EU AI Act의 AI 리터러시 의무는 2025년 2월 2일부터 이미 적용되고 있다. EU AI Office의 현재 Q&A는 감독과 집행이 2026년 8월부터 시작된다고 설명한다. 남은 시간에 해야 할 일은 전 직원용 한 시간짜리 특강을 급히 여는 것이 아니다. 누가 어떤 AI를 어떤 업무에서 쓰는지, 잘못 쓰면 누구에게 어떤 손해가 생기는지, 그 위험을 줄이기 위해 어떤 수준의 판단을 훈련해야 하는지를 확정하는 일이다.
기업교육 관점에서 결론은 분명하다. AI 리터러시는 공통 입문 과정 하나가 아니라 공통 바닥과 역할별 심화가 결합된 운영 체계여야 한다. 법무팀이 조문을 설명하고 HRD가 수료율을 보고하는 것만으로는 부족하다. 현업 사용 장면, 승인·검토 권한, 인적 감독, 사고 보고, 재교육까지 한 흐름으로 묶어야 한다.
한 가지 법적 변동성도 함께 봐야 한다. 유럽연합 집행위원회는 2025년 11월 Digital Omnibus에서 Article 4 관련 의무를 조정하는 개정안을 제안했다. 2026년 7월 현재 이는 제안 단계이므로, 기업은 현행 의무에 맞춘 조치를 멈추지 말고 최종 입법과 각국 감독기관 지침을 법무 담당자와 계속 확인해야 한다. 규정 문구가 달라지더라도 고위험 시스템의 인적 감독과 실제 사용자의 역량 확보가 사라지는 것은 아니다.
EU AI Office의 Article 4 준수 Q&A는 최소 내용, 위험 기반 접근, 교육 형식, 기록 방식을 별도 질문으로 다룬다.
2026년 8월을 앞두고 무엇을 확정해야 하나
가장 먼저 확정할 것은 교육 일정이 아니라 적용 범위다. EU에 법인이나 사업장을 둔 한국 기업, EU 시장에서 AI 시스템을 제공하는 기업, EU 조직이 구매한 AI를 업무에 배치하는 기업은 본사와 현지법인의 역할을 나눠 봐야 한다. 같은 그룹이라도 본사는 정책을 만들고, 유럽 법인은 배포자가 되며, 외주 인력은 조직을 대신해 AI를 운용할 수 있다.
적용 범위를 잡을 때는 직원 명단보다 AI 사용 목록이 먼저다. 생성형 AI 문서 도구, 고객 상담 요약, 채용 지원, 성과 데이터 분석, 품질 판정, 사내 학습코치처럼 실제 쓰이는 시스템을 적는다. 이어서 사용자, 승인자, 모델·데이터 관리자, 구매 담당자, 영향을 받는 사람을 연결한다. 이 목록이 있어야 교육 대상과 깊이가 정해진다.
집행 시점을 ‘교육 완료일’로만 관리하면 중요한 공백이 남는다. 사용자가 바뀌거나 기능이 업데이트될 때 누가 교육을 갱신할지, 외주 인력이 접근할 때 어떤 안내를 받을지, 오류나 편향을 발견했을 때 어디에 신고할지, 기록을 얼마 동안 보관할지까지 운영 책임을 정해야 한다. 교육은 컴플라이언스 프로젝트의 마지막 산출물이 아니라 통제 설계의 일부다.
Q1 Article 4는 누구에게 무엇을 요구하나
Article 4는 AI 시스템의 제공자와 배포자가 직원과 자신을 대신해 시스템의 운용·사용을 다루는 사람에게 충분한 AI 리터러시를 갖추도록 조치하라고 요구한다. 이때 고려 요소는 기술 지식, 경험, 교육·훈련 수준, AI가 사용되는 맥락, 영향을 받는 사람이나 집단이다. 모든 직원에게 같은 지식을 요구하는 방식과는 출발점이 다르다.
EU AI Office는 최소한의 공통 내용으로 네 가지를 제시한다. 조직이 사용하는 AI가 무엇인지에 대한 일반적 이해, 조직이 제공자인지 배포자인지에 대한 인식, 해당 시스템의 기회와 위험, 잠재적 피해를 이해하는 내용이다. 법·윤리·거버넌스도 이 범위에 연결된다. 그러나 ‘AI의 역사’와 ‘프롬프트 작성법’을 길게 가르친다고 자동으로 충분해지는 것은 아니다.
대상도 정규직으로 한정하면 안 된다. 조직을 대신해 AI를 사용하는 계약업체, 고객센터 위탁 인력, 파견 인력, 솔루션 운영 파트너가 있다면 계약·접근권한·교육을 함께 봐야 한다. 반대로 모든 외부 공급자에게 같은 과정을 강제할 필요도 없다. 실제로 어떤 AI에 접근하고 어떤 결정을 내리는지를 기준으로 요구 수준을 정하는 편이 맞다.
