Stage 1은 서류만으로 통과할 수 있습니다. Stage 2에서는 AI 에이전트가 프로덕션에서 실제로 무엇을 했는지 확인합니다. 이때 답을 준비했는지를 가르는 항목이 Annex A의 세 가지 런타임 통제입니다.
ISO 42001 적용성 명세서에 맞는 AI 사용 정책을 갖추고도 Stage 2에서 탈락할 수 있습니다.
인증 여부를 결정하는 것은 정책에 적힌 허용 범위가 아닙니다. 에이전트가 프로덕션에서 실제로 무엇을 했는지, 누구의 승인을 받았는지, 어떤 한계 안에서 움직였는지를 증명할 수 있어야 합니다.
이는 문서 작성의 문제가 아니라 실행 제어의 문제입니다. 정책 문서나 심사 자료만으로는 대신 답할 수 없는 영역이기도 합니다.
이 글은 ISO 42001 심사를 위한 체크리스트이지만, 일반적인 문서 준비 목록과는 조금 다릅니다. 대부분의 체크리스트는 어떤 산출물을 작성해야 하는지 설명합니다. 여기서는 문서만으로는 충분하지 않은 Annex A 통제 항목을 살펴봅니다.
심사원이 확인하려는 것은 에이전트가 실행되는 동안 모니터링됐는지, 주요 동작이 기록됐는지, 정해진 사용 범위를 벗어나지 않았는지를 보여 주는 운영 증적입니다.
ISO 42001 심사에서는 무엇을 확인하나요?
ISO/IEC 42001:2023은 AI 관리 시스템(AIMS)을 다룬 최초의 국제 표준으로, 2023년 12월에 발행됐고 지금도 유효합니다. 인증을 받았다는 것은 공인 인증기관이 관리 시스템 조항 4~10과, 적용성 명세서에서 적용 대상으로 선언한 Annex A의 모든 통제 항목을 기준으로 조직을 점검했다는 뜻입니다. Annex A는 9개 통제 목표 아래 38개 통제 항목으로 이뤄지며, 9개 목표는 AI 정책, 내부 조직, 자원, 영향 평가, AI 시스템 생애주기, 데이터, 이해관계자 대상 정보, 책임 있는 사용, 제3자 관계입니다.
심사는 Stage 1과 Stage 2로 나뉘며, 많은 팀이 예상하지 못한 문제를 만나는 곳은 두 단계 사이입니다.
- Stage 1은 문서와 준비 상태를 검토하는 단계로, 적용 범위와 AI 정책, 적용성 명세서, 위험 및 영향 평가 방법론을 살펴봅니다. 며칠 안에 끝나기도 하며, 여기서 중대한 부적합이 발견되면 Stage 2에 들어가기 전에 시정해야 합니다.
- Stage 2는 AIMS가 실제로 어떻게 운영되는지를 현장에서 검증하는 단계입니다. 심사원은 정책을 읽는 데 그치지 않고, 정책에 적힌 통제가 실제로 적용됐음을 보여 주는 증거를 요구합니다.
인증서는 3년간 유효하며, 그 사이 매년 사후심사가 진행됩니다. Annex A는 93개인 ISO 27001보다 훨씬 작은 38개 통제 항목이고 상당 부분이 서로 겹치므로, 이미 성숙한 정보보안 관리 체계를 운영하고 있다면 유리한 출발점이 됩니다. 다만 어디까지나 출발점일 뿐, 통과가 보장되는 것은 아닙니다. 기존 ISMS에 직접 대응되는 항목이 없는 AI 특화 통제도 있고, 그중 일부는 문서가 아니라 런타임에서 벌어지는 일로만 충족할 수 있습니다.
문서만으로 충족할 수 없는 Annex A 통제는 무엇인가요?
요약: AI 에이전트를 운영하는 팀이 특히 주의해야 할 항목은 세 가지입니다. A.6.2.6(AI 시스템 운영 및 모니터링), A.6.2.8(AI 시스템 이벤트 로그), A.9(AI 시스템 사용, 책임 있는 사용 및 인적 감독). 이 항목들은 에이전트가 무엇을 해야 하는지 설명하는 문서보다, 프로덕션에서 실제로 무엇을 했는지를 보여 주는 증거를 요구합니다.
