AI 결과물 평가 교육, 리스크 책임자 46%만 했다고 답했다
회사에서 생성형 AI로 보고서 초안을 쓰고, 회의록을 요약하고, 데이터를 정리하는 일이 이제는 낯설지 않습니다. 그런데 AI가 내놓은 결과물을 받아 든 직원은 그중 무엇을 믿고 무엇을 다시 따져 봐야 하는지 배운 적이 있을까요? 리스크 관리 소프트웨어 회사 리스크커넥트(Riskonnect)가 2026년 10월 7일 발표한 「2026 새로운 세대의 리스크 보고서(New Generation of Risk Report)」에 따르면, 직원에게 AI 결과물을 평가하는 법을 교육했다고 답한 리스크 책임자는 46%에 그쳤습니다. 절반이 채 안 되는 셈이죠. 이 글에서는 보고서에 담긴 숫자를 하나씩 살펴보면서, 회사가 직원에게 AI의 '규칙'은 가르쳤지만 AI를 '다루는 판단력'은 아직 덜 가르쳤다는 점이 무엇을 뜻하는지 정리해 보겠습니다.
누구에게 물은 조사일까요?
숫자를 읽기 전에 먼저 짚어 둘 것이 있습니다. 이 조사의 응답자는 일반 직원이 아니라 전 세계 리스크·컴플라이언스·회복탄력성 분야 전문가 250여 명입니다. 회사 안에서 위험을 관리하고 규정 준수를 챙기는 사람들이 "우리 조직은 직원에게 이런 교육을 했다"고 답한 결과라는 뜻입니다. 보도자료 제목은 '절반이 안 되는 기업(Less Than Half of Companies)'이라고 썼지만, 본문의 문장은 정확히 말하면 리스크 책임자의 46%가 자기 조직에서 그런 교육을 했다고 답했다는 내용입니다.
또 하나, 보고서 전문은 이메일을 등록한 뒤 내려받는 형식이어서 설문 문항의 원문이나 응답자의 국가 구성은 확인하지 못했습니다. 이 글은 피아르뉴스와이어(PR Newswire)에 실린 보도자료와 리스크커넥트의 보고서 소개 페이지에 공개된 숫자를 바탕으로 합니다. 두 자료는 표본 규모와 일부 수치가 서로 일치합니다.
규칙은 가르쳤지만, 판단하는 법은 덜 가르쳤습니다
보고서에서 가장 눈에 띄는 것은 교육의 '깊이'에 따라 숫자가 뚜렷하게 줄어든다는 점입니다. AI를 감독하고 책임지는 일과 관련해 규칙, 책임, 역할을 직원에게 교육했다는 응답은 66%였습니다. 세 곳 중 두 곳은 "누가 무엇을 책임지는지"는 알려 준 셈입니다.
그런데 한 걸음 더 들어가면 이야기가 달라집니다. AI 결과물 가운데 무엇을 믿고 무엇을 의심해야 하는지, 즉 결과물을 평가하는 법을 교육했다는 응답은 46%로 떨어집니다. AI가 내놓은 분석이나 통찰을 해석하고 실제 행동으로 옮기는 법을 교육했다는 응답은 35%였습니다. 생성형 AI가 대중 시장에 나온 지 4년 가까이 지났지만, 생성형 AI의 위험에 대해 회사 전체를 대상으로 교육하거나 설명했다는 응답도 35%에 머물렀습니다.
이런 결과를 반영하듯, AI와 AI 거버넌스 관련 위험을 관리할 준비가 "매우 잘 되어 있다"고 느끼는 리스크 책임자는 17%뿐이었습니다. 규칙을 알려 주는 것과, 그 규칙을 실제 업무 상황에서 적용할 수 있게 만드는 것 사이에 간격이 있다는 뜻으로 읽힙니다.
리스크커넥트의 최고경영자 짐 웨테캠프(Jim Wetekamp)는 이 차이를 이렇게 설명했습니다. "AI 정책은 규칙을 정합니다. 교육은 직원이 그 규칙을 매일의 업무에 적용할 수 있는 실무 지식을 줍니다. AI가 조직 구석구석에 스며들수록, 직원은 AI가 준 것을 검증하고, 위험을 알아차리고, 책임 있는 결정을 내리는 법을 알아야 합니다." 정책과 교육을 함께 갖춰야 위험은 줄이면서 AI 활용은 앞당길 수 있다는 것이 그의 주장입니다.
정책은 늘었지만, 구체적이지는 않습니다
교육과 별개로, 직원의 AI 사용을 다루는 정책 자체는 빠르게 늘었습니다. 직원의 AI 사용에 관한 정책이 있다고 답한 리스크 책임자는 72%로, 2025년의 58%에서 크게 올랐습니다.
하지만 정책이 '있다'는 것과 '쓸모 있을 만큼 구체적이다'는 것은 다른 문제입니다. 어떤 AI 도구를 써도 되는지, 그리고 그 도구를 어떻게 써야 하는지에 대해 명확한 정책과 지침이 있다고 답한 비율은 54%였습니다. 여기서 주의할 점은 72%와 54%가 서로 다른 질문에 대한 답이라는 것입니다. 72%에서 54%를 빼서 "18%는 정책이 모호하다"고 계산할 수는 없습니다. 다만 두 숫자를 나란히 놓고 보면, 정책을 만든 회사는 많아졌지만 직원이 실제로 "이 도구를 이 일에 이렇게 써도 되는가"를 판단할 수 있을 만큼 구체적인 안내는 아직 부족하다는 흐름은 읽을 수 있습니다.
