Copilot와 EU AI Act

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Copilot과 EU AI Act에 따른 책임을 이해합니다. 배포자의 의무, 거버넌스, 위험 관리, 투명성, 사람의 감독을 함께 살펴봅니다.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Teams Governance Sprawl with Enforced Decisions

'Compliant by Design'이라는 말을 들으면 이제 마음을 놓아도 된다고 생각하기 쉽습니다. 하지만 이런 생각은 조직을 위험에 빠뜨릴 수 있습니다. EU AI Act는 실질적인 책임을 요구하며, 그 책임이 벤더에게만 있는 것은 아닙니다. 많은 IT 및 컴플라이언스 리더가 AI 어시스턴트를 걱정합니다. AI가 권한이 없는 사람에게 데이터를 보여줄 수 있다고 우려하기 때문입니다. Microsoft Copilot 365에는 강력한 역할 기반 액세스 제어가 적용되어 있습니다. 이러한 기능은 도움이 되지만 출발점에 불과합니다. 사용자가 Copilot에 기밀 파일을 요약해 달라고 요청하는 상황을 생각해 보십시오. 현재 설정으로 모든 데이터가 안전하게 보호되고 있다고 확신할 수 있습니까?

핵심 요약

EU AI Act의 위험 등급 체계를 파악하십시오. 여러분의 AI 사용 사례가 컴플라이언스 수준을 결정합니다. 벤더가 이를 대신 정해 주지 않습니다.
Copilot의 컴플라이언스 기능을 활용하십시오. 올바른 방식으로 설정했는지 확인하십시오. 기본 설정이 EU 규정을 충족하지 않을 수 있습니다.
AI를 사용할 때의 모든 단계를 기록하십시오. 기록을 잘 남기면 규정을 준수했음을 입증하는 데 도움이 되며, 큰 과태료를 피하는 데도 도움이 될 수 있습니다.
팀에 AI 안전성과 컴플라이언스를 교육하십시오. 모든 구성원이 무엇을 해야 하는지, 그리고 AI 도구 사용 규칙이 무엇인지 알고 있어야 합니다.
컴플라이언스 계획을 자주 점검하고 업데이트하십시오. 새로운 규정을 계속 파악하면 법을 지키는 상태를 유지하는 데 도움이 됩니다.

EU AI Act 위험 등급 체계 해설

위험 범주와 사용 사례

어떤 AI 도구를 배포하기 전에든 EU AI Act의 위험 등급 체계를 이해해야 합니다. 이 법은 AI 시스템을 네 가지 위험 등급으로 분류합니다. 각 등급에는 따라야 할 서로 다른 규칙이 적용됩니다. 다음 표는 위험 등급 체계가 어떻게 작동하는지 보여줍니다.

위험 등급	설명
허용 불가 위험	사회적 점수화 시스템이나 조작적 관행처럼 완전히 금지된 AI 시스템입니다.
고위험	적합성 평가와 EU 데이터베이스 등록을 포함한 엄격한 요건의 적용을 받습니다.
제한된 위험	투명성 의무를 충족해야 합니다.
최소 위험	배포자에게 기본적인 AI 리터러시 요건만 적용되며 자유롭게 운영할 수 있습니다.

등급이 올라갈수록 의무도 늘어납니다. 이메일 초안 작성처럼 단순한 작업에 Copilot이나 ChatGPT를 사용한다면 최소 위험 또는 제한된 위험 범주에 해당합니다. 채용, 신용 평가, 건강 조언에 이 도구를 사용한다면 고위험 영역에 들어서게 됩니다. 이때는 더 많은 규정을 따라야 하며 더 철저한 기록을 유지해야 합니다.

벤더보다 사용 사례가 중요한 이유

벤더나 모델이 위험 수준을 결정한다고 생각할 수 있습니다. 하지만 그렇지 않습니다. AI를 사용하는 방식이 위험 수준을 정합니다. 명확한 사용 사례와 요건을 수립해야 합니다. 해결하려는 문제가 무엇인지 문서화하고, AI가 올바른 해법인지 확인해야 합니다. 또한 출력 결과의 위험과 품질 관리 방안도 평가해야 합니다. AI 결과를 어떻게 활용할지, 그리고 무엇이 잘못될 수 있는지 스스로에게 물어보십시오.

다음은 몇 가지 예입니다.

