AI 자주 묻는 질문

행정부, 고등 교육기관, 독립 기관을 포함한 모든 기관은 현재 귀하가 방문 중인 VITA AI 웹페이지, VITA AI 정책 및 기술 표준, 소속 기관의 AI 포트폴리오 담당자, 그리고/또는 VITA Commonwealth 엔터프라이즈 아키텍처(EA) 팀에서 시작할 수 있습니다.

이 FAQ 외에 궁금한 점이 있으시면 VITA Commonwealth 기술 전략 파트너(CTSP) 또는 VITA EA 팀에 문의해주십시오.

추가 질문은 vccc@vita.virginia.gov로 보내 주십시오. 

특정 AI 기술에 대한 기술적 질문은 담당 VITA 엔터프라이즈 아키텍트에게 문의하시기 바랍니다.

AI 기능은 귀하의 기관에서 이미 사용 중인 많은 제품을 포함하여 IT 분야 전반의 소프트웨어 및 서비스에서 빠르게 표준 기능으로 자리 잡고 있습니다. 공급업체가 제품을 확장하거나 업데이트함에 따라, 기관은 기존 도구에 도입되는 새로운 AI 구성 요소나 기능에 주의를 기울여야 합니다.

확신할 수 없는 경우에는 귀하의 솔루션 소유자나 공급업체에 문의하십시오.

인공지능(AI) 활용 정책에 따라, 모든 Executive Branch agencies는 신뢰할 수 있고 안전하며 보안이 유지되는 AI 시스템 사용을 보장하기 위해 감독 및 승인을 위한 내·외부 AI 시스템 사용을 등록해야 합니다.

사용 중단됨 - 참고용 - 인공지능 등록 및 승인은 현재 Archer 애플리케이션에 사용 사례를 등록해야 하는 여러 단계의 프로세스입니다. 일단 승인되면 필요한 승인(예: 기관장 및 장관(외부 AI만 해당))을 위해 VITA의 Planview CTP 애플리케이션에도 입력해야 합니다.

Archer 애플리케이션에 AI 기술을 등록하는 방법에 대해 궁금한 점이 있으시면, 기꺼이 도와드릴 기관 담당 EA에게 문의하시기 바랍니다. CTP/Planview에 대해 궁금한 점이 있으시면 기관 담당 ITIMD 애널리스트에게 문의하십시오.

기존 AI 사용에 대한 면제 조항은 없지만, 모든 사용 사례가 반드시 등록될 필요는 없습니다. 확신할 수 없는 경우에는 기관 지정 EA에게 문의하세요.

• AI 솔루션이 다음 세 가지 기준을 모두 충족하는 경우 등록하지 않아도 됩니다.

• 내부 지향
• 개인 데이터를 사용하지 않음
• 프로덕션 시스템에 통합되지 않음(프로덕션 시스템이 아닌 시스템의 예로는 합성 데이터 또는 공개적으로 이용 가능한 데이터만을 사용하는 샌드박스, 개발 및 테스트 시스템이 있음)

• AI 솔루션이 다음 조건 중 하나라도 충족하면 등록해야 합니다.

• 외부 지향
• 개인 데이터 사용
• 프로덕션 시스템에서 활용
• 기관의 임무 필수 또는 비즈니스 핵심 프로세스를 지원합니다.
• SEC530 정보 보안 표준에정의된 민감한 데이터 포함
• 클라우드 서비스 평가를 위해 검토가 필요합니다.

AI 등록 및 승인 절차와 COV RAMP는 서로 관련이 있지만 각기 다른 목적을 수행하며, 기관의 불필요한 비용과 노력을 방지하기 위해 특정 순서로 진행됩니다.

상황에 따라 다릅니다.

아니요.

상황에 따라 다릅니다.

공급업체는 AI를 어떻게 사용하고 있으며, 해당 사용이 Commonwealth에 영향을 미칩니까?