Q2 전 직원에게 같은 과정을 열면 충분한가
공통 입문 과정은 필요하지만 충분하지 않다. 전 직원은 승인된 도구와 금지된 사용, 개인정보·영업비밀 입력 제한, 결과 검증, 사람의 최종 책임, 사고 보고 채널을 알아야 한다. 이것이 공통 바닥이다. 문제는 그 위에서 업무 위험이 달라진다는 점이다.
마케팅 담당자가 광고 문안을 초안하는 경우와 채용 담당자가 지원자를 선별하는 경우는 같은 ‘생성형 AI 사용’이라도 영향이 다르다. 고객 상담 요약의 오류는 민원과 설명 책임으로 이어질 수 있고, 품질검사 AI의 오판은 안전과 제품 회수로 번질 수 있다. 과정의 깊이는 도구 이름이 아니라 의사결정의 결과와 사람에게 미치는 영향으로 달라져야 한다.
위험 기반 설계는 교육 시간을 무조건 늘리는 방식도 아니다. 낮은 위험의 일상 사용자는 짧은 공통 과정, 실제 사례, 업무 전 확인 문구로 충분할 수 있다. 반면 채용·평가·신용·안전·의료처럼 영향이 큰 업무의 사용자는 실제 사례를 판단하고, 출력의 한계를 설명하며, 사람이 개입할 조건을 수행평가로 보여줘야 한다. 교육량보다 통제와의 적합성이 중요하다.
Q3 역할별 AI 교육과 AI 리터러시 교육은 어떻게 나누나
역할은 최소 네 층으로 나누는 것이 실무적이다.
| 역할 | 반드시 할 수 있어야 하는 일 | 적합한 학습 방식 | 통과 증거 |
|---|---|---|---|
| 일반 사용자 | 승인 도구 선택, 민감정보 보호, 출력 확인, 이상 보고 | 짧은 공통 과정과 직무 사례 | 시나리오 문항과 사용 전 확인 |
| 업무 책임자·관리자 | 사용 승인, 위험 등급 판단, 사람 개입 조건 설정 | 사례 토론과 의사결정 리허설 | 승인 근거와 에스컬레이션 기록 |
| 디지털·데이터·운영 전문가 | 성능 한계, 데이터 품질, 변경·모니터링, 기술 통제 | 실습·테이블톱 훈련 | 테스트 결과와 변경 기록 |
| 법무·리스크·감사 | 적용 규정, 통제 적정성, 증빙, 사고 대응 | 교차 기능 워크숍 | 통제 검토와 개선 조치 |
OECD가 2026년 제시한 공공부문 AI 역량 구분도 같은 방향을 보인다. 일반 직원은 책임 있는 사용, 데이터 보호, 위험·윤리, 비판적 사고가 필요하다. 리더는 전략, 규제와 위험, 거버넌스, 데이터와 인력 준비, 변화관리를 이해해야 한다. 디지털·데이터 전문가는 개발·구현·유지보수뿐 아니라 기술·규제·윤리 위험을 줄일 수 있어야 한다.
OECD는 일반 직원, 리더, 디지털·데이터 전문가에게 서로 다른 AI 역량이 필요하다고 구분한다.
이 구분을 그대로 조직도에 붙이면 또 다른 문제가 생긴다. 한 사람이 여러 역할을 맡기 때문이다. 팀장은 일반 사용자이면서 사용 승인자일 수 있고, 데이터 분석가는 모델 운영자이면서 현업 의사결정자일 수 있다. 따라서 과정 배정은 직급이 아니라 ‘AI 사용 역할 태그’로 해야 한다. LMS의 부서 코드만으로 자동 배정하지 말고, 시스템별 접근권한과 RACI를 연결하는 편이 정확하다.
Q4 이수증 대신 어떤 증거를 남기나
EU AI Office Q&A는 특정 인증서가 필요하지 않으며 내부 교육이나 기타 안내 조치의 기록을 보관할 수 있다고 설명한다. 이 문장을 ‘아무 기록이나 있으면 된다’고 읽으면 안 된다. 출석 명단은 누가 교육 화면을 열었는지는 보여주지만, 그 내용이 사용 맥락과 위험에 맞았는지는 보여주지 못한다.
증빙은 다섯 묶음으로 남기는 것이 좋다.
- 대상 근거: 어떤 AI 시스템과 사용 역할 때문에 교육 대상이 되었는가
- 내용 근거: 해당 역할의 위험, 금지행위, 인적 감독, 보고 절차를 무엇으로 다뤘는가
- 수행 근거: 학습자가 어떤 사례를 판단하고 어떤 오류를 수정했는가
- 운영 근거: 버전, 시행일, 교육일, 면제·재교육 기준, 담당자가 누구인가
- 개선 근거: 사고, 문의, 모니터링 결과가 다음 과정과 통제에 어떻게 반영됐는가
평가는 지식시험 한 번보다 짧은 현업 시나리오가 낫다. 예를 들어 채용 담당자에게 ‘AI 결과를 신뢰해야 하는가’를 묻는 대신, 추천 점수가 낮은 후보자의 사례를 주고 어떤 추가 검토가 필요한지, 어떤 정보를 지원자에게 설명해야 하는지, 언제 사용을 중단해야 하는지를 쓰게 한다. 고객 상담 담당자라면 요약 오류를 찾고 원문으로 돌아가는 행동을 확인한다.
