네이버(NAVER)는 검색을 비롯한 다양한 디지털 서비스를 제공하는 국내 대표적인 인터넷·기술 기업입니다. 최근 생성형 AI 기술을 검색 서비스에 접목하며 이용자의 정보 탐색 경험을 확대하고 있습니다.
네이버는 AI 기반 검색 서비스인 ‘네이버 AI 탭’의 개발 및 서비스 제공에 관한 인공지능경영시스템에 대해 ISO/IEC 42001 인증을 취득했으며, LRQA는 독립적인 제3자 심사를 통해 해당 경영시스템이 국제표준의 요구사항에 부합하는지 평가하고 인증을 수여했습니다.
ISO/IEC 42001 인증 추진 배경과 범위
AI가 검색과 같은 일상적인 서비스에 활용되면서, 기술의 성능뿐 아니라 서비스 운영 전반에 걸친 위험 관리의 중요성이 높아지고 있습니다. 네이버는 기존에 운영해 온 AI 안전 관리체계를 국제표준에 따라 객관적으로 검증받고, 국내외에서 높아지는 AI 거버넌스 요구에 대응하기 위해 ISO/IEC 42001 인증을 추진했습니다.
네이버 AI 탭은 여러 AI 서비스로 연결되는 검색 서비스로, 생성형 검색과 대화형 상호작용, 추천 등 다양한 기능을 제공합니다. 이번 인증에는 AI 탭의 기획·개발·운영을 담당하는 검색 조직과 AI Safety Center(AISC)가 참여했습니다.
인증 범위는 AI를 직접 개발하는 생산자와 이용자에게 제공하는 공급자의 역할을 모두 고려해, AI 탭의 개발부터 서비스 제공까지 포함되었습니다.
기존 AI 안전 관리체계의 정비
네이버는 기존에 운영해 온 AI 안전 관리체계를 기반으로 ISO/IEC 42001 인증을 준비했습니다. NAVER AI Safety Framework 2.0(ASF 2.0), AI 전 생애주기 점검 체계(CHEC 2.0) 등을 표준 요구사항과 비교하고, 필요한 문서와 운영 절차를 보완했습니다.
주요 정비 사항
-
문서 및 관리 절차: 위험 관리 절차와 경영검토, 내부심사 관련 문서 정비
-
AI 자원 및 사람의 감독: AI 자원 인벤토리와 자원 간 연결 관계 정리, 사람의 감독 기준 문서화
-
위험 평가 및 영향평가: 서비스 이용 환경을 고려한 위험 평가와 AI 시스템 영향평가를 위험처리 계획에 연계
-
안전성 평가 및 개선: 정기적인 안전성 평가와 주요 서비스 변경에 따른 위험 재평가 절차 정비
위험 식별과 분류에는 네이버의 자체 리스크 관리 체계인 N-ARTI를, 정기적인 안전성 평가에는 N-ASET을 활용했습니다. 이를 통해 기존 관리 활동과 ISO/IEC 42001에서 요구하는 위험 평가 및 관리 절차를 연계했습니다.
시사점: 기존 관리체계가 있더라도 ISO/IEC 42001의 요구사항과 비교해 문서, 운영 기록, 위험 관리 절차가 일관되게 연결되는지 확인하는 과정이 필요합니다.
인증 준비 과정과 조직별 역할
AI 서비스는 개발과 운영에 여러 부서가 관여하는 만큼, 인증 준비에서도 관련 조직의 역할을 명확히 하는 것이 중요했으며, 이번 인증에는 AI 안전을 전담하는 AI Safety Center(AISC)와 AI 탭 서비스를 담당하는 검색 조직이 참여했습니다.
-
AI Safety Center(AISC): 인공지능경영시스템 설계, 문서화 및 위험 관리 방법론 담당
-
검색 조직: 실제 서비스 운영에 따른 위험 식별과 관리 조치 수립
-
현업 부서: 담당 영역의 위험 관리
-
경영진: 관련 사항에 대한 정기적인 검토와 승인
네이버는 2026년 3월부터 인증 준비에 착수했으며, 6월부터 8월까지 인증 범위 설정과 갭 분석, 문서 체계 구축을 진행했습니다.
담당자 코멘트: 준비 과정에서 특히 많은 시간이 소요된 부분은 문서의 개정 이력을 정리하고, 실제 운영을 입증할 수 있는 기록을 확보하는 일이었습니다. 관련 부서는 사전 미팅을 통해 담당 업무와 자료를 확인하며 심사에 대비했습니다.
LRQA 선정 배경 및 인증심사 수행
네이버는 글로벌 사업 환경을 고려해 UKAS 인정 을 받은 LRQA의 국제적인 인증 역량과 기존 ISO 37301(규범준수경영시스템) 인증 과정에서의 협업을 바탕으로 LRQA를 인증기관으로 선정했습니다.
LRQA는 1단계 문서 심사와 2단계 현장 심사를 통해 AI 탭의 개발 및 서비스 제공에 관한 인공지능경영시스템이 ISO/IEC 42001의 요구사항에 부합하는지 평가했습니다. 심사 과정에서는 AI 검색 및 AI 탭 관련 부서의 경영시스템 운영 현황을 확인하고, 관련 관리 절차가 실제 업무에 적용되고 있는지 검토했습니다.
ISO/IEC 42001 인증을 준비하는 기업이라면
이번 사례는 기존에 운영하던 관리체계를 국제표준의 요구사항에 맞춰 정비하고, 실제 업무에 적용하는 과정에서 고려해야 할 사항을 보여줍니다.
-
기존 관리체계부터 검토하세요. ISO/IEC 27001·27701 등 다른 경영시스템을 운영하고 있다면, 이미 갖춘 정책과 절차 중 활용할 수 있는 부분을 먼저 확인할 수 있습니다.
-
인증 범위와 조직별 책임을 명확히 하세요. 하나의 AI 서비스에도 개발, 운영, 안전 관리 등 여러 조직이 관여할 수 있습니다. 공통 플랫폼을 사용하는 경우에는 관련 조직과 활동을 어느 수준까지 포함할지 사전에 정하는 것이 중요합니다.
-
문서뿐 아니라 운영 기록도 준비하세요. 정책과 절차가 마련되어 있더라도 실제로 어떻게 적용되고 있는지 확인할 수 있어야 합니다. 위험 평가, 내부심사, 경영검토 등의 기록과 문서 개정 이력을 함께 관리할 필요가 있습니다.
-
서비스 변경에 따른 재평가를 고려하세요. AI 시스템은 지속적으로 변경될 수 있습니다. 따라서 최초 위험 평가에 그치지 않고, 주요 변경 사항이 발생했을 때 위험과 영향을 다시 평가할 수 있는 절차가 필요합니다.
