Data·Knowledge 거버넌스
거버넌스는 위원회 이름이 아니라 데이터와 지식에 관한 결정을 누가, 어떤 증거로, 언제까지 내리는지 정하는 운영 규칙이다. Data Ready는 수집·품질·보호 책임을, Knowledge Ready는 의미·효력·근거 승인 책임을 명확히 해야 한다. NIST AI RMF는 거버넌스를 나머지 위험관리 활동에 스며드는 교차 기능으로 두며, 정책·역할·책임·문서화와 제3자 데이터 위험까지 다룬다. (NIST AI RMF Core)
최소 운영 모델
작은 조직에서는 데이터·지식 스튜어드를 한 사람이 맡아도 괜찮지만 어떤 모자를 쓰고 결정했는지 기록한다. 승인권과 실행권은 구분하며 AI 담당자가 자신이 만든 검색 결과를 업무상 SSoT로 승인해서는 안 된다.
Data와 Knowledge 제품 카드를 함께 둔다
AI에 제공되는 범위마다 다음 항목을 한 카드에 함께 유지하되 책임자를 구분한다.
| 준비축 | 필드 | 답해야 할 내용 |
|---|---|---|
| 공통 | 이름과 목적 | 어느 유즈케이스의 어떤 질문을 지원하는가 |
| Data | 원천과 범위 | 시스템, 폴더, 테이블, 메일함, 제외 범위 |
| Data | 정보등급·ACL·보존 | 누가 왜 수집·읽고 언제 삭제하는가 |
| Data | 품질·계보 | 추출·정확성·완전성·중복·변환·삭제 SLO는 무엇인가 |
| Knowledge | 용어와 대상 | 표준 정의·동의어·코드와 적용 대상은 무엇인가 |
| Knowledge | 권위와 효력 | SSoT·승인·시행·폐기·대체·충돌 규칙은 무엇인가 |
| Knowledge | 근거와 관계 | 사실·규칙·결정이 어느 원문·조건·예외와 연결되는가 |
| 공통 | 소유자와 스튜어드 | 품질·의미·효력·예외를 결정할 실명 담당자는 누구인가 |
| AI 운영 | 평가·모니터링 | 골든셋·피드백·오류·사고·업무 효과를 어떻게 측정하는가 |
다섯 개의 의사결정 기록
1. 출처 등록
새 폴더나 메일함을 연결하기 전에 목적, 소유자, 등급, ACL, 보존, 예상 형식과 규모를 데이터 원천 인벤토리에 등록한다.
2. 데이터 품질 예외
어떤 추출·결측·중복 오류를 어느 기간 허용했는지, 영향을 받는 원천과 보완 통제가 무엇인지 데이터 품질 점수표에 남긴다.
3. 지식 승인과 SSoT·충돌 판정
문서 제목이나 수정일만으로 최신본을 정하지 않는다. 승인 상태, 효력일, 소유자, 문서 유형별 권위, 폐기 표시를 사용하고 충돌은 SSoT·충돌대장에 남기고 승인된 지식 단위와 연결한다.
4. 변경과 폐기
원본 수정·권한 회수·보존 만료·법적 보존 명령이 생기면 파생 텍스트뿐 아니라 승인 지식, 청크, 임베딩, 검색 색인, 답변 캐시, 평가 데이터에 같은 변경이 전파돼야 한다.
5. AI 게시와 중단
Data와 Knowledge 게이트의 버전, 골든셋 결과, 잔여 위험과 롤백 기준을 확인한 조합만 AI 서비스에 게시한다. 모델·색인만 승인하고 데이터·지식 버전을 빼지 않는다.
회의체는 예외를 결정할 때만 연다
| 주기 | 참가자 | 결정할 것 | 가져올 증거 |
|---|---|---|---|
| 매주 파일럿 | 스튜어드·AI·사용자 대표 | 상위 오류와 수정 우선순위 | 실패 질문, 원문, 원인 분류 |
| 매월 준비도 | 업무 소유자·데이터/지식 스튜어드·IT | SSoT 충돌, 품질 예외, 원천·지식 변경 | 충돌대장, 품질 추세, 계보 |
| 분기 위험 | 소유자·보안·법무·플랫폼 | 접근·보존·사고·확대 승인 | 감사로그, 삭제 증거, 위협모델 |
상태 공유는 대시보드로 하고, 회의는 권한·예외·자원처럼 담당자 혼자 결정할 수 없는 안건에 집중한다. 결정은 의사결정 로그에 남긴다.
기록과 보존은 AI 프로젝트 밖의 책임이다
메일·채팅·음성도 업무 결정의 증거가 될 수 있다. 단순 아카이브는 기록 분류, 보존, 법적 보존, 접근, 폐기를 모두 해결하지 않는다. 전자기록의 생애주기 요구사항을 체계화한 NARA Universal ERM Requirements처럼, AI 색인은 기존 기록관리 정책을 상속해야 한다.
복사본이 새 보존 의무를 만든다
원본이 삭제됐는데 벡터 색인과 답변 캐시에 내용이 남으면 정책을 지킨 것이 아니다. 파생 저장소를 데이터 인벤토리와 삭제 절차에 포함한다.
성공 지표
- 소유자 없는 원천 수와 해소 시간
- 소유자·근거 없는 지식 후보 수와 해소 시간
- 기한이 지난 검토·승인·폐기 문서 수
- SSoT 충돌 건수와 평균 판정 시간
- 품질 예외의 만료·재승인 비율
- 원본 변경·ACL 회수·삭제의 파생물 전파 시간
- 출처 없는 답변과 사용자 신고의 처리 시간
거버넌스 문서를 만들었다면 온프레미스 보안에서 실제 데이터 경로와 권한 상속을 확인한다.
품질·메타데이터·계보·성숙도 프레임의 선택 근거는 표준·품질·거버넌스 근거표에 정리했다.