Annex A의 많은 항목은 정책과 프로세스를 정비하는 방식으로 준비할 수 있습니다. AI 정책을 작성하고, 역할과 책임을 정의하고, 영향 평가 방법을 문서로 남기면 심사원이 검토할 산출물이 만들어집니다. 다음 세 영역은 성격이 다릅니다. 작동 중인 시스템의 모습을 증명해야 하기 때문입니다.
A.6.2.6: AI 시스템 운영 및 모니터링. 이 통제 항목은 프로덕션에서 AI 시스템을 운영하고 모니터링하도록 요구합니다. 인프라에서 명령을 실행하는 에이전트의 경우, 대시보드 화면 하나만으로는 충분하지 않습니다. 에이전트가 어떤 작업을 수행하는지 실행 시점에 확인할 수 있어야 하고, 위험한 작업이 관찰되지 않은 채 지나가지 않았음을 보여 줘야 합니다.
A.6.2.8: AI 시스템 이벤트 로그. 주요 이벤트를 기록해 에이전트의 동작을 추적할 수 있어야 합니다. 단순한 명령 목록만으로는 충분한 추적성을 제공하기 어렵습니다. 추적성이란 특정 에이전트가 특정 시스템에서 수행한 작업에 대해, 사건이 발생한 뒤에도 누가, 언제, 무엇을, 누구의 승인을 받아, 어떤 목적으로 실행했는지에 답할 수 있다는 뜻입니다.
A.9: AI 시스템 사용, 책임 있는 사용 및 인적 감독. A.9는 AI 시스템이 의도된 사용 범위 안에서 운영되고, 필요한 상황에서 사람이 개입할 수 있도록 하는 통제 그룹입니다. 실제 운영에서 이는 에이전트가 부여받은 범위를 임의로 넘어설 수 없어야 하고, 고위험 작업이 완료되기 전에 사람이 개입할 수 있어야 한다는 뜻입니다.
세 항목에는 공통점이 있습니다. 모두 시간에 따라 발생한 시스템의 동작을 증명해야 한다는 점이고, 사건이 발생하기 전에 작성한 정책 문서로는 이런 증거를 만들 수 없습니다. 실무자들이 ISO 인증을 두고 제기하는 우려도 이와 연결됩니다. Hacker News의 한 사용자는 인증 자료가 "feed ... executives and consultants"용 서류에 그치고, 심사가 끝난 뒤에는 "stash[ed] ... in a drawer with no one reading it" 신세가 될 수 있다고 지적했습니다. Stage 2는 정책이 실제 운영으로 이어졌는지를 확인하기 위해 존재합니다.
AI 에이전트 운영팀의 Stage 2 체크리스트에는 무엇이 들어가나요?
프로덕션 인프라에서 AI 에이전트를 운영한다면, Stage 2에서 다음 자료를 요청받았을 때 바로 제시할 수 있어야 합니다.
- A.6.2.6 증적 → 에이전트의 작업이 몇 주 뒤에 검토되는 것이 아니라 실행되는 동안 관찰되고 위험 평가됐음을 보여 주는 기록이 필요합니다. 예를 들어 고위험 작업이 시도된 순간 해당 작업이 감지되고 표시됐다는 사실을 입증할 수 있어야 합니다.
- A.6.2.8 증적 → 각 로그 항목에 신원, 실행 시각, 명령, 승인 상태, 선언된 목적이 담겨 있어야 하고, 셸 히스토리와 담당자의 기억을 조합하지 않고도 특정 에이전트의 세션을 재구성할 수 있어야 합니다.
- A.9 증적 → 각 에이전트가 정의된 범위 안에서 동작했고, 범위를 벗어난 작업은 사람이 보류하거나 중단할 수 있었음을 보여 줘야 합니다. 실제로 강제할 수 없는 사용 한계는 운영상 통제로 보기 어렵습니다.
