1. 실무자가 먼저 봐야 할 현행 문서
| 분야 | 최우선 문서 | 적용 포인트 |
|---|---|---|
| 사업 전체 | 공공부문 AI 도입·활용 가이드, 행안부·NIA, 2026.6 | 기획–예산–계약–구축–운영 5단계, 범정부 AI 공통기반, RAG·내부지식 활용 |
| 국가·공공 보안 | 국가·공공기관 AI보안 가이드북, 국정원, 2025.12 | 국가·공공기관 AI 시스템, 에이전틱 AI·피지컬 AI까지 포함 |
| AI 기술보안 | 인공지능(AI) 보안 안내서, KISA, 2025.12/정오수정 2026 | 데이터·모델·서비스 생명주기 공격과 보호조치. 반드시 '정오 수정본' 사용 |
| 공격 검증 | AI 보안 레드티밍 가이드, KISA, 2026.7 | 레드팀 구성, 범위·시나리오 설계, 수행, 증적, 결과보고 |
| 위협·사고 대응 | AI 보안 위협 대응 매뉴얼, KISA, 2026.7 | AI 위협 분류·진단, 산업별 시나리오, 위협별 대응 |
| 개인정보 | 공공 AX 프라이버시 보호 안내서, 개보위, 2026.7 | 사전설계–개발·구축–적용·관리 3단계, 10대 점검사항 |
| 망·클라우드 | N²SF 보안가이드라인 1.0, 국정원/NCSC, 2025.9 | 업무·데이터 중요도 기반 망·클라우드·AI 이용 |
| AI 데이터 | 공공데이터의 인공지능 친화적 관리 가이드라인, 행안부·NIA, 2026 | AI가 읽기 쉬운 구조·메타데이터·문서화·품질·접근성 |
| AI기본법 | AI기본법 주요 가이드라인 5종, 과기정통부, 2026 | 투명성, 고영향 AI 판단·책무, 영향평가, 최첨단 AI 안전성 |
| 금융기관 | 금융분야 인공지능 가이드라인, 금융위, 2026.6 | 거버넌스·합법성·보조수단성·신뢰성·금융안정성·신의성실·보안성 |
| 금융 보안 | 금융분야 인공지능 보안 안내서, 금융보안원, 2026.6 | 금융위 가이드라인의 '보안성 원칙'을 구체화 |
2. 행정안전부·NIA·디지털플랫폼정부위원회
| 문서 | 상태·용도 |
|---|---|
| 공공부문 AI 도입·활용 가이드, 2026.6 | 현행 핵심. 기획·예산·계약·구축·운영 단계별 과업과 점검사항 |
| 공공부문 초거대 AI 도입·활용 가이드라인 2.0, 2025.4 | 도입 절차, 성과관리, 체크리스트. 110개 실증사례집과 해외 사례 인벤토리 포함 |
| 공공부문 초거대 AI 도입·활용 가이드라인 1.0, 2024.4 | 최초판. 데이터 보안등급, 클라우드 구성, 학습방식, 서비스 획득, SLO·유지관리. 신규 사업에는 2026판 우선 |
| 공공부문 AI 도입·활용 사례집, 2025.12 | 저비용 PoC, 행정 인수인계, 설문 자동분석 등 실제 구축 사례 |
| 공공부문 데이터 분석 업무 운영 가이드, 2025.12 | 기획–수집·정제–분석–해석–정책 활용의 표준 절차와 체크리스트 |
| AI 정부 서비스 사례집, 2026.3 | 6개 분야 16개 정부 AI 서비스 사례 |
| 공공데이터의 인공지능 친화적 관리 가이드라인, 2026 | AI-ready 데이터 구조, 메타데이터, 문서화, 품질·접근·책임성. NIA는 v1.1 개정을 공지했으므로 다운로드 시 파일 버전 확인 필요 |
| 공공기관 신뢰가능 AI 구현 실용가이드, 2019 | OECD 원칙 기반의 거버넌스·위험관리·인간개입·데이터관리. 원칙 참고용이며 구축절차는 최신 문서 우선 |