Copilot으로 회의 메모를 요약한다면 제한된 위험에 해당합니다.
ChatGPT로 대출 승인 대상을 결정하는 데 사용한다면 고위험에 해당합니다.
사회적 점수화를 위해 자체 AI를 구축한다면 허용 불가 위험에 해당합니다.

브랜드나 모델보다 사용 사례에 집중해야 합니다. Compliant by Design 기능은 도움이 되지만, 여러분의 AI 사용을 적절한 위험 등급에 맞추고 규정을 준수하는 작업은 여전히 필요합니다.

Compliant by Design – Copilot의 컴플라이언스 스캐폴딩

컴플라이언스를 위한 기본 제공 기능

Microsoft 365에서 Copilot을 사용하면 든든한 출발점을 확보할 수 있습니다. 플랫폼은 데이터를 안전하게 유지하는 데 도움이 되는 다양한 도구를 제공합니다. 이 도구들은 함께 작동하여 규정을 준수하는 데 도움을 줍니다. 주요 도구는 아래 표에서 확인할 수 있습니다.

컴플라이언스 기능	설명
Microsoft Purview 민감도 레이블	기밀 데이터를 표시하고 Copilot이 이를 사용하지 못하도록 차단할 수 있습니다.
데이터 분류	Copilot이 사용할 수 있는 데이터를 선택하여 개인 데이터를 안전하게 보호합니다.
Microsoft 365 EU 데이터 경계	EU 규정을 준수하도록 데이터가 저장되고 처리되는 위치를 선택할 수 있습니다.
DLP 정책	개인 콘텐츠를 Copilot이 사용하지 못하도록 데이터 손실 방지(DLP) 규칙을 설정합니다.
모니터링 및 로깅	로그와 보고서를 확인하여 문제나 유출을 찾아낼 수 있습니다.

이 도구들은 Copilot이 Compliant by Design 방식을 지원하도록 돕습니다. 데이터를 관리하고, 누가 데이터를 볼 수 있는지 통제하고, 어떤 일이 일어나는지 모니터링하는 데 도움을 받을 수 있습니다. 모든 것을 직접 구축할 필요는 없습니다. 이 도구들을 규정 준수 계획의 기반으로 활용할 수 있습니다.

팁: Copilot은 프롬프트나 응답을 모델 학습에 사용하지 않습니다. 이를 통해 데이터가 비공개로 유지되고 위험이 낮아집니다.

배포자가 여전히 구성해야 할 항목

기본 설정만 그대로 사용할 수는 없습니다. Copilot이 EU AI Act 규칙을 따르도록 설정을 변경해야 합니다. Compliant by Design은 시작에 도움을 주지만, 마무리 작업은 여러분이 직접 해야 합니다. 규제 기관은 약속이 아니라 증빙을 원합니다.

규정 준수 수준을 강화하기 위한 단계는 다음과 같습니다.

Copilot을 켜기 전에 SharePoint, OneDrive, Teams의 권한을 확인하고 수정하십시오. 사용자에게 필요하지 않은 액세스 권한은 제거하십시오.
최소 권한 원칙을 적용하십시오. 그룹 목록과 공유 설정을 점검하고, 사용자가 필요한 정보만 볼 수 있도록 하십시오.
개인 데이터를 다루는 사용자에게 더 강력한 데이터 보호가 필요하다면 E5 라이선스 도입을 검토하십시오.
사용자를 교육하십시오. Copilot이 조직의 데이터 규칙을 따른다는 점을 알리고, Copilot이 할 수 있는 일과 할 수 없는 일을 모두가 알고 있도록 하십시오.

Copilot을 위해 Purview 민감도 레이블과 DLP 규칙을 설정해야 합니다. 데이터 보존 기간을 정하고 감사 로그를 점검해야 합니다. 과도한 공유를 막기 위해 SharePoint 검색을 제한하는 것이 좋습니다. 위험 점검 내용을 문서로 작성하고, 수행한 작업의 기록을 보관해야 합니다.

Compliant by Design이 곧 규정 준수 완료를 의미하지는 않습니다. 이러한 도구를 자체 환경에서 어떻게 활용했는지 입증해야 합니다. 규제 기관은 증빙을 원합니다. 규정 준수 단계를 설정하고, 모니터링하고, 기록했다는 점을 보여줘야 합니다.

