Younkin 주지사의 인공지능(AI) 관련 행정 명령 30호 발령 이후 COV AI 활용 정책 표준 및 인공지능 표준이 발표됨에 따라, 이들 문서에 포함된 요구 사항의 영향을 받는 기관들은 준수 사항과 관련하여 다양한 질문을 제기했습니다.
이 FAQ에서는 인공지능 등록 및 승인 절차, 등록이 필요한 AI 기술에 대한 지침, 그리고 AI 사용 시 고려해야 할 주의 및 권장 사항을 다룹니다.
자세한 내용은 VITA의 인공지능 페이지에서 확인하세요.
AI 자주 묻는 질문(FAQ)
모든 기관(행정부, 고등교육 기관 및 독립 기관을 포함)은 지원을 요청할 경우 해당 목록을 참고해야 합니다.
추가 질문은 vccc@vita.virginia.gov로 보내 주세요.
특정 AI 기술에 대한 기술적 질문은 담당 기업 아키텍트(EA)에게 문의하세요.
COV AI 활용 정책 표준에 따라, 행정 명령 30호에서 정의한 모든 행정부 기관은 내·외부 AI 시스템 사용을 등록하고 감독 및 승인을 받아야 하며, 이를 통해 신뢰, 안전, 보안이 유지되는 방식으로 AI 시스템이 활용되도록 보장해야 합니다.
인공지능 등록 및 승인 절차는 여러 단계로 이루어져 있습니다. Archer에서 등록해야 하고, Planview에서 VITA, 소속 기관장, 그리고 주 정부 국무장관(외부 AI의 경우)의 승인을 받아야 합니다. Archer에 AI 기술을 등록하는 방법에 대해 궁금한 점이 있으면 담당 EA에게 연락하세요. Planview에 대해 궁금한 점이 있으면 담당 ITIMD 애널리스트에게 문의하세요.
EO 30에는 기존 AI 사용에 대한 면제 조항이 없지만, 모든 사용 사례가 반드시 등록될 필요는 없습니다. 확신할 수 없는 경우에는 담당 EA에게 문의하세요.
- AI 솔루션이 다음 세 가지 기준을 모두 충족하는 경우 등록하지 않아도 됩니다.
- 내부 지향
- 개인 데이터를 사용하지 않음
- 프로덕션 시스템에 통합되지 않음(프로덕션 시스템이 아닌 시스템의 예로는 합성 데이터 또는 공개적으로 이용 가능한 데이터만을 사용하는 샌드박스, 개발 및 테스트 시스템이 있음)
- AI 솔루션이 다음 조건 중 하나라도 충족하면 등록해야 합니다.
- 외부 지향
- 개인 데이터 사용
- 프로덕션 시스템에서 활용
- 기관의 임무 필수 또는 비즈니스 핵심 프로세스를 지원합니다.
- SEC530 정보 보안 표준에정의된 민감한 데이터 포함
- 클라우드 서비스 평가를 위해 검토가 필요합니다.
무료 제품 및 널리 사용되는 제품을 포함하여 모든 AI 사용과 관련해서는 표준에 명시된 절차를 통해 승인을 받아야 합니다. 주 정부 기관 공무원은 공식 승인을 받지 않고 AI 제품을 도입해서는 안 되며, 여기에는 주 정부 IT 기기에 무료 AI 제품을 다운로드하거나 해당 제품을 공식 업무에 사용하는 경우도 포함됩니다.
EO 30 및 AI 표준에서 규정하는 바와 같이, 승인 절차는 주 정부 기관이 시민의 데이터를 보호하고 편향된 애플리케이션으로부터 보호하며, 사업 관점에서 합당한 방식으로 AI를 사용하도록 보장하기 위한 것입니다. 무료로 제공되는 제품은 물론, 기관에서 구매하는 AI 제품도 부적절한 사용으로 인한 위험을 안고 있습니다. 예를 들어, 최근 뉴스 보도에 따르면 일부 무료 AI 제품은 때로 EO 30에 명시된 표준과 상충할 수 있는 편향된 결과를 생성한다고 합니다.
다음 사항에는 AI 정책 및 표준(AI 등록 포함)이 적용되지 않습니다.
