소규모 CPA 회사 대표에게 팀원들이 AI 도구를 사용하는지 물어보면, 대부분은 "조금, 비공식적으로요"라고 답할 것입니다. 그런데 서면으로 된 AI 정책이 있는지 물어보면, 방 안이 대개 조용해집니다. 이 격차는 보이는 것보다 훨씬 큽니다. 최근 업계 데이터에 따르면 회계 및 CPA 업계의 AI 도입률은 73%로, 2022년 대비 340% 급증했습니다 — 하지만 Karbon의 State of AI in Accounting Report에 따르면, 공식적인 AI 교육에 투자한 회사는 37%에 불과합니다. 성장의 대부분은 그 아래에 어떤 거버넌스 체계도 없이 이루어졌습니다.
바로 이 불일치를 해소하려는 것이 Journal of Accountancy가 2026년 7월에 다룬 AI 정책 작성 관련 기사입니다. 이 기사는 모든 규모의 CPA 회사를 폭넓게 대상으로 하지만, 그 조언이 가장 절실하게 와닿는 곳은 중소 규모 회사들입니다 — 컴플라이언스 부서를 둘 가능성이 가장 낮고, 고객 전화 사이사이에 1인 개업자나 2인 팀이 조용히 ChatGPT를 실험해보고 있을 가능성이 가장 높은 곳이기 때문입니다.
진짜 위험은 AI가 아니라 침묵입니다
불편한 진실은 이렇습니다. 회사가 굳이 "AI를 도입"하지 않아도 AI 리스크 문제는 생길 수 있습니다. 단 한 명의 직원이라도 분개 항목에 대한 다른 의견을 얻으려고 고객의 시산표를 챗봇에 붙여넣은 적이 있다면, 정책 문서가 있든 없든 이미 리스크에 노출된 것입니다.
이런 현상은 흔히 "섀도우 AI"라고 불립니다. 승인된 목록 밖에서, 계약 밖에서, 그리고 누구의 인지도 없이 이루어지는 도구 사용을 뜻합니다. 이는 가상의 이야기가 아닙니다. 최근 보안 연구에 따르면 직원들의 ChatGPT 프롬프트 중 약 34.8%가 민감한 회사 정보를 포함하고 있으며, 이는 2023년의 11%에서 크게 늘어난 수치입니다. 회계 업계로 좁혀 보면, 이는 고객의 매출 수치, 현금흐름표, 세무 문서가 회사가 검증한 적도, 계약을 맺은 적도, 감사할 수도 없는 제3자 시스템으로 흘러들어간다는 뜻입니다.
법적 노출 위험도 추상적인 이야기가 아닙니다. 직원이 개인 AI 계정에 고객의 재무 데이터를 입력하면, 그 데이터는 기존 고객 계약의 범위를 벗어난 제3자에게 전송되어 저장됩니다 — 이는 법적으로 데이터 유출의 정의에 해당할 수 있으며, 주법에 따른 통지 의무를 발생시킬 수 있습니다. AICPA의 기밀 고객 정보 규칙(전문직 행동강령 제1.700.001조)의 적용을 받는 회사라면, 이는 사소한 기술적 문제가 아닙니다. 이는 계약 범위 밖의 누군가와 고객의 재무 상황을 논의할 수 있는지를 규정하는 것과 동일한 규칙이며 — 네트워킹 행사에서의 가벼운 대화에 적용되는 것과 똑같이 AI 도구에도 그대로 적용됩니다.
실제 AI 정책이 다루어야 할 내용
Journal of Accountancy의 가이드는 실용적인 정책을 여덟 가지 구성 요소로 나눕니다: 범위와 목적, 거버넌스 구조, 데이터 프라이버시, 품질 및 정확성 관리, 문서화 절차, 편향성 평가, 고객 투명성, 그리고 허용 사용 규칙입니다. 5인 규모의 회사가 이를 한꺼번에 다루기엔 부담스러우므로, 가장 큰 보호 효과를 내는 세 가지에 집중할 가치가 있습니다.