ChatGPT와 Azure OpenAI – 자체 거버넌스 적용하기

공개 ChatGPT의 규정 준수 공백

공개 ChatGPT를 사용하는 것은 큰 도전입니다. Copilot에는 통제 기능이 내장되어 있지만 ChatGPT에는 없습니다. 자체 규칙과 안전 점검을 마련해야 합니다. 많은 조직이 이를 어려운 경험을 통해 배웠습니다.

Tromsø 시 사례를 살펴보십시오. 공무원들이 보고서 대부분을 AI로 작성했습니다. 공유하기 전에 사실 여부를 확인한 사람은 없었습니다. 보고서에는 잘못된 정보가 포함되어 있었습니다. 이 실수는 평판을 떨어뜨렸고 업무에도 문제를 일으켰습니다. 강력한 규칙이 없으면 통제력을 쉽게 잃게 됩니다.

해결해야 할 주요 문제는 다음과 같습니다.

프롬프트와 응답에 대한 자동 기록이 없습니다.
데이터 유출을 막거나 민감한 데이터에 레이블을 지정하는 내장 방법이 없습니다.
AI가 생성한 콘텐츠에 대한 경고나 레이블이 없습니다.
중요한 결과에 대한 사람의 검토가 없습니다.
액세스를 제한하거나 데이터 저장 위치를 통제하는 명확한 방법이 없습니다.

이러한 문제는 직접 해결해야 합니다. EU AI Act는 위험을 어떻게 다루는지 보여주고, 선택 사항을 문서화하며, 기록을 보관하기를 요구합니다.

중간 대안으로서의 Azure OpenAI

Azure OpenAI는 공개 ChatGPT보다 더 많은 통제권을 제공합니다. 회사 계정을 사용할 수 있고, 사용 대상을 지정할 수 있으며, 사용자의 활동을 모니터링할 수 있습니다. 더 나은 기록을 확보할 수 있고 데이터를 회사 내부에 보관할 수 있습니다. 이러한 도구는 EU AI Act의 일부 규칙을 준수하는 데 도움이 됩니다.

하지만 대부분의 작업은 여전히 여러분의 몫입니다. 다음을 수행해야 합니다.

활용 방식마다 데이터 보호 영향 평가(DPIA)를 수행하십시오.
처리 활동 기록을 유지하십시오.
데이터 유출을 막는 규칙을 설정하고 데이터 보존 기간을 결정하십시오.
로그를 점검하고 결과를 검토하십시오.
사용자에게 AI를 안전하게 사용하고 규칙을 따르는 방법을 교육하십시오.

Azure OpenAI는 시작에 도움을 주지만, 마무리 작업은 여러분이 직접 해야 합니다. 명확한 기록과 점검으로 증빙을 제시해야 합니다. EU AI Act는 약속을 인정하지 않습니다. 수행한 작업을 보여줘야 합니다.

배포자를 위한 EU AI Act 생존 키트

EU AI Act 규칙을 따르려면 간단한 계획이 필요합니다. 이 키트는 체계적으로 준비하는 데 도움을 줍니다. Copilot, ChatGPT, Azure OpenAI를 위한 간단한 단계, 도구, 팁을 제공합니다. 이 키트를 활용해 조직을 안전하게 관리하고, 규제 기관에 규정 준수에 대한 관심을 보여주십시오.

위험 분류 및 문서화

먼저 AI 시스템의 목록과 사용 방식을 정리하십시오. AI가 어디에서 사용되는지, 각 시스템이 무엇을 하는지 알아야 합니다. 위험을 분류하고 문서화하려면 다음 단계를 따르십시오.

조직이 사용, 개발, 도입 또는 유럽에서 판매하는 모든 AI 도구와 모델을 문서로 작성하십시오.
각 시스템에 대해 조직이 제공자, 배포자, 수입자, 유통자 중 어디에 해당하는지 결정하십시오.
EU AI Act가 각 시스템 또는 모델에 적용되는지 확인하십시오.
각 AI 활용 사례에 위험 수준을 지정하십시오: 허용 불가, 고위험, 제한적, 최소.
계약서를 검토하고 AI 서비스 세부 정보를 확인합니다.
EU AI Act의 규칙에 맞춰 AI 거버넌스 계획을 새로 수립하거나 업데이트합니다.
AI 시스템이나 모델에 적용하는 모든 변경 사항을 기록으로 남깁니다.

수행하는 모든 단계를 반드시 기록해야 합니다. 기록을 제대로 보관하지 않으면 큰 과징금을 부과받을 수 있습니다.