에이전틱 AI는 한발 더 뒤처져 있습니다
에이전틱 AI(agentic AI)는 사람이 하나하나 지시하지 않아도 목표를 받아 여러 단계의 작업을 스스로 계획하고 실행하는 AI를 말합니다. 질문에 답만 하는 챗봇과 달리, 메일을 보내거나 시스템에 데이터를 입력하는 것처럼 실제 행동까지 이어질 수 있어서 위험의 범위도 더 넓습니다.
그런데 이 분야의 준비는 더 늦습니다. 에이전틱 AI 위험에 대해 회사 전체를 공식적으로 교육하거나 설명했다는 응답은 18%에 불과했습니다. 또 에이전틱 AI를 업무나 제품에 도입하려고 검토 중인 회사 가운데 58%는 아직 그 위험을 평가하지 않았다고 답했습니다. 도입을 고민하는 속도에 비해 위험을 따져 보는 속도가 따라가지 못하고 있는 것이죠.
리스크 팀도 AI에 기대고 있습니다
흥미로운 점은 이렇게 AI의 위험을 관리해야 하는 리스크 팀 자신도 AI에 점점 더 기대고 있다는 사실입니다. 리스크 책임자의 75%는 지난 1년 사이 자기 역할에 대한 압박이 커졌다고 답했고, 37%는 그 압박이 "높다" 또는 "극심하다"고 했습니다. 반면 최근 6개월 동안 리스크 관리 기술 예산이 늘었다는 응답은 25%였고, 66%는 예산이 그대로였다고 답했습니다. 일은 늘었는데 사람과 돈은 그만큼 늘지 않은 상황입니다.
그 빈자리를 AI가 채우고 있습니다. 리스크 관리에 AI를 쓰고 있거나 쓸 계획이라는 응답은 74%로, 2024년 62%, 2025년 70%에 이어 계속 올랐습니다. 주로 쓰는 용도는 위험 평가(37%), 시나리오 계획과 시뮬레이션(34%), 그리고 미처 생각하지 못했던 위험 찾아내기(32%)였습니다. 지난 12개월 동안 AI 덕분에 내부 절차나 통제의 빈틈을 발견했다는 응답도 31%였습니다.
보고서는 리스크 팀을 둘러싼 환경도 함께 보여 줍니다. 경제 위험이 사업에 "심각하거나 상당한" 영향을 주고 있다는 응답이 55%로, 지난 2년간 1위였던 사이버 보안(55%)과 처음으로 같은 수준이 되었습니다. 지정학적 불안이 미친 영향으로는 운영·생산 비용 상승(65%), 사이버 보안 위협 증가(58%), 공급망·운송 차질(50%), 에너지 비용 상승(49%)이 꼽혔습니다. 또 41%는 지난 1년 동안 다른 부서가 리스크 팀과 상의하지 않고 위험이 따르는 결정을 내렸다가 회사의 다른 곳에 예상하지 못한 큰 차질을 빚은 일이 있었다고 답했습니다. 위험은 한 부서 안에 머물지 않고 번진다는 뜻이고, AI를 쓰는 직원 한 사람 한 사람의 판단이 중요한 이유이기도 합니다.
'AI 결과물을 평가하는 법'은 무엇을 가르치는 걸까요?
보고서는 이 교육을 "무엇을 믿고 무엇을 의심할지"를 가르치는 것이라고만 표현했고, 구체적인 교육 내용까지 공개하지는 않았습니다. 다만 일반적으로 AI 결과물을 다룰 때 직원이 갖춰야 할 습관은 크게 몇 가지로 나눠 볼 수 있습니다.
- 숫자, 날짜, 인용, 출처처럼 사실 확인이 가능한 부분은 원래 자료와 맞춰 봅니다.
- 자신이 이미 알고 있는 업무 지식과 어긋나는 내용이 있으면 그냥 넘기지 않고 다시 묻습니다.
- AI가 그럴듯한 문장으로 답했더라도, 그 답의 근거가 무엇인지 확인할 수 없다면 결론으로 쓰지 않습니다.
- 고객, 계약, 법률, 안전처럼 틀렸을 때 피해가 큰 일에는 반드시 사람이 최종 판단을 내립니다.
이런 습관은 정책 문서 한 장으로는 몸에 붙지 않습니다. 실제 업무에서 나올 법한 결과물을 놓고 직접 따져 보는 연습이 필요하고, 그것이 웨테캠프가 말한 '실무 지식'에 가까운 부분일 것입니다.
정책 다음은 교육입니다
정리하면, 리스크커넥트의 조사는 많은 조직이 AI 사용에 대한 정책과 책임 구조는 갖추기 시작했지만, 직원이 AI의 결과물을 스스로 검증하고 판단하는 능력을 기르는 교육은 아직 절반에 미치지 못한다는 점을 보여 줍니다. 그리고 에이전틱 AI처럼 더 강력한 도구일수록 그 간격은 더 벌어져 있습니다.
AI를 쓰는 직원이 늘어날수록 회사의 위험은 몇몇 전문가의 책상이 아니라 모든 직원의 화면 앞에서 생겨납니다. 우리 조직이 AI에 대해 무엇을 가르치고 있는지 아래 질문으로 한번 점검해 보시길 바랍니다.
- 직원들은 어떤 AI 도구를 어떤 업무에 써도 되는지 알고 있는가?
- 직원들은 AI 결과물에서 무엇을 믿고 무엇을 다시 확인해야 하는지 배운 적이 있는가?
- AI가 낸 분석을 실제 결정으로 옮기기 전에 누가, 어떻게 검토하는가?
- 에이전틱 AI를 도입하기 전에 그 위험을 따로 평가했는가?