금지 목록 대신 판단 기준 — 비개발 직군 AI 보안 가이드를 이렇게 썼다
지난 편에서 정리한 다섯 가지 위험 패턴을 어떻게 가이드로 만들었는지에 대한 이야기다. 금지 목록의 한계 처음에는 하지 말아야 할 것들의 목록을 만들려고 했다. 그런데 쓰다 보니 이 방식이 잘 작동하지 않을 것 같았다. 이유는 두 가지다. 목록에 없으면 괜찮다고 판단하게 된다. 사람은 규칙을 적용할 때 목록을 조회하듯 쓴다. 새로 나온 도구, 처음 해보는 작업은 당연히 목록에 없고, 그러면 “금지된 게 아니니까"로 넘어간다. 정작 위험한 건 늘 새로운 상황이다. 목록은 항상 현실보다 늦다. AI 도구는 몇 달 단위로 할 수 있는 일이 바뀐다. 지난달에 만든 목록이 이번 달에 이미 부족하다. 목록을 유지보수하는 속도가 도구가 변하는 속도를 못 따라간다. ...