이 세 가지 런타임 통제에 도달하기 전부터 많은 조직이 발목을 잡히는 항목이 하나 더 있습니다. 바로 적용성 명세서입니다. Annex A의 38개 통제 항목을 모두 평가하고, 제외한 항목마다 근거를 서면으로 남겨야 합니다. 심사원은 근거가 부족한 제외 항목을 추가로 확인합니다. 따라서 '해당 없음'이라고 표시하려면 후속 질문에도 답할 수 있는 논거가 필요합니다.
런타임 증적은 어디에서 나오나요?
요약: 정책 계층은 에이전트가 무엇을 해야 하는지 정의하고, 에이전트가 실제로 무엇을 했는지에 대한 증거는 실행 계층에서 나옵니다. Alpacon은 AIMS가 아니며, 조직을 ISO 42001 인증 상태로 만들어 주는 제품도 아닙니다. Alpacon이 제공하는 것은 A.6.2.6, A.6.2.8, A.9에 필요한 런타임 증적, 전체 심사 패키지 가운데 정책 문서만으로 만들 수 없는 운영 기록입니다.
이것이 바로 Alpacon이 만들어진 지점입니다. 전통적인 PAM은 주로 누가 시스템에 접근할 수 있는지를 통제합니다. Alpacon은 접근 이후 사람과 에이전트가 실제로 무엇을 실행하는지까지 평가합니다. 이 판단은 명령이 실행되는 시점에 이뤄지며, 바로 정책 문서로는 만들 수 없는 ISO 42001 증적의 핵심입니다.
먼저 범위를 분명히 해 두겠습니다. Alpacon은 AI 관리 시스템이 아니며, 어떤 도구도 조직을 'ISO 42001 인증' 상태로 만들어 주지 않습니다. Alpacon이 하는 일은 앞서 살펴본 세 통제 항목에 필요한 런타임 증적을, 각 항목이 실제로 어떻게 충족되는지에 맞춰 제공하는 것입니다.
- A.6.2.6 (운영 및 모니터링) → 사람과 에이전트의 모든 작업은 기록되는 Work Session 안에서 수행되고, 에이전트가 생성한 명령은 호스트에 도달하기 전에 런타임에서 위험도가 평가됩니다. Enforcement가 활성화된 환경에서는 고위험 작업을 사람 승인자에게 전달하거나 즉시 거부할 수 있습니다. 어느 쪽이든 모니터링은 사후 보고서에 그치지 않고, 심사원이 실제 통제의 작동 방식을 확인할 수 있습니다.
- A.6.2.8 (이벤트 로그) → 감사 기록에는 실행 맥락이 함께 저장됩니다. 누가 실행했는지(사람인지 에이전트인지, 그리고 그 작업 뒤의 정확한 자격증명까지), 언제, 무엇을 실행했는지, 왜(세션 시작 시 선언한 목적), 누구의 승인을 받았는지가 모두 실행 시점에 필드로 기록되며, 사람과 에이전트의 작업이 하나의 타임라인에 남습니다. 감사 기록은 읽기 전용이며 제품을 통한 수정 경로가 없고, 기록은 수동 삭제가 아니라 설정된 보존 일정에 따라 만료됩니다. 저장소 자체를 암호학적으로 위변조 탐지 가능하게 만드는 기능과 SIEM 전달 기능은 로드맵에 있습니다.
- A.9 (책임 있는 사용과 인적 감독) → 세션 범위 제어는 에이전트가 실행할 수 있는 작업을 세션 단위로 제한하고, 세션이 끝나면 접근 권한도 회수합니다. 따라서 에이전트가 부여받은 범위를 넘어 권한을 확장할 수 없습니다. 범위를 벗어나는 작업은 사람 승인자에게 전달되어 승인 전에는 실행되지 않으며, OS 수준의 특권 작업 역시 명시적인 사람 승인을 조건으로 설정할 수 있습니다. 이는 의도된 사용 범위와 인적 감독을 실제 운영 환경에서 구현하는 방식입니다.
