새 AI 도구, 팀에 들이기 전 체크리스트 22 — 보안·법·비용·정착

새 AI 도구를 발견했을 때 가장 흔한 경로는 이렇습니다. 무료 체험을 켜고, 혼자 며칠 써보고, 좋아서 팀에 공유하고, 두 달 뒤에 아무도 안 쓰고, 결제는 계속 나갑니다.

MIT가 정리한 수치는 이 감각을 뒷받침합니다. 기업 생성형 AI 파일럿의 약 95%가 확산 단계로 넘어가지 못합니다. RAND의 조사에서는 AI 프로젝트의 80.3%가 측정 가능한 사업 가치를 내지 못했습니다. 실패의 원인은 대개 모델 성능이 아니라 도입 전에 묻지 않은 질문들입니다.

그래서 이 글은 읽는 글이 아니라 쓰는 글입니다. 아래 22개 항목은 이 페이지에서 바로 체크할 수 있습니다. 도구 하나당 10분이면 충분하고, 통과하지 못한 항목이 그대로 도입 리스크 목록이 됩니다.

쓰는 법: 검토 중인 도구를 하나 정하고 위에서부터 체크하세요. 체크 상태는 이 페이지에 머무는 동안 유지됩니다. 팀에 공유할 때는 브라우저 인쇄(PDF로 저장)를 쓰면 체크한 상태 그대로 남습니다.

A. 보안·데이터 (6항목)

가장 먼저 봐야 할 묶음입니다. 여기서 걸리면 나머지는 볼 필요가 없습니다.

• 입력 데이터가 학습에 쓰이는지 확인했다 — 무료 요금제는 학습 활용이 기본값인 경우가 많습니다. 유료·기업 요금제에서만 꺼지는지 확인하세요.
• 학습 활용 거부(옵트아웃) 방법을 찾아 실제로 껐다 — 설정 어딘가에 있고, 기본값은 대개 '켜짐'입니다.
• 데이터 저장 위치(국가)를 확인했다 — 국외 이전이면 별도 고지·동의 이슈가 생깁니다.
• 대화·업로드 파일의 보관 기간과 삭제 방법을 확인했다 — '삭제'가 화면에서만 사라지는 건지, 서버에서 지워지는 건지가 다릅니다.
• 계정 공유가 아니라 개인 계정 + 팀 관리 기능이 있는지 확인했다 — 계정 하나를 여럿이 쓰면 누가 뭘 넣었는지 추적이 불가능합니다.
• 퇴사·이동 시 접근 권한을 회수할 수 있는지 확인했다 — 관리자 콘솔이 없는 도구는 회수 수단도 없습니다.

B. 법·규제 (5항목)

2026년 기준으로 한국은 AI 기본법이, 유럽은 AI Act가 이미 작동하고 있습니다. 도구를 고르는 단계에서 걸러야 나중에 산출물을 전부 다시 손대는 일이 없습니다.

• 고객 개인정보를 넣을 계획이 있는지 먼저 정했다 — '넣을 일 없다'고 정해두면 검토가 훨씬 단순해집니다.
• 결과물을 대외 공개할 때 AI 생성 표시가 필요한지 확인했다 — 표시의무는 콘텐츠 유형에 따라 다릅니다.
• 산출물의 저작권·이용 조건을 약관에서 확인했다 — 상업적 이용 가능 여부가 요금제별로 갈리는 서비스가 있습니다.
• 업로드가 금지된 자료(계약서·인사기록 등)를 목록으로 못 박았다 — '알아서 조심'은 규칙이 아닙니다.
• 사고가 났을 때 연락할 담당자를 정했다 — 이름이 적혀 있지 않으면 아무도 담당이 아닙니다.

C. 비용·계약 (5항목)

AI 도구의 청구서는 사람 수가 아니라 사용량을 따라가는 경우가 늘고 있습니다. 도입 전에 상한을 정해두지 않으면 다음 달에 놀라게 됩니다.

• 과금 방식이 인원당인지 사용량(크레딧)당인지 확인했다 — 크레딧 과금은 상한이 없으면 예산을 넘깁니다.
• 최악의 달 비용을 계산해봤다 — 평균이 아니라 최대치로 계산하세요.
• 해지 방법과 위약 조건을 확인했다 — 연간 결제 할인은 대개 중도 해지 불가와 짝입니다.
• 기존에 쓰던 도구와 기능이 겹치는지 확인했다 — 겹치면 하나를 끄는 것까지가 도입입니다.
• 이미 팀에서 개인 결제로 쓰고 있는 사람이 있는지 물었다 — 이른바 섀도 AI입니다. 이미 쓰고 있다면 통제 대상이 이미 존재하는 겁니다.

D. 정착·운영 (6항목)

파일럿이 죽는 곳이 여기입니다. 도구는 좋은데 쓰는 사람이 없는 상태는, 도구를 잘못 고른 게 아니라 정착을 설계하지 않은 결과입니다.

• 이 도구로 없앨 구체적인 업무 하나를 지목했다 — '생산성 향상'은 업무가 아닙니다. '월요일 주간보고 취합'은 업무입니다.
• 성공 기준을 숫자로 정했다 — 예: 주간보고 작성 시간 2시간 → 40분.
• 측정 시점을 정했다(4주 뒤 등) — 기한 없는 파일럿은 끝나지 않고 그냥 흐려집니다.
• 첫 사용자 3명을 실명으로 정했다 — '관심 있는 분'은 아무도 아닙니다.
• 30분짜리 사용법 세션을 잡았다 — 도입 실패의 상당수는 사용법을 아무도 안 알려준 결과입니다.
• 실패했을 때 끄는 조건을 미리 적었다 — 끄는 조건이 없으면 실패한 도구가 계속 결제됩니다.

판정 — 몇 개를 채워야 도입할 만한가

기준은 단순합니다.

• A(보안) 6개 중 하나라도 미달 → 도입 보류. 다른 항목이 아무리 좋아도 예외를 두지 마세요.
• B(법) 5개 중 2개 이상 미달 → 법무·개인정보 담당 확인 후 재검토.
• C·D에서 미달 3개 이하 → 4주 파일럿으로 진행. 미달 항목이 곧 파일럿에서 확인할 목록입니다.
• D(정착)에서 절반 이상 미달 → 도구 문제가 아니라 준비 문제입니다. 도입을 미루고 업무 정의부터 하세요.

flowchart TD
  S([새 AI 도구 후보]) --> A{A. 보안 6개
전부 통과?}
  A -- 아니오 --> STOP([도입 보류])
  A -- 예 --> B{B. 법 미달
2개 이상?}
  B -- 예 --> L([법무·개인정보 확인])
  B -- 아니오 --> D{D. 정착 절반
이상 미달?}
  D -- 예 --> P([업무 정의부터 다시])
  D -- 아니오 --> GO([4주 파일럿 시작])

이 체크리스트를 한 번 더 쓰는 법

도구를 두 개 이상 비교할 때는 각각 체크해 미달 항목 수를 비교하세요. 기능 비교표보다 훨씬 빠르게 답이 나옵니다. 기능은 대체로 비슷해지지만, 보안 정책과 과금 구조는 서비스마다 크게 다르기 때문입니다.

그리고 도입 6개월 뒤에 같은 항목으로 한 번 더 점검하세요. 특히 C(비용)와 D(정착)는 시간이 지나면 조용히 무너집니다.