공급업체가 AI를 내부적인 비(非)Commonwealth 목적, 예를 들어 직원이 Commonwealth의 데이터나 서비스와 관련 없는 이메일을 분석하기 위해 Claude와 같은 AI 도구를 사용하는 경우로만 엄격히 제한하여 사용하는 경우, 공개나 등록은 필요하지 않습니다.

단, 공급업체의 AI 사용이 Commonwealth of Virginia의 비즈니스 프로세스를 직접 지원하거나, 기관의 사명에 영향을 미치거나, 대중에게 영향을 미치는 경우에는 등록이 필요합니다. 여기에는 Commonwealth of Virginia 또는 그 시민에게 제공되는 결정, 프로세스, 데이터 처리 또는 서비스에 영향을 미치는 모든 AI 기능이 포함됩니다.

등록에 대한 책임은 AI 사용이 어떻게 시작되는지에 따라서도 달라집니다:

VITA가 공급업체에 특정 AI 기능을 사용하도록 요청하거나 요구하는 경우, VITA는 해당 AI 사용 사례가 레지스트리에 입력되도록 보장할 책임이 있습니다.  공급업체가 VITA 또는 기관에 서비스를 제공하는 과정에서 AI 사용을 제안하는 경우, 공급업체는 등록 절차를 시작하고 VITA와 협력하여 이를 완료해야 합니다.

요약하자면, 공급업체가 주도하든 VITA가 지시하든 상관없이 Commonwealth 데이터, 시스템 또는 비즈니스 기능에 영향을 미치는 모든 공급업체의 AI 사용은 반드시 등록되어야 합니다.

독립 실행형, 내장형 또는 생성형 AI를 포함하여 행정부 기관이 사용하거나 조달하는 모든 AI 시스템은 양쪽 모두에 등록되어야 합니다.

Ardoq 내 문서화는 ITIM 제출 전, 계획 단계에서 시작해야 합니다. 조기 문서화는 다음을 보장합니다:

• 엔터프라이즈 아키텍처 표준 준수
• 위험 검토 프로세스 포함
• VITA 및 배정된 엔터프라이즈 아키텍트에 대한 가시성

이후 조달부터 배포, 폐기에 이르는 전체 수명 주기 동안 업데이트를 수행해야 합니다.

기관은 다음을 포함해야 합니다:

승인을 위해 제출되는 사용 사례를 완전히 정의할 수 있도록 요청된 모든 필드에 충분한 정보를 기재해야 합니다.

모든 필드는 반드시 작성해야 합니다.

기관은 배포 전에 COV AI 등록 시스템에 새로운 AI 시스템을 등록하고 Ardoq를 통해 세부 정보를 제출해야 합니다.

변경 사항을 기록하고 COV 정책 및 표준과의 지속적인 일치를 보장하기 위해 매년 업데이트가 수행됩니다.

기관 IT 담당자(AITR) 및 정보 보안 책임자(ISO)는 다음 사항을 책임집니다:

• 항목이 완전하고 최신 상태인지 확인,
• 사용 지표 추적 및 보고,
• VITA 및 CIO와 모든 업데이트 또는 변경 사항을 조정합니다.

또한 기관은 문서화를 감독하고 연례 감사를 유지하기 위해 AI 데이터 거버넌스 담당자를 임명해야 합니다.

기관은 다음 사항을 확인하기 위해 고위험 AI 시스템에 대한 연례 감사를 실시해야 합니다:

• 데이터 최소화 관행
• 동의 관리
• 로그 및 액세스 추적
• 비식별화, 편향 완화 및 보안 프로토콜 준수

감사 결과는 VITA 및 행정 장관에게 제출해야 합니다.