- 국방 또는 COV 보안 시스템에 사용되는 AI(예: 사이버 보안, HVAC 또는 SCADA 시스템)
- 일반 상용 제품에 내장된 AI(예: iWatch, iPhone, Adobe Photoshop과 같은 상업용 데스크톱 소프트웨어 또는 주 정부가 소프트웨어 애플리케이션과 해당 애플리케이션에서 사용되는 데이터를 소유하지 않는 관리형 소프트웨어 서비스(SaaS) 애플리케이션)
- 공립 고등 교육 기관에서 진행되는 AI 연구 및 개발(R&D) 활동 또는 교육 프로그램
공립 고등 교육 기관에서 진행되는 AI 연구 및 개발(R&D) 활동 또는 교육 프로그램은 AI 정책 및 표준에서 면제되며, AI 등록 시스템에서 관리할 필요가 없습니다. 예를 들어:
- AI가 연구 프로젝트의 일부로 활용되어 인간 연구 대상자가 특정 작업을 수행하는 데 도움을 주는 경우
- AI를 활용한 지식 체계에 대한 연구
- AI 지원 연구 데이터 분석
- AI 방법, 알고리즘 및 기술 연구
- 학생들이 과제에 생성형 AI를 활용하는 교실 내 AI 사용
- 교실에서 교사가 학생 과제를 평가하고 검토하는 데 사용되는 AI
VITA는 연구 목적으로 AI를 사용할 경우 연구 감독을 위한 기관의 기관 심사 위원회(Institutional Review Board) 프로그램에 따라 인간 피험자를 윤리적이고 책임감 있게 대하고 피험자의 복지와 개인정보(피험자의 데이터 포함)를 보장하기 위한 보호 조치를 적용할 것을 권장합니다.
VITA는 교육 프로그램에서 AI를 사용할 때 해당 기관이 K-12 기관인 경우 버지니아 교육부, 고등 교육 기관인 경우 주 고등 교육 위원회(State Council of Higher Education)에서 관리할 것을 권장합니다.
공립 고등 교육 기관에서 진행되는 AI 연구 및 개발(R&D) 활동이나 교육 프로그램은 AI 정책 및 기준에서 면제되지만, 학생 및 재무 데이터를 포함한 주 정부 데이터와 관련된 기관의 행정 활동은 면제되지 않습니다. 예를 들어:
- 학생 입학 절차에 사용되는 AI
- 장학금, 보조금 및 기타 형태의 재정 지원을 결정하는 데 사용되는 AI
- 인재 채용 및 선발, 직원 성과 관리에 사용되는 AI
- 재무, 조달, 부동산, 시설, 정보 기술 프로세스를 포함한 기관의 비즈니스 기능을 관리하는 데 사용되는 AI
- HIPAA, FERPA 및 IRS에서 규제하는 데이터를 포함해 민감한 기관 데이터에 액세스하는 데 사용되는 AI
COV Ramp와 AI 등록 및 승인 절차는 서로 관련이 있지만 각기 다른 필요를 충족합니다.
- AI 등록 및 승인 절차는 특정 AI 기술을 특정 용도로 활용하려는 의도를 다루며, AI 활용 정책에서 제기된 우려 사항을 준수하고 있음을 입증하는 역할을 합니다.
- COV Ramp는 공급업체의 운영 적합성과 주 정부가 해당 업체와 비즈니스를 수행할 수 있는 능력을 인증합니다.
또한, COV Ramp에 제출하면 기관에 비용이 청구됩니다. AI 등록 및 승인에 먼저 제출하면 제안된 사용 사례가 VITA 또는 사무국에서 승인되지 않는 경우에 불필요한 비용 지출을 방지할 수 있습니다.
AI 등록의 목적은 AI 사용에 대한 완전한 투명성을 보장하는 것입니다. 이는 인공지능 활용에 관한 COV 정책 표준 (제 IV조, 필수 면책 조항)에 따라 준수해야 할 몇 가지 기준을 명시하고 있습니다.
AI 등록 정보에는 정보공개법(FOIA)이 적용됩니다. 그러나 적절한 경우 기존의 사이버보안 면제 조항이 적용될 수 있습니다. Va. Code § 2.2-3705.2(2) & (14)를 참조하시기 바랍니다. FOIA의 일반 조항은 데이터베이스에서 일부 정보를 삭제하거나 추출해야 하는 상황을 상정합니다. Va. Code §§ 2.2-3704(G) 및 2.2-3704.01를 참조하시기 바랍니다.
기관이 민감하거나 기밀이라고 생각하는 정보를 등록하는 경우, 공개해야 할 정보와 공개하지 말아야 할 정보를 나중에 쉽게 구분할 수 있도록 해당 정보를 명확하게 식별해야 합니다.
