ISO 42001 Annex A 통제 항목 38개 총정리 — 영역별 해설과 준비 체크리스트 ✅
ISO/IEC 42001(인공지능경영시스템, AIMS)의 부속서 A(Annex A)는 9개 영역, 38개 통제로 구성돼 있어요. AI 정책부터 영향평가, 데이터 관리, 공급망까지 AI를 만들고 쓰는 조직이 갖춰야 할 관리 장치를 묶어 놓은 목록이에요.
고객사 보안 질의서에 'AI 거버넌스' 항목이 생겼거나, 42001 인증을 검토하기 시작했다면 가장 먼저 보게 되는 것이 이 목록이에요.
아직 ISO 42001이 낯설다면 AI가 사고 치면 누가 책임질까? 기업이 ISO 42001에 주목해야 하는 이유부터 읽어 보세요. 이 글에서는 이렇게 정리했어요.
38개 통제 전체 목록(번호·이름·한 줄 요약)
9개 영역별로 요구하는 것과 심사에서 실제로 확인하는 증빙
ISO 27001 Annex A와 다른 점, 이미 27001이 있다면 재사용할 수 있는 부분
우리 회사에 적용하는 순서와 적용선언서(SoA) 작성법
ISO 42001 Annex A란? 🤔
Annex A는 AI 관련 위험을 관리하기 위해 조직이 고를 수 있는 '통제(control) 목록'이에요. 42001 본문 4~10항이 경영시스템의 뼈대(조직 상황, 리더십, 계획, 지원, 운영, 성과 평가, 개선)라면, Annex A는 그 뼈대 위에서 AI 위험을 실제로 줄이는 장치들이에요.
42001에는 부속서가 4개 있어요. 역할만 기억해 두면 충분해요.
부속서 | 무엇이 들어 있나 | 언제 보나 |
|---|---|---|
Annex A | 통제 목표와 통제 38개 | 어떤 통제를 적용할지 고를 때 |
Annex B | 통제별 구현 가이드 | 통제를 실제로 어떻게 만들지 설계할 때 |
Annex C | AI 관련 조직 목표와 위험 원천 예시 | 위험평가에서 위험을 빠짐없이 찾을 때 |
Annex D | 산업·도메인별 적용 예시 | 우리 업종에 어떻게 적용할지 볼 때 |
38개를 전부 해야 하나요?
아니요. 42001은 위험 기반 표준이라, AI 위험평가 결과를 바탕으로 필요한 통제를 고르고 그 이유를 적용선언서(SoA, Statement of Applicability)에 남기는 방식이에요. 적용하지 않는 통제도 '왜 제외했는지' 근거를 적어야 하고, Annex A에 없는 통제를 추가할 수도 있어요.
다만 실무에서는 AI를 직접 개발·제공하는 기업이라면 대부분의 통제가 적용 대상이 돼요. 제외를 검토해 볼 만한 예는 'AI를 쓰기만 하고 개발하지 않는 조직'의 개발 관련 통제(A.6·A.7 일부)예요. 이때도 외부 AI를 고르고 관리하는 통제(A.10)는 오히려 더 중요해져요.
💡 SoA는 심사원이 가장 먼저 펼쳐 보는 문서예요. 통제마다 '적용 여부 · 근거 · 구현 상태 · 관련 문서'가 한 줄로 이어져 있으면 1단계 심사가 훨씬 수월해져요.
ISO 42001 Annex A 통제 38개 전체 목록 📋
9개 영역은 A.2부터 A.10까지 번호가 붙어 있어요(A.1은 없어요). 영역별 통제 수는 A.6 생애주기가 9개로 가장 많고, A.3 내부 조직이 2개로 가장 적어요.
