 그 뒤 목록 한 장에 책임자를 회사 사람으로 적습니다. byte-creo는 자동화를 만들 때 AI 계정과 열쇠를 처음부터 고객 명의로 만들고, 넘겨드리는 날 우리 쪽 접근 권한을 거두고 작업용으로 받은 자료를 지웁니다.

AI 거버넌스 가이드라인과 이 목록은 무엇이 다른가요?

가이드라인(사내 AI 사용 원칙)은 어떤 자료를 어떤 AI에 넣어도 되는지, 누가 무엇을 승인하는지 정한 글이고, 목록은 지금 회사에 무엇이 붙어 있는지 적은 장부입니다. 원칙만 있으면 어디에 걸지 모르고, 목록만 있으면 끌지 말지 가를 기준이 없습니다. 작은 회사는 목록부터 만들고, 목록을 채우며 나온 질문으로 원칙을 채우면 빠릅니다.

출처

모두 2026년 11월 2일 SK텔레콤 'AI 거버넌스 리포트' 원문과 보도자료, 아라키스 시큐리티 보도자료와 이를 다룬 Help Net Security·데일리시큐 보도, 구글·마이크로소프트·Zapier·n8n 도움말, 국가법령정보센터의 개인정보의 안전성 확보조치 기준 원문에서 확인했습니다. 아라키스 숫자는 에이전트 보안 제품을 파는 회사가 자기 고객사 자료로 낸 것이고, 살펴본 에이전트와 고객사의 정확한 수는 밝히지 않았으며 보고서 본문은 보지 못했습니다. 관리 화면 메뉴 이름은 바뀔 수 있어 매달 다시 확인합니다.

회사에 붙은 AI부터
​함께 세고 기준을 정합니다.

지금 쓰는 AI 도구와 자동화를 업무와 함께 살펴보고, 계속 쓸 것과 그만둘 것을 가립니다. 어떤 자료를 어떤 도구에 넣어도 되는지는 원칙부터 함께 정합니다. 첫 30분 상담은 무료입니다.

첫 30분 상담 신청 AX 컨설팅 자세히 보기

첫 통화 무료기획서 없이 가능영업일 1일 이내 회신

접수 후 메일·문자로 상담 일정을 조율합니다.

첫 30분 통화 무료기획서 없이도 괜찮습니다

상담 신청