COV 인공지능 기술 로드맵은 사용 검토가 완료된 인공지능 솔루션과 기관이 조사할 수 있는 영역을 파악하는 데 목적을 두고 있습니다. 특정 AI 솔루션이 로드맵에 포함되어 있지 않은 경우, 기관은 해당 솔루션을 AI 등록 및 감독 승인 절차에 제출할 수 있습니다.
제안된 모든 AI 기술 사용 사례는 AI 기술 로드맵에 포함되었는지 여부에 관계없이 위의 지침에 따라 등록을 고려해야 합니다.
생성형 AI 도구 사용
- 내부 지향입니다.
- 의사 결정이나 정책을 생성하지 않습니다.
- 주 정부 데이터 또는 개인 데이터를 사용하지 마십시오.
- 핵심 기관 업무를 수행하는 데 사용되지 않습니다.
- 프로덕션 시스템에 통합되지 않음
AI 등록이 필요하지 않습니다.
기관이 AI 솔루션에서 개인 데이터를 활용하는 경우, 해당 데이터가 어떻게 사용되고 보호되는지 설명할 수 있어야 합니다.
- 포함될 구체적인 데이터 요소, 사용의 정당성 및 생성될 데이터의 가치에 대한 설명을 자세히 설명합니다.
- 데이터 세트를 보호하는 방법을 설명하고 데이터에 액세스할 수 있는 개인 또는 역할을 식별합니다.
- 데이터 세트에서 AI 알고리즘의 작동 방식과 출력 생성 과정 설명
- 출력이 적절하게 익명화되는 방법을 식별합니다.
AI 모델의 개발 및/또는 학습에 사용되어서는 안 됩니다.
시민이 공개 또는 비공개 회의에 AI 녹음기를 가져오는 경우, 진행에 방해가 되지 않는 한 녹음할 수 있습니다. 버지니아에서는 단일 당사자 동의 관할권(Va. Code § 19.2-62)에 따라 대화에 참여하는 한 명이 녹음에 동의하면 해당 대화를 녹음하는 것이 불법이 아닙니다. 또한, 정보공개법(FOIA) 또는 기타 법률에 따라 일반 대중에게 공개된 회의를 녹음할 권리가 보장될 수 있습니다. 이러한 문제에 대해 궁금한 점이 있으면 법률 자문과 상담하십시오.
IT 분야 전반에서 다양한 제품이 AI 기능을 포함하는 방향으로 발전할 것으로 예상되며, 이는 현재 기관에서 사용 중인 소프트웨어 솔루션에도 적용될 가능성이 높습니다.
- 기관은 포트폴리오 내 제품에 AI 구성 요소 또는 기능이 추가되는 변경 사항에 주의를 기울여야 합니다.
- 기관은 공급업체에서 제품 또는 서비스의 AI 활용도를 과장하거나 잘못된 정보를 제공하여 고객의 관심을 끌려고 하는 AI 세탁 관행에 대해 주의해야 합니다.
일반적인 상업용 제품에 내장된 AI의 경우, 기술 등록과 관련해서는 해당 AI 기능이 a) 입력된 데이터를 변경하는지, 아니면 b) 외부에 제공되는 결정을 내리는지에 초점을 맞춰야 합니다.
단순히 제품 내에 AI 기능이 있다는 것만으로는 등록이 불가능하며, AI 구성 요소가 최종 제품을 생성하는 경우에만 등록을 고려합니다. 예를 들어 Archer에는 AI 모듈이 있지만, COV는 이를 사용하지 않으며 최종 사용자가 해당 모듈을 별도로 호출할 수 없습니다.
COV에서 개발한 모든 AI 솔루션은 공개적으로 이용 가능한 출처의 데이터 세트를 포함하여 해당 데이터 세트를 사용할 수 있는 권한을 입증할 수 있어야 하며, 솔루션의 작동을 설명하기 위해 해당 출처를 열거할 수 있어야 합니다. AI 솔루션에 사용되는 모든 데이터 세트는 COV Enterprise Architecture 도구에 문서화되어야 합니다. 지적 재산권 문제 또는 기타 사용 허가 요건에 관해서는 법률 고문이나 법무 부에 문의하세요.
코드를 생성하는 AI는 생성된 코드의 구현 과정에서 반드시 인간의 감독을 받아야 합니다. 생성된 코드는 브랜치에 병합하기 전에 반드시 인간이 검토해야 하며, 솔루션은 프로덕션 배포 전에 테스트되어야 합니다.