준수 의무와 증거 연결하기

시스템과 의도한 용도부터 설명하세요

‘AI를 사용한다’는 정보만으로는 법적 의무를 판단할 수 없습니다. 서비스, 사용자, 데이터, 결정, 관할 지역, 조직의 역할을 설명하세요. 소프트웨어 개발에 쓰는 AI와 납품한 제품 내부에서 사용하는 AI를 구분하세요.

예를 들어 코딩 어시스턴트로 고정된 계산을 구현하는 것과 구직자를 평가하는 모델을 배포하는 것은 다릅니다. 둘 다 적절한 개발 프로세스가 필요합니다. 하지만 운영상 영향과 적용되는 의무는 다를 수 있습니다.

자격을 갖춘 법무 또는 규정 준수 담당자에게 적용 여부 평가를 요청하세요. European Commission은 AI Act의 위험 기반 체계를 설명합니다. 기억에 의존한 기한 대신 실제 사용 사례에 적용되는 현행 법률과 지침을 확인하세요. AI Act 체계.

의무는 달성해야 할 내용을 명시합니다. 통제는 조직이 그 의무에 대응하는 방법을 설명합니다. 증거는 어떤 일이 있었거나 무엇을 검증했는지 보여 줍니다. 결정은 누가 어떤 조건에서 결론을 수락했는지 기록합니다.

가상의 고객 내보내기 사례를 생각해 보세요. 조직에는 관리자가 자기 조직의 레코드만 내보낼 수 있다는 정책이 있습니다. 유용한 기록에는 다음 내용이 들어갈 수 있습니다.

항목	예시
요구사항	내보내기를 요청한 관리자의 조직으로 범위 제한
통제	서버 측 쿼리에서 조직 소속을 강제
증거	릴리스 커밋에 대한 다른 조직 접근 거부 테스트
결정	서비스 담당자가 결과를 수락하고 보안 담당자가 경계를 검토
검토 계기	인가 로직이나 조직 모델 변경

이 예는 내부 요구사항을 설명합니다. 하나의 테스트로 특정 법률을 충족한다는 주장이 아닙니다. 기록에서도 이 차이를 유지하세요.

AI는 데이터 흐름 설명의 초안을 쓰거나 누락된 필드를 찾거나 기존 증거를 요약하는 데 도움을 줄 수 있습니다. 하지만 수신자를 임의로 가정하거나 존재하지 않는 통제를 만들어 내거나 아무도 테스트하지 않은 백업을 설명할 수도 있습니다.

중요한 문장을 각각 실제 시스템과 대조하세요. 데이터가 암호화된다고 쓰여 있으면 해당 저장소, 키 관리 방식, 구성 증거를 확인하세요. 접근 권한을 검토한다고 쓰여 있으면 프로세스와 실제 기록을 찾으세요.

개인정보 영향평가인 DPIA는 처리와 그 처리가 사람에게 미치는 영향을 다룹니다. GDPR 제35조에 따르면 평가 의무는 높은 위험이 발생할 가능성과 처리 맥락에 따라 달라집니다. 이 제목을 붙인 파일을 만드는 것만으로 평가가 완료되지는 않습니다. GDPR 제35조.

증거를 버전, 환경, 날짜에 연결하세요. 이전 릴리스의 테스트가 변경된 인가 경로까지 검사하지는 않을 수 있습니다. 중요한 변경 뒤 언제 다시 검토해야 하는지 정하세요.

결정을 뒷받침하는 증거를 수집하세요. 내보내기 테스트가 실행되었다는 사실을 증명하려고 전체 고객 레코드를 보관하지 마세요. 신중히 설계한 테스트는 가상 데이터로 필요한 결과를 기록할 수 있습니다.

효과적인 거버넌스 도구는 요구사항, 작업, 증거, 결정을 연결합니다. 의무를 해석하거나 통제를 운영할 조직의 책임을 없애지는 않습니다. 개별 코딩 도구와 완전한 소프트웨어 제공 시스템을 비교할 때 이 연결을 평가하세요.