1. 프롬프트, 출력 결과, 그리고 검토자를 기록하세요
가이드는 이 점에 대해 단호합니다. "기록되지 않았다면, 일어나지 않은 일이다." 이는 CPA에게 새로운 기준이 아닙니다 — 워크페이퍼와 인게이지먼트 파일을 관리하는 것과 같은 논리입니다 — 다만 이제는 AI에도 이를 확장해야 합니다. 직원이 AI 도구를 사용해 고객 메모를 작성하거나, 기술적 질문을 조사하거나, 문서를 요약할 때, 회사는 다음을 제시할 수 있어야 합니다:
- 어떤 프롬프트를 사용했는지
- 도구가 무엇을 반환했는지
- 누가, 어떻게 그 결과물을 검토했는지
이 기록은 다른 제3자 도구 문서와 마찬가지로 고객 파일에 보관되어야 합니다 — 90일 후 사라지는 Slack 스레드에 남겨두어서는 안 됩니다.
2. 고객에게 전달되기 전에 반드시 사람이 검토하도록 하세요
모든 업무 공간 위에 붙여둬야 할 문구는 이렇습니다: AI는 회사의 기존 감독 정책에 따라 철저한 인적 검토 없이 고객 서비스와 관련된 의사결정을 내리거나, 확정하거나, 뒷받침하는 데 사용되어서는 안 됩니다. 실무적으로 이는 AI가 생성한 조사 결과, 기술적 설명, 또는 인용 자료가 자신 있게 들린다는 이유만으로 받아들여져서는 안 되며, 반드시 국세법(Internal Revenue Code), 재무부 규정, FASB 기준과 같은 1차 자료와 직접 대조해 검증해야 한다는 뜻입니다. 생성형 AI 도구는 실제로 존재하지 않는데도 그럴듯하게 들리는 인용을 만들어내는 것으로 잘 알려져 있습니다. 고객 서한에 인용 법조문을 넣기 전에 이를 독립적으로 확인하지 않은 직원은 전문가적 판단의 핵심을 건너뛴 것입니다.
3. 입력한 데이터가 어떻게 처리되는지 정확히 파악하세요
어떤 도구든 고객 정보를 다루기 전에, 회사 내 누군가가 다음 네 가지 질문에 답할 수 있어야 합니다. 데이터는 어디에 저장되는가? 누가 접근할 수 있는가? 비식별화되는가? 모델 학습에 사용되는가? 이 중 하나라도 답이 불분명하다면 — 대부분의 소비자용 AI 도구가 그렇습니다 — 정책은 개인 정보, 기밀 정보, 또는 독점 정보를 그 도구에 입력하는 것을 그냥 금지하는 편이 낫습니다. 이를 잘 관리하는 회사들은 개별 상호작용을 일일이 감시하려 하지 않습니다. 대신 승인된 도구 목록을 유지하고, 직원이 추가를 요청할 수 있는 간단한 절차를 마련해, AI 거버넌스를 개인의 판단이 아닌 회사 전체의 결정으로 다룹니다.
회사들이 계속 저지르는 실수들
소규모 회사가 AI 리스크에 발을 들이는 방식에는 몇 가지 패턴이 반복해서 나타나며, 그 어느 것도 악의를 필요로 하지 않습니다 — 그저 정책의 부재만으로 충분합니다.
"우리는 아직 AI를 도입하지 않았다"를 안전장치로 여기는 것. 회사의 공식 기술 스택에 AI 도구가 하나도 없어도, 모든 직원이 근무 시간 중 개인 휴대전화로 ChatGPT 계정을 사용하고 있을 수 있습니다. 정책의 공백은 공식 도입을 기다려주지 않습니다. 직원이 인터넷에 접속할 수 있고 마감이 있는 그 순간부터 이미 존재합니다.
무료 요금제와 유료 요금제가 똑같이 작동한다고 가정하는 것. 많은 소비자용 AI 도구는 기본적으로 무료 요금제의 대화 내용을 학습에 사용하는 반면, 유료 또는 기업용 요금제에는 계약상의 데이터 보호 조항이 포함되는 경우가 많습니다. 시간을 아끼려고 무료 계정에 가입한 직원은, 본인도 모르는 사이 회사의 고객 데이터를 학습 파이프라인에 넘기고 있는 경우가 흔합니다. 바로 이 때문에 앞서 언급한 저장, 접근, 비식별화, 학습 활용이라는 네 가지 데이터 처리 질문을 도구별로 답해야 하며, 한 번 가정하고 잊어버려서는 안 됩니다.