| Annex A 통제 항목 | 심사원이 확인하는 내용 | 이를 뒷받침하는 런타임 증적 |
|---|---|---|
| A.6.2.6 운영 및 모니터링 | 에이전트가 작업하는 동안 프로덕션에서 관찰됐다는 증거 | 에이전트 실행 경로에서 명령별 위험도 평가가 기록된 Work Session |
| A.6.2.8 AI 시스템 이벤트 로그 | 누가, 언제, 무엇을, 어떤 승인과 목적으로 실행했는지 추적 가능한 기록 | 실행 시점에 필드로 저장되고 사람과 에이전트가 하나의 타임라인에 기록되는 감사 정보 |
| A.9 AI 시스템 사용 | 에이전트가 임의로 넘을 수 없는 범위와 사람이 개입할 수 있는 절차 | 세션 종료 시 회수되는 범위 제한 접근과 고위험 작업 전 사람 승인 |
Alpacon은 이 증적 가운데 특권 접근과 명령 실행에 해당하는 부분을 담당합니다. ISO 42001 심사 패키지 전체를 생성하거나 인증기관을 대신하지는 않습니다. 이 증적을 Vanta나 Drata 같은 GRC 도구로 직접 전달하고, 프레임워크에 매핑된 자료를 자동 생성하는 기능은 같은 특권 접근 슬라이스로 범위를 한정해 로드맵에 있습니다. 현재 제공되는 것은 실행 시점에 포착된 원본 증적입니다. 저희도 현재 SOC 2 심사를 진행하고 있습니다. 심사 준비가 어려운 가장 큰 이유 중 하나는 마감 직전에 과거의 증거를 다시 수집하고 조합해야 하기 때문입니다. 작업이 실행되는 순간 증적을 남기면, 나중에 별도로 재구성할 필요가 줄어듭니다.
ISO 42001 인증을 받으면 AI 에이전트가 EU AI Act를 준수하나요?
두 제도는 구분해 둘 필요가 있습니다. 점점 더 많은 구매자가 둘을 혼동하기 때문입니다. ISO 42001은 조직의 AI 관리 시스템을 인증하고, EU AI Act는 AI 제품과 시스템을 규제합니다. 따라서 ISO 42001 인증을 받았다고 해서 AI 에이전트가 자동으로 EU AI Act를 준수하게 되는 것은 아닙니다. EU AI Act는 적합성 평가, EU 데이터베이스 등록, 범용 AI 관련 의무 등 자발적 표준만으로는 충족할 수 없는 의무를 더합니다. ISO 42001 인증은 조직이 관리 체계를 갖추고 이를 성실히 운영했다는 강한 증거가 될 수 있지만, 규제 준수를 대신하는 지름길은 아닙니다.
관련 표준 체계도 빠르게 정비되고 있어 지금 이 문제가 중요합니다. 2025년 중반에 발행된 ISO/IEC 42006:2025는 AIMS 인증기관이 갖춰야 할 요건을 정의했고, 이를 기반으로 공인 인증서가 본격적으로 등장하고 있습니다. 현재 개발 중인 유럽 표준 prEN 18286은 ISO 42001을 재구성한 표준이 아니라 별도의 제품 적합성 표준으로, Annex D에서 ISO 42001 통제 항목과 매핑되므로 EU AI Act 대응 과정에서 두 체계를 함께 심사할 수 있습니다. ISO 42001만으로 EU AI Act 요구사항을 충족할 수는 없지만, Act 준비 과정에서 중요한 관리 체계로 활용될 가능성은 커지고 있습니다.
두 제도가 겹치는 지점은 ISO 42001의 런타임 통제가 자리한 곳과 같습니다. 바로 EU AI Act 제12조 기록 보관과 제14조 인적 감독입니다. A.6.2.8을 충족하는 이벤트 로그와 A.9를 충족하는 사람 개입 통제는 바로 이 기록 보관과 감독 의무가 요구하는 증거와 같습니다. 실행 계층에서 증적을 한 번 제대로 구축하면 두 체계에 모두 활용할 수 있습니다.