1.  사전 계획, 조달 및 정식 오픈과 같은 마일스톤 단계에서

2.  주요 속성(소유자, 데이터 분류, 수명 주기 상태)이 변경될 때마다

3.  ITIM 분기별 업데이트 중 정확한 아키텍처 및 규정 준수를 보장하기 위해

합성 데이터 또는 공개 데이터만 사용하는 샌드박스, 테스트 또는 AI는 공식 등록/문서화에서 면제됩니다.  하지만 시스템이 다음의 경우:

• 프로덕션 환경에서 사용할 계획이거나, 또는
• 임무 수행에 필수적인 프로세스를 지원하거나,
• 클라우드 서비스 검토 필요

그런 다음 CTP/Archer에 등록하고 Ardoq에 문서화해야 합니다.

전적으로 스스로 하는 것은 아닙니다. 정책에 따라 AI 시스템은 다음 사항도 충족해야 합니다:

1. CTP/Planview에 등록됨
2. 위험 인벤토리를 위해 Archer에 기록됨
3. 기관장(외부 AI의 경우 국무장관 포함)의 승인을 받고 CTP 및 Archer에 반영됨
4. 엔터프라이즈 수준 아키텍처 거버넌스의 일환으로 Ardoq에 문서화됨

Ardoq 문서는 이러한 단계를 보완하지만 대체하지는 않습니다.

귀하의 AI 솔루션에 개인 정보, 민감 정보 또는 식별 가능한 정보와 같은 형태의 인적 데이터가 포함된 경우, 귀하의 기관은 해당 데이터가 어떻게 수집, 사용, 보호 및 관리되는지 명확하게 설명할 수 있어야 합니다. 귀하의 문서화 및 승인 요청에는 최소한 다음 사항이 포함되어야 합니다:

Commonwealth 기관에서 개발한 모든 AI 솔루션은 공개적으로 이용 가능한 출처의 데이터를 포함하여, 학습에 사용된 모든 데이터 세트를 사용할 수 있는 권한이 있음을 명확히 입증해야 합니다. 기관은 사용된 모든 데이터 세트를 식별 및 문서화하고, 각 데이터 세트가 적절한 이유를 설명하며, 해당 데이터가 AI 시스템의 작동 및 출력에 어떻게 기여하는지 설명할 수 있어야 합니다.

예.

AI로 생성된 코드는 사용할 수 있으나, 반드시 엄격한 인간의 감독 하에 있어야 합니다. AI 도구로 생성된 모든 코드는 기관 시스템에 통합하기 전에 철저히 검토, 검증 및 테스트를 거쳐야 합니다.

등록부의 최신성(Registry currency)이란 Commonwealth의 AI 등록부가 새로 도입된 솔루션, 오래된 레거시 시스템, 내장된 기능 및 생성형 도구를 포함하여 기관이 사용하는 모든 AI 시스템의 정확하고 최신 상태인 인벤토리를 항상 반영해야 함을 의미합니다. 이는 기관의 실제 IT 포트폴리오를 항상 반영하는 살아있는 기록입니다.

이유:
AI 활용 정책은 기관 전반에서 AI가 어떻게 사용되는지에 대한 완전한 문서화를 요구하며, 이를 통해 투명성, 감독, 인간의 검증 및 윤리적 배포를 보장하기 때문입니다. 최신 등록부는 이러한 의무를 이행하는 데 필수적입니다. 

아니요.

임무 필수 또는 비즈니스 핵심 기능을 지원하거나, 시민/기업 데이터를 처리하거나, 클라우드 검토가 필요한 기존 AI 시스템은 수년 전에 배포되었더라도 반드시 등록해야 합니다.

이유:
승인 절차는 모든 내·외부 AI 시스템에 적용되며, 정책에 따라 기관은 구형 기술에 대한 예외 없이 IT 포트폴리오 전반에서 AI가 어디에 어떻게 사용되는지 문서화해야 합니다. 

AI 시스템이 식별, 수정, 교체되거나 새로 사용될 때마다 업데이트가 지속적으로 이루어져야 합니다.

이유:
기관 거버넌스 요구 사항에 따라 레지스트리 항목은 완전하고 최신 상태로 유지되어야 하며, 연례 감사는 정확한 문서화에 의존합니다. 지속적인 유지 관리는 감독을 약화시킬 수 있는 공백을 방지합니다. 