영역 | 번호 | 통제명 (영문) | 한 줄 요약 |
|---|---|---|---|
A.2 AI 정책 | A.2.2 | AI 정책 (AI policy) | AI 개발·활용 방향을 담은 정책을 문서로 만들고 경영진이 승인 |
A.2 AI 정책 | A.2.3 | 다른 조직 정책과의 정렬 (Alignment with other organizational policies) | 보안·개인정보·윤리 등 기존 정책과 충돌하지 않게 맞춤 |
A.2 AI 정책 | A.2.4 | AI 정책 검토 (Review of the AI policy) | 정해진 주기와 큰 변화가 있을 때 정책을 다시 검토 |
A.3 내부 조직 | A.3.2 | AI 역할과 책임 (AI roles and responsibilities) | AI 생애주기 전반의 담당자와 책임을 명확히 지정 |
A.3 내부 조직 | A.3.3 | 우려 사항 보고 (Reporting of concerns) | 임직원이 AI 관련 문제를 제기할 수 있는 창구와 처리 절차 |
A.4 AI 자원 | A.4.2 | 자원 문서화 (Resource documentation) | AI 시스템이 쓰는 자원 전체를 목록으로 관리 |
A.4 AI 자원 | A.4.3 | 데이터 자원 (Data resources) | 학습·검증·운영 데이터의 출처, 용도, 품질 정보 기록 |
A.4 AI 자원 | A.4.4 | 도구 자원 (Tooling resources) | 모델, 알고리즘, 프레임워크, 라이브러리 등 기록 |
A.4 AI 자원 | A.4.5 | 시스템·컴퓨팅 자원 (System and computing resources) | 서버, 클라우드, 저장소 등 실행 환경 기록 |
A.4 AI 자원 | A.4.6 | 인적 자원 (Human resources) | AI 개발·운영·감독에 필요한 인력과 역량 기록 |
A.5 영향평가 | A.5.2 | AI 시스템 영향평가 프로세스 (AI system impact assessment process) | 언제, 누가, 무엇을 기준으로 영향평가를 할지 정함 |
A.5 영향평가 | A.5.3 | 영향평가 문서화 (Documentation of AI system impact assessments) | 영향평가 결과를 기록하고 정해진 기간 보관 |
A.5 영향평가 | A.5.4 | 개인·집단에 대한 영향평가 (Assessing AI system impact on individuals or groups of individuals) | 공정성, 프라이버시, 안전 등 사람에게 미치는 영향 평가 |
A.5 영향평가 | A.5.5 | 사회적 영향평가 (Assessing societal impacts of AI systems) | 환경, 경제, 공공 안전 등 사회 전반에 미치는 영향 평가 |
A.6 생애주기 | A.6.1.2 | 책임 있는 개발 목표 (Objectives for responsible development of AI system) | 공정성·투명성 같은 개발 목표를 정하고 개발에 반영 |
A.6 생애주기 | A.6.1.3 | 책임 있는 설계·개발 프로세스 (Processes for responsible AI system design and development) | 설계부터 출시 승인까지의 개발 절차를 정의 |
A.6 생애주기 | A.6.2.2 | 요구사항과 명세 (AI system requirements and specification) | 기능·비기능·책임 있는 AI 요구사항을 개발 전에 정리 |
A.6 생애주기 | A.6.2.3 | 설계·개발 문서화 (Documentation of AI system design and development) | 주요 설계 결정과 그 이유를 추적 가능하게 기록 |
A.6 생애주기 | A.6.2.4 | 검증과 확인 (AI system verification and validation) | 테스트 방법, 테스트 데이터, 출시 기준을 정하고 수행 |
A.6 생애주기 | A.6.2.5 | 배포 (AI system deployment) | 배포 계획, 승인, 롤백 기준을 갖추고 배포 |
A.6 생애주기 | A.6.2.6 | 운영과 모니터링 (AI system operation and monitoring) | 성능 저하, 드리프트, 오류를 지속적으로 모니터링 |
A.6 생애주기 | A.6.2.7 | 기술 문서 (AI system technical documentation) | 사용자·고객·규제기관 등 대상별 기술 문서 제공 |
A.6 생애주기 | A.6.2.8 | 이벤트 로그 기록 (AI system recording of event logs) | 어떤 이벤트를 언제 기록할지 정하고 로그를 남김 |
A.7 데이터 | A.7.2 | 개발·개선용 데이터 (Data for development and enhancement of AI system) | AI 개발에 쓰는 데이터의 관리 절차를 정의 |