| 챗GPT 활용방법 및 주의사항 안내, 행안부, 2023.5 | 직원의 외부 생성형 AI 이용을 위한 초기 지침. 현재는 국정원·KISA·2026 행안부 가이드와 함께 적용 |
3. 국정원·국가사이버안보센터
| 문서 | 상태·용도 |
|---|---|
| 국가·공공기관 AI보안 가이드북, 2025.12 | 현행 핵심. AI 위협, 시스템 보안대책, 에이전틱·피지컬 AI 보안대책 |
| 국가 망 보안체계(N²SF) 보안가이드라인 1.0, 2025.9 | 데이터·업무 중요도에 따른 위험 기반 통제. 민간 클라우드·AI 활용의 망 설계 기준 |
| 인공지능 위험 사례집, 2025.11 | 국가안보, 재난·인프라, 경제·산업·의료, 사회·민생·인권 위험 시나리오 |
| 인공지능과 머신러닝 공급망 위험 및 완화방안, 2026.3 | 데이터, 모델, SW, 인프라·하드웨어, 제3자 AI 서비스 공급망 점검 |
| 챗GPT 등 생성형 AI 활용 보안 가이드라인, 2023.6 | 외부 생성형 AI에 대한 계정·입력정보·결과물·플러그인·API 키·프롬프트 인젝션 주의. 직원 SaaS 이용지침으로 여전히 참고 가능 |
적용 우선순위는 국가·공공기관 AI보안 가이드북 → N²SF → 기관 보안규정·보안성 검토 → KISA 기술 가이드입니다.
4. KISA — AI 보안·레드팀·취약점·공급망
AI 자체에 대한 보안 문서
| 문서 | 용도 |
|---|---|
| 인공지능(AI) 보안 안내서 | 데이터·모델·애플리케이션·운영환경의 AI 보안 기준 |
| AI 보안 레드티밍 가이드 | 배포 전 적대적 공격시험 및 결과보고 |
| AI 보안 위협 대응 매뉴얼 | 위협 진단과 사고 대응 시나리오 |
| N²SF 실증 사례집 | 공공 업무환경의 N²SF 적용 사례. 기관별 재설계 필요 |
AI 플랫폼·인프라 취약점에 함께 적용할 문서
| 문서 | 적용 대상 |
|---|---|
| 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드, 2025.12 | 서버·DB·네트워크·웹·보안장비 등 AI 인프라 |
| 주요정보통신기반시설 관리·물리적 취약점 분석·평가 방법 안내서, 2025.12 | 인력·운영·출입·물리환경 |
| 소프트웨어 보안약점 진단가이드, 2021 | RAG·에이전트·API·관리도구 소스코드 보안약점 |
| 소프트웨어 개발보안 가이드, 2021 | AI 응용시스템의 시큐어 SDLC |
| SW 공급망 보안 가이드라인 1.0, 2024.5 | 오픈소스 모델·라이브러리·컨테이너·플러그인·SBOM |
| SW 공급망 보안 강화 로드맵, 2026.6 | 공급망 보안 정책·이행 방향 |
| 제로트러스트 가이드라인 2.0, 2024.12 | AI API·관리자·에이전트·데이터 접근의 지속 검증 |
| 제로트러스트 성숙도 모델 해설서, 2025.12 | 기관의 단계적 제로트러스트 수준 평가 |
| OT 환경의 제로트러스트 적용 안내서, 2025.12 | 피지컬 AI·시설·교통·에너지·스마트시티 |
| CSAP 제도 안내 | 공공 AX가 민간 클라우드·SaaS를 이용할 때 인증등급·범위 확인 |
| 모바일 대민서비스 보안취약점 점검 가이드 | AI 민원·상담 서비스가 모바일 앱으로 제공되는 경우 |
모델·프롬프트·RAG·에이전트 취약점은 KISA AI 3종 문서로, 일반 웹·API·서버·클라우드 취약점은 기존 취약점·개발보안 문서로 분리해 점검해야 합니다.
