ISO/IEC 42001:2023 · AI 경영시스템
ISO/IEC 42001
AI를 조직 차원에서 관리하는 체계를 정한 국제 표준 — 인증을 받을 수 있는 첫 AI 경영시스템 표준을 기업 실무 관점으로 정리했습니다
🏗️ 조항 4~10
조직 상황부터 개선까지 — ISO/IEC 27001과 같은 경영시스템 구조
📋 부속서 A · 38개 통제
정책부터 제3자 관계까지 9개 영역
🏅 인증과 Microsoft
누가 필요한가, Microsoft 인증은 어디까지인가
WHAT · 📘 무엇인가
AI를 '체계'로 관리하는 표준
AI 경영시스템(AIMS)을 세우고, 운영하고, 개선하기 위한 요구사항입니다
| 구분 | 국내 AI 기본법 | NIST AI RMF | ISO/IEC 42001 |
|---|---|---|---|
| 성격 | 법률 | 자율 적용 프레임워크 | 국제 표준 (인증 가능) |
| 묻는 것 | 무엇을 해야 하는가 | 어떤 위험을 어떻게 볼 것인가 | 어떤 체계로 관리하는가 |
| 결과물 | 고지·표시·책무 이행 | 위험 목록과 대응 | 정책·절차·기록과 인증서 |
CLAUSES · 🏗️ 조항 4~10
경영시스템의 뼈대
ISO 경영시스템 공통 구조 — 일반적으로 계획(4~7) → 실행(8) → 점검(9) → 개선(10)으로 읽습니다
| 조항 | 회사에서 하는 일 (요지) |
|---|---|
| 4 조직 상황 | 우리 회사가 AI를 어디에 어떻게 쓰는지, 관련된 이해관계자와 적용 범위를 정한다 |
| 5 리더십 | 경영진의 의지, AI 정책, 역할·책임·권한 |
| 6 기획 | AI 위험평가(6.1.2)와 위험처리(6.1.3), AI 시스템 영향평가(6.1.4), 목표 |
| 7 지원 | 자원, 역량, 인식, 의사소통, 문서화된 정보(7.5) |
| 8 운영 | 계획대로 운영하고, 운영 중에도 위험평가·처리·영향평가를 한다(8.2~8.4) |
| 9 성과 평가 | 모니터링·측정, 내부 심사, 경영 검토 — 세부는 원문 확인 |
| 10 개선 | 부적합을 고치고 계속 개선한다 |
ANNEX A · 📋 9개 영역 · 38개 통제
부속서 A — 무엇을 관리하나
통제 목록은 부속서 A에, 구현 지침은 부속서 B에 있습니다. 부속서 C·D는 참고 부속서입니다
| 영역 | 통제 수 | 묻는 것 (요지) |
|---|---|---|
| A.2 AI 관련 정책 | 3 | AI 정책이 있고 다른 정책과 맞물려 있는가 |
| A.3 내부 조직 | 2 | 역할과 책임, 문제를 보고하는 경로가 있는가 |
| A.4 AI 시스템 자원 | 5 | 데이터·도구·컴퓨팅·사람 등 자원을 파악하고 있는가 |
| A.5 AI 시스템 영향 평가 | 4 | 개인·집단·사회에 미치는 영향을 평가하는가 |
| A.6 AI 시스템 수명주기 | 9 | 설계부터 운영·폐기까지 단계별로 관리하는가 |
| A.7 AI 시스템용 데이터 | 5 | 데이터의 출처·품질·준비 과정을 관리하는가 |
| A.8 이해관계자 대상 정보 | 4 | 이용자 등에게 필요한 정보를 알리는가 |
| A.9 AI 시스템 사용 | 3 | AI를 책임 있게 쓰기 위한 목적·절차가 있는가 |
| A.10 제3자·고객 관계 | 3 | 공급자·고객과 책임을 나누고 관리하는가 |
영역 이름과 통제 수는 공개 자료 기준이며, "묻는 것"은 이해를 돕기 위한 CanRobot 요약입니다.
STATEMENT OF APPLICABILITY · 📝 적용성 보고서
모든 통제를 다 하는 것은 아닙니다
통제마다 적용할지 뺄지 정하고, 그 근거를 적은 문서가 적용성 보고서(SoA)입니다
- 회사가 AI를 어떻게 쓰는지에 따라 필요한 통제가 다릅니다예: AI를 직접 개발하지 않고 도입해서 쓰는 회사는 수명주기 통제의 범위가 달라질 수 있습니다
- 통제를 뺄 때는 "해당 없음"이라는 말만으로는 부족하고, 왜 해당하지 않는지 근거를 적어야 합니다
- 적용하는 통제에는 그것을 보여 줄 증거 문서(정책, 절차, 기록)를 연결합니다
FAMILY · 📚 함께 쓰는 표준
42001 주변의 표준들
42001이 '무엇을 갖춰야 하나'라면, 아래 표준은 '어떻게 하나'를 돕습니다
| 표준 | 내용 | 발행 |
|---|---|---|
| ISO/IEC 23894 | AI 위험관리 지침 | 2023 |
| ISO/IEC 42005 | AI 시스템 영향평가 | 2025.05 |
| ISO/IEC 42006 | AI 경영시스템을 심사·인증하는 기관의 요건 | 2025.07 |
WHO NEEDS IT · 🤔 누가 필요한가
인증까지 갈지 판단하기
법적 의무가 아니므로 "필요한 곳"이 먼저 정해져야 합니다
| 상황 | 권하는 수준 |
|---|---|
| AI를 업무 도구로만 쓰는 회사 | 인증보다 AI 사용 지침, 책임자, AI 인벤토리부터 |
| 고객에게 AI 서비스를 제공하거나 고영향 AI를 쓰는 회사 | 부속서 A를 체크리스트로 삼아 관리체계 정비 — 인증은 선택 |
| AI 제품·서비스를 대기업·공공기관에 납품하는 회사 | 거래처 요구가 있으면 인증 검토 |
| 해외 고객이 신뢰 근거를 요구하는 회사 | 인증 검토 (EU AI Act 대응과 함께) |
위 판단 기준은 CanRobot 정리입니다. 인증은 ISO/IEC 42006 요건을 갖춘 인증기관이 심사합니다.
MICROSOFT · 🏅 Microsoft의 42001 인증
Microsoft가 인증받았으면 우리는?
Microsoft 인증은 Microsoft 서비스에 대한 것이고, 우리 회사의 관리체계는 별개입니다
| 구분 | 내용 |
|---|---|
| 인증 범위 | Microsoft Copilot, Microsoft Copilot Chat, Copilot Studio, GitHub Copilot, Microsoft Foundry, Security Copilot 등 — 정확한 범위는 인증서로 확인 |
| 확인 방법 | Service Trust Portal에서 인증서·감사 보고서 열람 |
| 우리 회사에서 쓰는 법 | 부속서 A.10(제3자 관계)의 공급자 근거로 활용 |
| 우리 회사가 할 일 | 회사의 AI 정책, 책임자, 사용 지침, 영향평가 — 회사 인증이 필요하면 인증기관을 직접 선임 |
- Microsoft Purview Compliance Manager에 ISO/IEC 42001:2023 평가 템플릿(프리미엄)이 있어 준비 상태를 점검할 수 있습니다라이선스 조건은 NIST AI RMF 페이지와 Microsoft Learn 참고
REFERENCES · 🔗 출처
출처
2026년 11월 2일 확인 기준