등록 대상을 신규 시스템으로만 제한하면 내장형, 상속형 또는 레거시 AI가 추적되지 않은 상태로 남게 됩니다. 이는 규정 준수, 인적 감독 검토, 위험 관리 및 시민 투명성 측면에서 사각지대를 발생시킵니다.

이유:
이 정책은 모든 AI 사용에 대한 문서화를 강조하며, 시스템의 기원 시점과 관계없이 책임감 있고 윤리적인 배포를 보장합니다. AI 책임은 독립 실행형, 내장형 또는 생성형 AI에 동일하게 적용됩니다. 

AI 레지스트리에 즉시 등록하고, 필요한 승인 절차를 완료하며, 관련 거버넌스 문서를 업데이트하십시오.

이유:
모든 AI 시스템은 승인 워크플로를 거쳐 기록되어야 하며, 이를 통해 VITA 및 사무국 검토자가 공정성, 인간의 감독, 데이터 관리 및 위험을 평가할 수 있습니다. 

기관 IT 담당자(AITR), 정보 보안 책임자(ISO), 지정된 기관 거버넌스 담당자 및 VITA의 엔터프라이즈 아키텍처 부서는 모두 AI 항목을 발견, 문서화, 검토 및 유지 관리하는 데 공동의 역할을 수행합니다.

이유:
이 정책은 기관에 AI 사용 문서화, 승인 완료 및 등록 항목 최신 상태 유지에 대한 책임을 부여하며, VITA는 기록을 유지하고 감독을 제공합니다. 

감사를 통해 등록 항목이 정확하고 완전하며 실제 시스템 사용과 일치하는지 확인합니다. 조사 결과는 격차를 파악하고 거버넌스 자료를 최신 상태로 유지하는 데 도움이 됩니다.

이유:
고위험 시스템에 대한 연례 감사와 지속적인 기관 거버넌스 검토는 완전한 등록부 항목에 의존하며, 그 결과는 VITA 및 행정부 장관에게 제출되어야 합니다. 

네, 단 시스템이 엄격히 비프로덕션(샌드박스, 개발 또는 테스트) 환경이며 합성 데이터나 공개적으로 이용 가능한 데이터만을 사용하는 경우에 한합니다.

이유:
'표준 상업용 제품에 내장된 AI'에 대한 승인 면제는 프로덕션에서 활발히 사용되는 시스템에는 적용되지 않습니다. 등록이 필요하지 않은 경우에도 거버넌스 요건에 따라 인벤토리 파악은 여전히 의무 사항입니다. 

1. 시스템 및 애플리케이션을 전체 스캔하여 내장형 또는 레거시 AI를 식별하십시오.
2. 생산 및 비생산 용도를 구분하십시오.
3. 모든 프로덕션 AI 시스템을 등록하십시오.
4. Planview CTP 승인을 완료하십시오.
5. 정기적인 내부 검토 및 연간 감사를 실시하십시오.
6. 기관 거버넌스에 따라 요구되는 문서를 유지하십시오.

이유:
이러한 조치는 문서화, 승인 워크플로, 감사 및 거버넌스 요구 사항에 관한 정책 섹션과 일치합니다. 

이는 주 전체의 일관성, 윤리적 사용, 대시민 시스템의 투명성, 그리고 AI 활용 정책에 대한 통일된 준수를 보장합니다.

이유:
이 정책은 기관이 AI가 어디에 어떻게 사용되는지 문서화하고 거버넌스 자료를 VITA가 이용할 수 있도록 할 것을 요구합니다. 현재 등록부 항목은 책임감 있고 일관된 주 전체의 감독을 지원합니다. 

기관은 표준 상업용 제품에 내장된 AI에 대해 등록 승인을 제출할 필요가 없습니다. 그러나 기관은 여전히 인벤토리 관행을 통해 내장형 AI에 대한 인식을 유지해야 합니다.