EU AI Act에 대비해 기록을 남기지 않는 배포자(deployer)는, 위험 판단이 올바르더라도 규제 기관에 전체 정보를 제공하지 않은 이유로 750만 유로의 과징금과 같은 큰 문제에 처할 수 있습니다.

Purview, DLP 및 액세스 구성

데이터를 안전하게 보호하려면 강력한 통제 장치를 갖춰야 합니다. Purview, 데이터 손실 방지(DLP), 액세스 제어를 활용해 EU AI Act 규칙을 충족해야 합니다. 아래 표에 필요한 항목을 정리했습니다.

요구 사항/통제 항목	설명
규정 준수 포털 액세스	Entra Compliance Administrator 또는 이와 유사한 역할을 부여합니다.
모니터링 라이선스	Microsoft 365 Copilot 라이선스를 사용해 Copilot 사용 현황을 모니터링합니다.
데이터 거버넌스	데이터 거버넌스 기능을 위해 Microsoft 365 E5 또는 추가 기능(애드온)을 확보합니다.
엔드포인트 DLP	브라우저와 앱에서의 AI 사용을 모니터링합니다.
브라우저 확장	Chrome/Edge용 Purview 브라우저 확장을 추가해 규칙을 설정합니다.
내부 위험 관리	위험을 조기에 발견하려면 E5 또는 추가 기능을 사용합니다.
감사	Purview 감사를 켭니다.
디바이스 온보딩	엔드포인트 DLP를 위해 디바이스를 추가합니다.
확장 배포	Chrome/Edge용 브라우저 확장을 추가합니다.
정책 구성	내부 위험 관리 규칙을 설정합니다.

일반적인 요구에 맞춰 DLP 규칙을 그룹화합니다. 규칙에는 가장 엄격한 작업을 먼저 적용해야 합니다. 감사 로그와 DLP 보고서를 자주 확인해 규칙을 준수하고 있는지 점검합니다.

로깅, 투명성 및 인적 감독

AI 사용 현황을 추적하고 투명성을 유지해야 합니다. 규제 기관은 시스템을 어떻게 통제하고 모니터링하는지 확인하려 합니다. 다음 모범 사례를 활용합니다.

모범 사례	설명
인적 감독 구현	고위험 AI 시스템은 사람이 결과를 검토하고 필요하면 개입할 수 있도록 설정합니다.
시장 출시 후 모니터링 구축	위험을 계속 감시하고, 작동 방식을 추적하고, 문제를 보고합니다. 로그는 항상 최신 상태로 유지합니다.

AI가 만든 모든 콘텐츠에는 명확한 레이블을 추가합니다. 바닥글이나 워터마크를 사용해 AI가 파일이나 메시지 작성에 관여했음을 표시합니다. 특히 채용이나 신용 평가처럼 중요한 결정은 사람이 반드시 확인하도록 합니다.

교육 및 내부 정책

팀원들이 AI를 안전하게 사용하도록 교육해야 합니다. 모든 직원을 대상으로 탄탄한 규칙과 교육을 마련합니다. 모든 직원이 자신의 역할과 규칙을 정확히 알고 있어야 합니다.

비즈니스 사용자, 관리자, 컴플라이언스 담당자 등 각자의 직무에 맞춘 교육을 제공합니다.
허용되는 AI 사용과 허용되지 않는 AI 사용에 대한 규칙을 공유합니다.
Copilot에 출처 표시나 검토 메모 추가를 요청하는 등 규정 준수에 도움이 되는 프롬프트와 설정을 사용합니다.
EU AI Act가 변경되면 내부 규칙도 함께 변경합니다.

사용자가 업무를 익힐 수 있도록 기본 제공 도구를 활용할 수 있습니다. 범용 AI 모델과 AI 시스템의 차이를 설명하는 가이드를 제공합니다. 규정 준수를 돕는 템플릿과 체크리스트가 담긴 스타터 팩도 함께 제공합니다.

30/60/90일 실행 계획과 내부 커뮤니케이션

규정 준수 작업을 마치려면 일정이 필요합니다. 다음은 간단한 실행 계획입니다.

처음 30일:

모든 AI 시스템과 사용 사례를 목록으로 정리합니다.
역할을 배정하고 위험 수준을 정합니다.
DPIA와 RoPA 작성을 시작합니다.

다음 60일:

Purview, DLP 및 액세스 제어를 설정합니다.
감사와 모니터링을 켭니다.
주요 팀을 대상으로 교육을 시작합니다.