5. 금융위·금감원·금융보안원
| 문서 | 역할 |
|---|---|
| 금융분야 인공지능 가이드라인, 금융위, 2026.6.22 시행 | 모든 금융회사 및 금융거래에 영향을 주는 핀테크 대상. 7대 원칙과 자율규제 기준 |
| 금융분야 AI 위험관리프레임워크, 금감원, 2026.6 | 거버넌스 원칙을 구체화. 위험등급, 독립적 검증, 인적개입, 모니터링. 금융위 배포자료에서 함께 제공 |
| 금융분야 인공지능 보안 안내서, 금융보안원, 2026.6 | 보안성 원칙을 구체화한 최신 실무 보안 기준 |
| 프런티어 AI 보안 위협 금융분야 대응 요령, 금융보안원, 2026.7 | 고성능·프런티어 모델의 탈취, 오용, 공급망·시스템 위험 대응 |
| 내부업무망 SaaS 망분리 예외 적용 보안 해설서, 2026.4 | 금융회사 내부망에서 생성형 AI SaaS를 사용하는 경우의 보안관리 |
| 2026년 전자금융기반시설 보안 취약점 평가기준 안내서, 2026.2 | AI 서비스가 탑재된 전자금융기반시설의 일반 취약점 평가 |
| AI 기반 신용평가모형 검증체계, 2023 | 데이터 적정성, 변수·알고리즘 합리성, 통계적 유의성, 설명가능성 검증 |
금융위는 2026년 통합 가이드라인을 만들면서 금융분야 AI 운영 가이드라인(2021.7), AI 개발·활용 안내서(2022.8), AI 보안 가이드라인(2023.4)을 통합·개정했습니다. 2023년 보안 가이드라인은 참고 가치가 있지만, 신규 사업에는 2026년 금융분야 인공지능 보안 안내서를 우선 적용해야 합니다.
6. 개인정보보호위원회
| 문서 | 적용 상황 |
|---|---|
| 공공 AX 프라이버시 보호 안내서, 2026.7 | 공공기관 AI 업무지원, 연계·분석·추천, 심사·판단 시스템 |
| 생성형 AI 개발·활용을 위한 개인정보 처리 안내서, 2025.8 | 생성형 AI 전체 생명주기의 적법근거와 안전조치 |
| 공개된 개인정보 처리 안내서, 2024.7 | 인터넷 공개정보·공개 게시물 등을 AI 학습에 사용하는 경우 |
| AI 프라이버시 리스크 관리 모델, 2024.12 | 프라이버시 위험 식별·평가·완화 |
| 자동화된 결정에 대한 정보주체 권리 안내서, 2024.9 | 자격심사·선정·평가·위험등급 등 권리·의무에 영향을 미치는 AI |
| 생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드, 2026.5 | 공무원·직원이 외부 생성형 AI를 사용할 때의 입력정보 보호 |
| 합성데이터 생성·활용 안내서, 2024.12 | 학습·시험용 합성데이터 생성, 안전성 검증 |
| 가명정보 처리 가이드라인, 2026.3 | AI 학습·분석용 가명처리, 위험도 기반 적정성 검토 |
| 개인정보 영향평가 수행안내서, 2025.10/12 수정 | 공공기관 AI 분야 평가항목 포함. 영향평가 대상 시스템이면 필수 검토 |
| 개인정보의 안전성 확보조치 기준 안내서, 2025.11 | 접근통제, 권한, 로그, 암호화, 접속기록 등 운영 보안 |
2021년 AI 개인정보보호 자율점검표는 개보위가 과거 안내서로 분류하고 있으므로, 현재는 AI 프라이버시 리스크 관리 모델과 공공 AX 안내서를 사용해야 합니다.