이유:
승인 절차에서 표준 상용 소프트웨어에 내장된 AI는 명시적으로 면제되지만, 제3자 리소스에 대한 인벤토리 관리는 여전히 필요합니다. 

최신 등록부는 기관이 타사 AI 사용 위치를 추적하여 공급업체 테스트, 문서화, 보증, 데이터 사용 제한 및 보안 보호 조치를 평가할 수 있도록 지원합니다.

이유:
이 정책은 제3자 위험을 완화하기 위해 공급업체 심사, 테스트 검토, 계약 요구 사항 및 인벤토리 관리를 의무화합니다. 

이는 기관이 Commonwealth 데이터를 처리하는 모든 AI 시스템을 식별하도록 돕고, 정부 데이터 수집 및 배포 관행법(Government Data Collection and Dissemination Practices Act), 데이터 최소화, 보존 제한 및 보안 지표를 준수할 수 있도록 합니다.

이유:
이 정책은 엄격한 개인정보 보호 및 데이터 보호 조치와 고위험 시스템에 대한 연례 감사를 요구하며, 이 두 가지 모두 어떤 AI 시스템이 존재하는지 정확히 파악하는 것에 달려 있습니다. 

이를 통해 기관은 시민에게 영향을 미치는 결정, 대중 대상 콘텐츠 또는 자동화된 결과물을 생성하는 시스템을 명확히 식별하여 공개 요구 사항을 충족할 수 있습니다.

이유:
본 정책은 시민에게 영향을 미치는 외부 AI 시스템에 대해 공개, 콘텐츠 라벨링, 사용 전 고지 및 투명성을 요구합니다. 정확한 등록부 항목은 이러한 의무를 뒷받침합니다. 

네. 기관은 어떤 시스템이 AI를 사용하는지 파악하여 결과물, 결정 사항 및 콘텐츠에 올바른 필수 면책 조항을 적용할 수 있어야 합니다.

이유:
이 정책은 AI를 사용하여 출력을 생성하거나 지원할 때마다 특정 면책조항 문구와 투명성 규칙을 준수하도록 규정합니다. 정확한 등록부 인식이 필수적입니다.

최신 등록 항목을 통해 기관과 검토자는 각 AI 시스템의 인간 검증, 감독 및 설명 가능성을 평가할 수 있으며, 이를 통해 모니터링되지 않는 ‘블랙박스(black-box)’ 의사결정을 방지합니다.

이유:
이 정책은 설명되지 않은 의사 결정 논리를 금지하며, 결과를 검증하고 의도하지 않은 결과를 해결하기 위해 인간의 감독을 요구합니다. 

이는 구형 시스템을 포함한 모든 AI 시스템이 현대적 표준에 부합하는 명확한 목적, 공익성, 그리고 증빙 문서(RIA 검토 포함)를 갖추도록 보장합니다.

이유:
본 정책은 각 AI 시스템이 시민들에게 제공하는 가치를 입증하고 비즈니스 케이스 절차 중에 평가된 대안을 문서화하도록 요구합니다. 

완전한 등록 항목을 유지하면 기관 전반에 걸쳐 AI 시스템의 통합된 권위 있는 데이터 세트가 생성되어 조정 격차가 줄어듭니다.

이유:
기관 거버넌스 요구 사항은 명확한 문서화, 최신 추적, VITA에 대한 기록 제공을 강조하며, 이는 모두 파편화를 완화합니다. 

완전한 등록부는 기관이 감사 요구 사항을 충족하고, 정책 표준 준수를 입증하며, VITA 및 정책 리더십에 정확한 거버넌스 자료를 제공할 수 있도록 보장합니다.

이유:
기관은 고위험 시스템에 대한 연례 감사를 수행하고, AI 사용을 추적하며, 문서를 유지하고, 그 결과를 VITA 및 행정 장관에게 제출해야 하며, 이 모든 과정은 등록부의 정확성에 달려 있습니다.