핵심 정리
문서 중심의 ISO 42001 체크리스트는 Stage 1 준비에 도움이 됩니다. Stage 2에서는 다른 종류의 증거가 필요합니다. 에이전트가 무엇을 했는지, 누구의 승인을 받았는지, 어떤 범위 안에서 움직였는지를 보여 줘야 하고, 그 답은 심사원이 요구하기 전에 이미 존재해야 합니다. 이를 가르는 세 항목은 모두 런타임 통제이며, 여기에 필요한 증적은 정책 문서가 아니라 실행 계층에서 만들어집니다.
자주 묻는 질문
ISO 42001 심사에서는 무엇을 확인하나요?
ISO/IEC 42001:2023의 관리 시스템 조항 4~10과 적용 대상으로 선언한 Annex A 통제 항목을 확인합니다. Annex A에는 9개 목표 아래 38개 통제 항목이 있습니다. Stage 1에서는 문서와 준비 상태를 검토하고, Stage 2에서는 시스템이 실제로 운영되는 방식을 검증합니다. 인증서는 3년간 유효하며 매년 사후심사를 받습니다.
ISO 42001 심사 체크리스트에는 무엇이 포함되나요?
AI 에이전트를 운영하는 팀이라면 Stage 2에 대비해 A.6.2.6, A.6.2.8, A.9에 대한 운영 증적을 준비해야 하며, 이와 함께 Annex A의 38개 통제 항목을 모두 평가하고 제외한 항목마다 근거를 기록한 적용성 명세서도 필요합니다.
정책이 아니라 런타임 증적이 필요한 통제 항목은 무엇인가요?
특히 다음 세 영역이 중요합니다. A.6.2.6(AI 시스템 운영 및 모니터링), A.6.2.8(AI 시스템 이벤트 로그), A.9(AI 시스템 사용, 책임 있는 사용 및 인적 감독)입니다. 세 항목 모두 에이전트가 무엇을 해야 하는지에 대한 설명보다, 프로덕션에서 실제로 무엇을 했는지, 즉 모니터링, 추적 가능한 로그, 강제된 범위, 사람의 개입에 대한 증거를 요구합니다.
도구 하나만으로 ISO 42001 인증을 받을 수 있나요?
아닙니다. ISO 42001 인증은 공인 인증기관이 조직의 관리 시스템을 심사한 뒤 부여하며, 특정 제품이 인증을 대신 제공할 수는 없습니다. Alpacon 같은 도구는 특정 런타임 통제(A.6.2.6, A.6.2.8, A.9)에 필요한 운영 증적, 즉 정책 문서로는 만들 수 없는 런타임 슬라이스를 제공할 수 있지만, 전체 ISO 42001 심사 패키지를 생성하거나 인증기관을 대신하지는 않습니다.
ISO 42001 인증을 받으면 EU AI Act를 준수하게 되나요?
아닙니다. ISO 42001은 관리 시스템을 인증하고, EU AI Act는 제품과 AI 시스템을 규제합니다. EU AI Act에는 적합성 평가, 데이터베이스 등록, 범용 AI 의무 등 별도의 요구사항이 있습니다. 두 체계는 기록 보관(제12조)과 인적 감독(제14조) 영역에서 일부 겹치므로 같은 런타임 증적을 활용할 수 있지만, ISO 42001 인증이 곧 EU AI Act 준수를 의미하지는 않습니다.
ISO 42001 인증에는 얼마나 걸리나요?
갭 분석부터 심사 준비까지 보통 3개월에서 9개월 정도가 걸립니다. 이미 성숙한 ISO 27001 체계를 갖추고 있고 심사 범위가 좁다면 준비 기간을 줄일 수 있습니다. Annex A의 여러 통제 항목이 ISO 27001과 겹치기 때문입니다. 새롭게 준비해야 할 영역은 기존 정보보안 관리 체계에 직접 대응되는 항목이 없는 AI 특화 통제입니다.
프로덕션 인프라에 AI 에이전트를 배치하고 있다면, 첫 Stage 2 심사를 마친 뒤가 아니라 시스템을 설계할 때부터 런타임 증적을 고려하는 편이 좋습니다.