7. 과기정통부·TTA·KISDI — AI기본법·신뢰성·윤리
과기정통부 통합 게시물에서 AI기본법 주요 가이드라인 5종을 제공합니다:
- 인공지능 투명성 확보 가이드라인
- 최첨단 인공지능 안전성 확보 가이드라인
- 고영향 인공지능 판단 가이드라인
- 고영향 인공지능 사업자 책무 가이드라인
- 인공지능 영향평가 가이드라인 (평가서 양식·작성 예시 포함)
공공기관이 국민에게 AI 서비스를 직접 제공하거나 심사·추천·선정에 AI를 사용한다면 고영향 AI 여부, 사전고지, 생성물 표시, 영향평가, 인간 감독을 별도로 검토해야 합니다.
추가 신뢰성 문서:
- 신뢰할 수 있는 인공지능 개발 안내서 — 일반 15개 요구사항·67개 검증항목과 공공·사회, 생성 AI, 의료, 자율주행, 스마트 치안, 채용 분야별 안내서
- 2026 인공지능 윤리기준 실천 자율점검표 — 인권, 프라이버시, 다양성, 침해금지, 공공성, 연대성, 데이터관리, 책임성, 안전성, 투명성
- 인공지능 개발과 활용에 관한 인권 가이드라인, 국가인권위원회, 2022 — 차별·인권영향평가·설명·구제·인간 감독
8. 문화체육관광부·한국저작권위원회
공공기관이 외부 문서로 RAG를 구축하거나 AI 결과물을 보고서·홍보물로 배포할 경우 AI-저작권 안내서 4종 모음을 적용해야 합니다:
- 생성형 AI 저작권 안내서
- 생성형 인공지능 활용 저작물의 저작권 등록 안내서
- 생성형 인공지능 결과물에 의한 저작권 분쟁 예방 안내서
- 생성형 인공지능의 저작물 학습에 대한 저작권법상 공정이용 안내서
특히 RAG 지식베이스 문서의 이용허락·공공누리 조건, 학습과 검색·인용의 구분, 결과물 유사성, AI 이용사실 기록을 계약·운영 기준에 넣어야 합니다.
9. 사업 단계별 적용 조합
| 단계 | 최소 적용 문서 |
|---|---|
| 기획·예산 | 행안부 2026 공공 AI 가이드, AI기본법 고영향 AI 판단, 인권·윤리 체크리스트 |
| 데이터 수집·RAG | AI 친화적 공공데이터 가이드, 개보위 생성형 AI·가명정보·공개 개인정보 안내서, 저작권 안내서 |
| 아키텍처·망 설계 | 국정원 AI보안 가이드북, N²SF, CSAP, KISA 제로트러스트·공급망 가이드 |
| 개발 | KISA AI 보안 안내서, SW 개발보안·보안약점 진단가이드, TTA 신뢰성 개발 안내서 |
| 검증·인수 | KISA AI 레드티밍, AI 위협 대응 매뉴얼, 성능·편향·환각 평가, 개인정보·AI 영향평가 |
| 운영 | 접근권한·로그·모델·프롬프트 변경관리, 결과 모니터링, 사고 대응, 인간 검토·이의제기 |
| 금융 분야 | 금융위 2026 AI 가이드라인 + 금감원 위험관리프레임워크 + 금융보안원 2026 보안 안내서 |
이 문서들은 모두 같은 법적 지위를 갖지 않습니다. 행안부·NIA 문서는 사업 수행 지침, 국정원 문서는 국가·공공기관 보안 기준, 개보위·과기정통부 문서는 법령 해석·이행 안내, 금융위 문서는 업권 자율규제 성격이 중심입니다. 따라서 실제 발주서와 보안성 검토서에는 각 문서를 단순 나열하기보다 의무사항–기관 내부규정–계약 요구사항–검증 증적으로 변환해 반영해야 합니다.
2026년 8월 7일 기준. 원문: 공공 AX 가이드라인·안내서 통합 목록