기록의 목적도 분명히 해야 한다. 규제 대응만을 위해 개인의 모든 프롬프트와 대화를 수집하면 개인정보와 감시 우려가 커진다. 교육 증빙, 시스템 운영 로그, 인사평가 자료를 분리하고 접근권한과 보존기간을 정해야 한다. 학습 데이터는 통제 개선에 필요한 최소 범위로 수집하는 것이 바람직하다.
Q5 한국 본사는 해외 법인을 어떻게 묶나
본사가 모든 콘텐츠를 만들어 번역해 배포하는 방식은 빠르지만 현지 사용 맥락을 놓치기 쉽다. 반대로 법인별로 전부 따로 만들면 기준과 기록이 분산된다. 가장 현실적인 모델은 ‘글로벌 공통 60, 현지·직무 40’의 모듈형 구조다. 비율 자체가 법적 기준은 아니지만 운영 원칙으로 쓸 수 있다.
글로벌 공통에는 그룹의 AI 원칙, 승인 도구, 데이터 보호, 사람의 책임, 사고 보고, 최소 용어를 넣는다. 유럽 모듈에는 조직의 제공자·배포자 역할, Article 4, 고위험 사용 여부, 현지 감독기관과 신고 경로를 반영한다. 직무 모듈에는 채용, 고객, 제조, 학습, 마케팅 등 실제 사례와 사람 개입 기준을 둔다.
책임도 나눠야 한다. 본사 AI 거버넌스는 공통 정책과 시스템 목록을, 법무는 법적 변동과 적용 판단을, HRD는 역할별 학습 설계와 기록을, 현업 책임자는 사례와 수행 기준을, IT·데이터팀은 접근권한과 모니터링을 맡는다. 유럽 법인은 현지 노동·개인정보·규제 맥락을 검토하고 실제 사용자를 확인한다. 어느 한 부서가 단독으로 ‘AI 리터러시 완료’를 선언해서는 안 된다.
일본 법인도 같은 원칙을 적용할 수 있다. 일본에서 EU 규정이 직접 적용되는지는 사업 구조에 따라 법률 검토가 필요하지만, 유럽 사업과 연결된 일본 본사·개발·구매 조직이라면 증빙과 역할 구분을 글로벌 기준으로 맞추는 편이 효율적이다. 한국 본사가 일본과 유럽을 한 과정으로 묶기보다 공통 통제를 공유하고 현지 사례를 따로 설계해야 한다.
시행일보다 먼저 닫아야 할 다섯 운영 공백
첫째, ‘누가 AI를 쓰는지 모르는 공백’을 닫아야 한다. 공식 도구뿐 아니라 부서가 개별 구매한 서비스, 무료 계정, 외주 운영을 포함해 사용 목록을 갱신한다.
둘째, ‘수료와 권한이 분리된 공백’을 닫아야 한다. 고위험 업무의 접근권한은 필수 훈련과 수행평가를 통과한 역할에 연결하고, 역할 변경·장기 미사용·기능 변경 시 재확인한다.
셋째, ‘교육과 현장 통제가 분리된 공백’을 닫아야 한다. 과정에서 사람의 검토를 가르쳤다면 화면과 업무 절차에도 검토 단계가 있어야 한다. 사용자가 혼자 주의하라는 메시지만으로는 통제가 되지 않는다.
넷째, ‘사고와 재교육이 분리된 공백’을 닫아야 한다. 오류, 민원, 편향, 데이터 유출 의심, 우회 사용을 분류하고 어떤 사건이 콘텐츠 수정과 재교육을 촉발하는지 정한다.
다섯째, ‘현행 규정과 개정 추적이 분리된 공백’을 닫아야 한다. Digital Omnibus의 최종 결과와 각국 감독기관의 집행 방식을 법무가 추적하되, HRD는 결과가 확정될 때까지 멈추지 않는다. 바뀔 수 있는 것은 조문과 집행 구조지만, 직원이 실제 위험을 이해하고 책임 있게 사용하는 능력은 이미 운영해야 할 기본 조건이다.
AI 리터러시를 특강으로 끝내면 남는 것은 출석률이다. 위험·역할별 체계로 운영하면 누가 어떤 판단을 할 수 있는지, 어디에서 사람이 개입하는지, 사고 뒤 무엇을 바꿨는지가 남는다. 2026년 8월을 준비하는 기업교육의 목표는 인증서 한 장이 아니라 이 운영 증거를 만드는 데 있다.
함께 읽을 글
출처
- European Commission AI Office, AI literacy questions & answers: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
- European Commission, AI talent, skills and literacy: https://digital-strategy.ec.europa.eu/en/policies/ai-talent-skills-and-literacy
- OECD, Building an AI-ready public workforce: Implications and strategies: https://www.oecd.org/content/dam/oecd/en/publications/reports/2026/01/building-an-ai-ready-public-workforce_5cf188ee/b89244c7-en.pdf