A.7 데이터 | A.7.3 | 데이터 획득 (Acquisition of data) | 데이터를 어디서, 어떤 권리로, 어떻게 가져왔는지 기록 |
A.7 데이터 | A.7.4 | 데이터 품질 (Quality of data for AI systems) | 정확성·완전성·대표성 등 품질 기준을 정하고 확인 |
A.7 데이터 | A.7.5 | 데이터 출처 이력 (Data provenance) | 데이터의 생성·변환·이전 이력을 추적 |
A.7 데이터 | A.7.6 | 데이터 준비 (Data preparation) | 정제·라벨링·증강 등 전처리 방법과 기준을 기록 |
A.8 이해관계자 정보 | A.8.2 | 사용자 대상 시스템 문서와 정보 (System documentation and information for users) | 사용자가 알아야 할 기능, 한계, 사용법을 제공 |
A.8 이해관계자 정보 | A.8.3 | 외부 신고 (External reporting) | 외부에서 AI 문제를 신고할 수 있는 창구 운영 |
A.8 이해관계자 정보 | A.8.4 | 사고 커뮤니케이션 (Communication of incidents) | AI 사고 발생 시 누구에게 어떻게 알릴지 계획 |
A.8 이해관계자 정보 | A.8.5 | 이해관계자 대상 정보 (Information for interested parties) | 규제기관·고객 등에 제공할 정보와 방법 결정 |
A.9 AI 활용 | A.9.2 | 책임 있는 활용 프로세스 (Processes for responsible use of AI systems) | AI를 쓰는 방법, 승인, 사람의 감독 절차 정의 |
A.9 AI 활용 | A.9.3 | 책임 있는 활용 목표 (Objectives for responsible use of AI system) | AI 활용 시 지켜야 할 목표와 기준 설정 |
A.9 AI 활용 | A.9.4 | 의도된 용도 (Intended use of the AI system) | 정해진 용도 밖으로 쓰이지 않게 관리 |
A.10 제3자·고객 | A.10.2 | 책임 배분 (Allocating responsibilities) | 공급사·파트너·고객과 책임 범위를 명확히 나눔 |
A.10 제3자·고객 | A.10.3 | 공급사 (Suppliers) | 외부 AI 서비스·모델·데이터 공급사를 평가하고 관리 |
A.10 제3자·고객 | A.10.4 | 고객 (Customers) | 고객의 요구와 기대를 AI 개발·제공에 반영 |
💡 이 목록을 엑셀로 옮겨 '적용 여부 · 근거 · 담당자 · 상태' 열만 추가하면 그대로 SoA 초안이 돼요. 우리 회사 상황에 맞춘 범위가 궁금하다면 ISO 42001 인증 안내에서 먼저 확인해 보세요.
9개 영역별 해설: 무엇을 준비하고, 심사에서 무엇을 보나요? 🔍
영역마다 '이 영역이 묻는 질문', '준비할 증빙', '심사에서 자주 확인하는 것' 세 가지로 정리했어요. 증빙은 예시이며, 회사 규모와 AI 활용 방식에 따라 형태는 달라질 수 있어요.
A.2 AI 정책 (3개)
묻는 질문: 우리 회사는 AI를 어떤 원칙으로 만들고 쓰나요?
준비할 증빙: 경영진 승인을 받은 AI 정책서, 기존 정책(정보보안·개인정보·윤리강령)과의 연계표, 정책 검토 기록
심사에서 자주 보는 것: 정책이 실제 AI 활용 현황과 맞는지, 마지막 검토가 언제였고 무엇이 바뀌었는지
흔한 실수: 해외 템플릿을 그대로 옮겨 우리 회사에 없는 AI 활동까지 적어 두는 경우
A.3 내부 조직 (2개)
묻는 질문: AI와 관련된 결정은 누가 책임지나요?
준비할 증빙: AI 역할·책임 정의서(R&R), AI 위원회나 담당 조직 구성 문서, 우려 사항 신고 절차와 처리 기록
심사에서 자주 보는 것: 담당자 본인이 자기 역할을 설명할 수 있는지, 신고 창구가 실제로 알려져 있는지
27001 재사용: 정보보안 조직도와 내부 신고 제도를 확장해 쓸 수 있어요
A.4 AI 시스템 자원 (5개)
묻는 질문: 우리 AI는 어떤 데이터, 모델, 인프라, 사람으로 돌아가나요?
준비할 증빙: AI 시스템 목록과 시스템별 자원 대장(데이터셋, 모델·라이브러리, 클라우드·서버, 담당 인력과 역량)
심사에서 자주 보는 것: 목록에 빠진 AI가 없는지(특히 외부 API로 쓰는 생성형 AI), 대장이 최신인지
27001 재사용: 정보자산 목록에 'AI 시스템' 분류와 항목을 추가하는 방식이 가장 빨라요
A.5 AI 시스템 영향평가 (4개)
묻는 질문: 우리 AI가 사람과 사회에 어떤 영향을 줄 수 있나요?
준비할 증빙: 영향평가 절차서(평가 시점, 평가자, 기준), 시스템별 영향평가 결과서와 보관 기록
심사에서 자주 보는 것: 의도된 용도와 예상 가능한 오용, 영향받는 집단, 사람의 감독 방안이 결과서에 들어 있는지
포인트: 42001에서 가장 'AI다운' 영역이고 27001에는 없는 부분이에요. 위험평가와 연결돼 나머지 통제의 적용 범위를 정하는 근거가 돼요
A.6 AI 시스템 생애주기 (9개)
묻는 질문: AI를 기획, 개발, 검증, 배포, 운영하는 과정이 관리되고 있나요?
