공공기관 AI 거버넌스의 변천과구축 프레임워크 연구:AI 기본법･공공AI법･AI보안 가이드북을 중심으로 = A Study on the Evolution and Framework of AI Governance for Public Institutions: Focused on AI Basic Act, Public AI Act, and AI Security Guidelines

국문 초록 (Abstract)

한국의 공공기관 AI 거버넌스는 2001년 전자정부법 제정을 시발점으로 2011년 개인정보보호법 시행, 2016년 4차 산업혁명 대응 국가전략, 2021년 데이터기반행정법 시행에 이르기까지 약 20여 년에 걸친 법제 변천과 제도 축적 위에서 형성되었다. 공공기관 보안 거버넌스는 물리･네트워크 보안 중심의 태동기(~2010), 개인정보보호･데이터 거버넌스 확장기(2011~2019), AI･데이터 통합 보안 도입기(2020~2023)를 거쳐 현재의 AI 거버넌스 통합 법제화 시기(2024~현재)에 이르렀다. 이 역사적 변천 과정은 행정사학적 관점에서 현행 AI 법제의 의미를 보다 정확하게 이해하는 데 중요한 맥락을 제공한다.
본 연구는 이러한 역사적 맥락 위에서 AI기본법(2026.1.22. 시행), 공공AI법(2026.1.29. 국회 통과), 국정원 AI보안 가이드북(2025.12.)을 핵심 근거로 공기업･준정부기관 대상 AI 거버넌스 구축 프레임워크를 제시한다. 공공AI법은 데이터기반행정법의 전면 개정으로서 데이터 중심 행정에서 AI 통합 행정으로의 패러다임 전환을 선언하며, CAIO 법제화는 2010년대 CISO 직위 법제화 경험을 계승하는 역사적 연속성을 지닌다. AI보안 가이드북은 국정원이 2022년 최초로 제시한 AI 보안 가이드라인을 발전시켜 15개 보안위협･30개 보안대책과 에이전틱･피지컬 AI 보안지침을 포함한다. 글로벌 차원에서도 EU AI Act(2024), 미국 NIST AI RMF(2023), 영국 AI 규제 원칙(2023), 싱가포르 Model AI Governance Framework(2023 개정) 등과의 비교･분석을 통해 한국 모델의 차별적 특성과 글로벌 정합성을 함께 검토하였다.
본 연구는 예견적 거버넌스와 다층적 거버넌스 이론을 분석틀로 삼아, 공공기관 AI 거버넌스를 전략층(AI 거버넌스 위원회)･관리층(CAIO･AI윤리안전팀)･운영층(AI 과제PM･보안팀)의 3층위 구조로 체계화하고, 공기업(안전･보안 중심)과 준정부기관(공정성･Human-in-the-Loop 중심)의 유형별 차별적 모델을 제안하였다. 특히 AI보안 거버넌스를 제3의 핵심 거버넌스 영역으로 새롭게 제안하며, 물리보안･사이버보안･개인정보보호가 단계적으로 통합되어온 공공기관 보안 거버넌스의 역사적 발전 경로를 AI 시대에 맞게 계승하는 통합 보안 위험 관리 방안을 구체적으로 제시하였다.

다국어 초록 (Multilingual Abstract)

AI governance for Korean public institutions was not built overnight. It has evolved over approximately two decades, from the enactment of the Electronic Government Act in 2001, through the enforcement of the Personal Information Protection Act in 2011, the national strategy responding to the Fourth Industrial Revolution in 2016, and the implementation of the Data-Based Administration Act in 2021. Public sector security governance has progressed through four distinct stages: an early phase centered on physical and network security (~2010), an expansion phase focused on personal data protection and data governance (2011–2019), an integration phase introducing AI and data security (2020–2023), and the current phase of consolidated AI governance legislation (2024–present). This historical trajectory provides an essential administrative- historical context for accurately understanding the significance of Korea’s current AI legal framework.
Against this backdrop, this study presents an AI governance framework for public enterprises and quasi-governmental institutions, drawing on three core legal instruments: the Artificial Intelligence Basic Act (enforced January 22, 2026), the Public AI Act (passed by the National Assembly on January 29, 2026), and the National Intelligence Service’s AI Security Guidelines (published December 2025). The Public AI Act, as a comprehensive revision of the Data-Based Administration Act, legally declares a paradigm shift from data-centered to AI-integrated public administration. The institutionalization of the Chief AI Officer (CAIO) position carries historical continuity, succeeding the earlier legislative experience of formalizing the Chief Information Security Officer (CISO) role in the 2010s. The AI Security Guidelines represent an advancement of the NIS’s first AI security guidance issued in 2022, incorporating 15 threat categories, 30 security countermeasures, and security directives for agentic and physical AI systems. At the global level, this study also conducts a comparative analysis with the EU AI Act (2024), the US NIST AI RMF (2023), the UK AI Regulatory Principles (2023), and Singapore’s Model AI Governance Framework (2023 update), identifying the distinctive characteristics of the Korean model and assessing its alignment with international standards.
Employing anticipatory governance and multi-level governance theories as analytical frameworks, this study organizes public institution AI governance into a three-tier structure: a strategic tier (AI Governance Committee), a managerial tier (CAIO and AI Ethics & Safety Team), and an operational tier (AI Project Managers and Security Team). Type-specific differentiated models are proposed for public enterprises, which prioritize safety and security, and for quasi-governmental institutions, which center on fairness and Human-in-the-Loop principles. In particular, AI Security Governance is newly proposed as a third core governance domain, presenting a concrete integrated security risk management framework that inherits the historical development path along which physical security, cybersecurity, and personal data protection have been progressively consolidated in Korean public sector governance.