마지막 90일:

규칙을 검토하고 업데이트합니다.
인적 점검과 명확한 레이블을 테스트합니다.
규제 기관에 제출할 증빙 자료를 준비합니다.

팀에 다음 메시지를 공유합니다.

우리는 “Compliant by Design” 계획에 따라 AI 도구를 사용하고 있습니다. 모든 구성원은 새로운 규칙과 교육을 따라야 합니다. 우리는 EU AI Act 규칙을 충족하기 위해 모든 단계를 추적하고, 점검하고, 기록합니다.

이 키트를 활용해 탄탄한 규정 준수 계획을 세우십시오. 이를 통해 조직을 안전하게 보호하고 모든 구성원이 AI를 올바르게 사용하도록 도울 수 있습니다.

“compliant by design”이라는 말만 믿어서는 안 됩니다. 규칙을 준수하고 있다는 증거를 제시해야 합니다. EU AI Act는 수행해야 할 명확한 의무를 부여합니다. 규칙을 따르지 않으면 큰 과징금을 부과받을 수 있으며, 과징금은 최대 1,500만 유로 또는 회사 총매출의 3%에 이를 수 있습니다.

준수 항목	설명
운영상 책임	AI를 안전하고 합법적인 방식으로 사용해야 합니다.
미준수에 대한 제재	규칙을 위반하면 큰 과징금을 부과받을 수 있습니다.

AI 거버넌스는 중요합니다. AI 사용 방식을 면밀히 살펴야 합니다. 책임자를 지정하고 반복 가능한 절차를 마련해야 합니다. AI 도구를 자주 점검하세요. 규정 준수 도구를 설정하고 수행한 모든 작업을 기록하세요. 규칙을 활용해 사람들이 회사를 신뢰하게 하고 AI를 안전하게 유지하세요.

자주 묻는 질문

Copilot에서 "설계 단계부터 규정 준수"는 무엇을 의미합니까?

"설계 단계부터 규정 준수"는 Copilot에 규정 준수를 돕는 기본 제공 도구가 포함되어 있다는 뜻입니다. 그래도 규정 준수를 직접 구성하고, 점검하고, 입증해야 합니다. 공급업체 기능에만 의존할 수는 없습니다.

Copilot이나 ChatGPT에도 DPIA를 수행해야 합니까?

네, 해야 합니다. AI 사용 사례마다 개인정보 보호 영향 평가(DPIA)를 수행해야 합니다. 이를 통해 위험을 파악하고, 개인정보 보호를 중요하게 생각한다는 점을 규제 기관에 보여줄 수 있습니다.

EU AI 법을 준수한다는 것을 어떻게 입증합니까?

기록을 보관하고, 통제 장치를 구성하고, 로그를 제시해야 합니다. 규제 기관은 약속이 아니라 증거를 원합니다. 감사 로그, 위험 문서, 교육 기록을 증거로 활용하세요.

고위험 작업에 공개 ChatGPT를 사용해도 됩니까?

아니요. 공개 ChatGPT에는 고위험 작업을 위한 기본 제공 통제 장치가 없습니다. 자체 안전 점검을 추가해야 합니다. 민감한 용도에는 규정 준수 기능이 강력한 도구를 선택하세요.

배포자가 저지르는 가장 큰 실수는 무엇입니까?

많은 사람이 공급업체 도구만으로 규정을 준수하게 된다고 생각합니다. 모든 것을 구성하고, 모니터링하고, 문서화해야 합니다. 입증은 언제나 약속을 이깁니다.

함께 들어야 할 에피소드

EU AI 법과 Microsoft Copilot을 조사 중이라면, 다음 에피소드에서 구현, 아키텍처, 보안, 거버넌스에 관한 실무적인 배경을 얻을 수 있습니다:

Microsoft Teams Governance – The Illusion of Control — 소유권, 정책, 수명 주기 결정이 안정적인 Microsoft 365 운영을 어떻게 좌우하는지 살펴봅니다.
Microsoft AI Agent Harness – Simply Explained — AI 기반 워크플로의 오케스트레이션, 가드레일, 평가, 관찰 가능성을 이해합니다.
Azure AI Foundry – Simply Explained — 엔터프라이즈 AI 솔루션이 어떻게 구축, 평가, 배포, 거버넌스되는지 알아봅니다.
Microsoft Defender XDR – Simply Explained — 구현 방식의 선택을 보안 가시성, 조사, 대응과 연결해 봅니다.