준비할 증빙: 책임 있는 개발 목표, 개발 절차서, 요구사항 명세, 설계 결정 기록, 테스트 계획·결과와 출시 기준, 배포 승인 기록, 운영 모니터링 지표, 기술 문서, 로그 정책
심사에서 자주 보는 것: 출시 기준(허용 오류율 등)이 숫자로 정해져 있는지, 배포 후 성능 저하나 드리프트를 실제로 보고 있는지
흔한 실수: 개발 단계 문서는 많은데 운영 단계(모니터링·로그) 증빙이 비어 있는 경우
A.7 AI 시스템용 데이터 (5개)
묻는 질문: AI에 들어가는 데이터는 어디서 왔고, 믿을 만한가요?
준비할 증빙: 데이터 관리 절차, 데이터셋별 출처·수집 근거(이용 권리 포함), 품질 기준과 점검 결과, 변환·이전 이력, 전처리 방법 기록
심사에서 자주 보는 것: 학습 데이터의 이용 권리와 개인정보 처리 근거, 품질 기준이 실제 점검 기록과 연결되는지
27001·27701 재사용: 개인정보 처리 근거와 데이터 분류 체계를 그대로 연결할 수 있어요
A.8 이해관계자를 위한 정보 (4개)
묻는 질문: 사용자와 외부 이해관계자는 우리 AI에 대해 충분히 알고 있나요?
준비할 증빙: 사용자 안내 문서(기능, 한계, 사용법), 외부 신고 창구, AI 사고 커뮤니케이션 계획, 규제기관·고객 대상 정보 제공 기준
심사에서 자주 보는 것: 안내 문서에 '한계'가 실제로 적혀 있는지, 사고 통보 대상·시한·담당자가 정해져 있는지
참고: 국내 AI 기본법의 이용자 사전 고지와 같은 법적 의무가 있다면 이 영역의 증빙과 함께 관리하면 편해요. 다만 인증이 곧 법 준수를 뜻하지는 않아요
A.9 AI 시스템 활용 (3개)
묻는 질문: AI를 정해진 목적대로, 사람의 감독 아래 쓰고 있나요?
준비할 증빙: AI 활용 절차와 승인 기준, 활용 목표, 시스템별 의도된 용도 정의, 임직원 AI 사용 가이드
심사에서 자주 보는 것: 승인되지 않은 AI 도구(섀도 AI) 사용을 어떻게 막는지, 용도가 바뀔 때 재평가하는지
포인트: AI를 개발하지 않고 쓰기만 하는 조직에서는 이 영역과 A.10이 핵심이 돼요
A.10 제3자 및 고객 관계 (3개)
묻는 질문: 외부에서 가져오거나 외부에 제공하는 AI의 책임은 누가 지나요?
준비할 증빙: 공급사·파트너·고객과의 책임 분담표, AI 공급사 평가 기준과 평가 기록, 계약서의 AI 관련 조항, 고객 요구사항 반영 기록
심사에서 자주 보는 것: 외부 LLM API를 쓴다면 그 공급사를 어떻게 평가했는지, 고객 계약의 AI 약속을 지키고 있는지
27001 재사용: 공급자 관리 절차에 AI 평가 항목을 추가하면 돼요
ISO 27001 Annex A와 무엇이 다른가요? 🔐
27001 Annex A는 '정보를 지키는 통제', 42001 Annex A는 'AI가 내리는 판단과 그 영향을 관리하는 통제'예요. 데이터를 완벽하게 암호화해도, 아무도 설명하지 못하는 AI 모델이 고객을 평가하고 있다면 27001로는 다룰 수 없는 위험이 남아요.
구분 | ISO 27001 Annex A | ISO 42001 Annex A |
|---|---|---|
통제 수 | 93개 | 38개 |
분류 | 4개 주제(조직·사람·물리·기술) | 9개 영역(A.2~A.10) |
관리 대상 | 정보의 기밀성·무결성·가용성 | AI의 공정성·투명성·데이터 품질·사람의 감독·사회적 영향 |
고유 요소 | 접근통제, 암호화, 물리 보안 등 | AI 영향평가, AI 생애주기, 데이터 출처 이력 |
구현 가이드 | ISO/IEC 27002 | 42001 Annex B |
이미 27001이 있다면 이렇게 재사용하세요
두 표준은 4~10항의 경영시스템 구조가 같아서, 정책 체계·내부심사·경영검토·문서관리·시정조치는 대부분 그대로 확장할 수 있어요. 새로 만들어야 하는 것은 주로 아래 세 가지예요.
AI 영향평가(A.5): 27001에는 없는 절차라 처음부터 설계해야 해요.
AI 생애주기 관리(A.6): 개발·배포 절차가 있더라도 '출시 기준', '드리프트 모니터링' 같은 AI 전용 항목을 추가해야 해요.
데이터 출처와 품질(A.7): 데이터 분류 체계에 학습 데이터의 출처·권리·품질 기록을 더해야 해요.
27001 Annex A가 궁금하다면 ISO 27001 Annex A 통제 완전 정복에서 93개 통제를 함께 비교해 보세요. 두 인증을 함께 준비하면 인증기관에 따라 통합심사로 심사 부담을 줄일 수 있어요.
우리 회사에 적용하는 5단계 🛠️
통제 목록부터 펼치지 말고, 'AI 시스템 목록'과 '위험'부터 시작하세요. 어떤 AI를 인증 범위에 넣을지 정해야 어떤 통제가 필요한지 정할 수 있어요.
AI 시스템 목록과 인증 범위 정하기: 직접 개발한 모델, 서비스에 붙인 외부 AI API, 사내에서 쓰는 생성형 AI까지 목록을 만들고, 이 중 어디까지 인증 범위에 넣을지 정해요.
위험평가와 영향평가 하기: 범위 안 AI 시스템별로 위험(42001 6항)과 사람·사회에 대한 영향(A.5)을 평가해요.
통제 고르고 SoA 작성하기: 평가 결과를 근거로 38개 통제마다 적용 여부와 이유를 적어요.
기반 통제부터 구현하기: 정책·역할(A.2, A.3) → 영향평가 절차(A.5) → 자원 대장(A.4) → 생애주기·데이터(A.6, A.7) → 이해관계자·공급사(A.8, A.10) → 활용 절차(A.9) 순서가 무리가 적어요. 앞 단계 결과물이 뒤 단계의 입력이 되기 때문이에요.
내부심사·경영검토 후 인증심사 받기: 운영 기록이 쌓인 뒤 내부심사와 경영검토를 하고, 인증기관의 1단계(문서)·2단계(현장) 심사를 받아요.
자주 묻는 질문 (FAQ) 🙋
Q. ISO 42001 Annex A 통제는 몇 개인가요?
9개 영역(A.2~A.10)에 38개 통제가 있어요. 가장 많은 영역은 A.6 AI 시스템 생애주기(9개)예요.
Q. AI를 직접 개발하지 않고 쓰기만 해도 42001을 받을 수 있나요?
네. 42001은 AI를 개발·제공하는 조직뿐 아니라 사용하는 조직에도 적용돼요. 이 경우 개발 관련 통제 일부는 근거를 적어 제외하고, 활용(A.9)과 공급사 관리(A.10)를 중심으로 구성하는 경우가 많아요.
Q. Annex A 통제만 갖추면 인증을 받을 수 있나요?
아니요. 4~10항의 경영시스템 요구사항(조직 상황, 리더십, 위험평가, 내부심사, 경영검토 등)을 함께 갖춰야 해요. Annex A는 그중 위험을 줄이는 수단에 해당해요.
Q. 42001 인증을 받으면 AI 기본법이나 EU AI Act를 지킨 것이 되나요?
그렇지는 않아요. 42001은 법 대응에 필요한 위험관리·문서화 체계를 갖추는 데 도움이 되지만, 법령별 의무는 따로 확인해야 해요.
Q. 준비 기간은 얼마나 걸리나요?
범위와 기존 체계에 따라 달라요. 해외에서는 보통 6~12개월이 걸린다고 알려져 있고, 27001을 이미 운영 중이면 더 짧아지는 경향이 있어요. 우리 회사 기준 일정과 비용은 ISO 42001 인증 견적으로 확인할 수 있어요.
마무리: 38개 통제, 어디서부터 시작할까요? ✨
ISO 42001 Annex A는 정답지가 아니라 '우리 AI에 필요한 관리 장치를 고르는 메뉴판'이에요. AI 시스템 목록과 영향평가부터 시작해 필요한 통제를 고르고, 그 이유를 SoA에 남기는 것이 인증 준비의 첫걸음이에요.
어떤 AI를 인증 범위에 넣어야 할지, 기존 27001 체계로 어디까지 커버되는지 막막하다면 콘타에서 인증기관 견적과 컨설팅 견적을 한 번에 받아보세요. 계약 여부는 견적을 비교한 뒤 결정하시면 돼요.
함께 읽으면 좋은 글
이 글의 통제명 한글 표기는 콘타가 이해를 돕기 위해 번역한 것으로, 표준 원문 및 KS 공식 번역과 다를 수 있어요. 정확한 요구사항은 ISO/IEC 42001:2023 원문을 확인해 주세요.