"그럴듯하게 들려서" 검증을 생략하는 것. AI가 생성한 세무 인용, 법조문 참조, 기술적 요약은 유창하면서도 완전히 틀릴 수 있습니다. 마감 압박을 받는 직원이야말로 검증 단계를 건너뛸 가능성이 가장 높은 사람입니다 — 바로 그렇기 때문에 정책은 인적 검토 요건을 개인의 판단에 맡길 제안이 아니라 명확한 규칙으로 명시해야 합니다.
무엇을 물었고 무엇을 검토했는지에 대한 기록이 없는 것. 실질적인 부분을 제대로 처리하는 회사조차 문서화는 자주 건너뜁니다. 만약 나중에 고객이나 규제 당국이 특정 수치나 권고안이 어떻게 산출되었는지 묻는다면, "AI의 도움을 받았습니다"라는 답변만으로는 부족합니다. 프롬프트, 출력 결과, 그리고 최종 승인자에 대한 기록이 있어야 답이 됩니다.
두 페이지짜리 정책을 위한 시작 체크리스트
첫 버전을 작성하는 데 외부 법률 자문이 필요하지는 않습니다. 소규모 회사에 적합한 정책은 한두 페이지 안에 다음 내용을 담을 수 있습니다:
- 승인된 도구 목록 — 직원이 고객 업무에 사용할 수 있는 구체적인 AI 제품을 명시하고, 새로운 도구를 요청할 수 있는 간단한 절차(단순히 "파트너에게 물어보기"여도 좋습니다)를 마련합니다.
- 데이터 처리 규칙 — 승인 목록에 없는 도구에는 개인 정보, 기밀 정보, 또는 독점적인 고객 정보를 입력하지 않습니다.
- 인적 검토 요건 — 자격을 갖춘 직원의 검토를 거쳐 파일에 기록하지 않는 한, 어떠한 AI 결과물도 고객 업무, 산출물, 또는 자문을 확정하는 데 사용하지 않습니다.
- 인용 검증 규칙 — AI가 생성한 법조문, 규정, 또는 기준에 대한 인용은 고객에게 인용되거나 신고서에 사용되기 전에 반드시 1차 자료와 대조해 확인합니다.
- 문서화 습관 — 직원이 AI를 활용한 작업을 기록할 위치를 정합니다(업무 관리 시스템의 항목, 인게이지먼트 파일의 메모 등 지속적으로 남고 검색 가능한 형태라면 무엇이든 좋습니다).
- 고객 투명성 안내문 — 회사가 위의 안전장치를 전제로 서비스 제공 과정에서 AI 도구를 사용할 수 있다는 내용을 인게이지먼트 레터에 평이한 언어로 명시합니다.
이 중 어느 것도 기술적인 전면 개편을 요구하지 않습니다. 필요한 것은 회사가 이미 비공식적으로 가정하고 있는 바를 서면으로 정리하고, 모든 직원이 동일한 전제 위에서 일하도록 하는 것입니다.
소규모 회사일수록 이 리스크를 더 많이, 결코 적게 지지 않습니다
AI 거버넌스를 전담 리스크 담당자를 둔 전국 규모 회사에나 해당하는 "대형 회사의 문제"로 여기기 쉽습니다. 하지만 실제로는 그 반대에 가깝습니다. 소규모 회사는 대체로 컴플라이언스 기능이 없고, 검증된 기업용 제품보다 범용 소비자 AI 도구에 더 많이 의존하며, 한 직원의 지름길이 배상 책임 문제로 번졌을 때 이를 흡수할 여유가 적습니다. 서면 AI 정책이 없는 2인 파트너 회사는 고객 기밀을 지키는 것을 전적으로 비공식적인 관행에 의존하고 있는 셈이며 — 비공식적인 관행은 고객이 인게이지먼트 도중 자신의 데이터가 정확히 어떻게 처리되었는지 물어올 때 잘 버텨내지 못합니다.
해결책에 법무팀까지 필요하지는 않습니다. 승인된 도구를 명시하고, 인적 검토 요건을 평이한 언어로 밝히고, 직원이 AI 활용 작업을 어디에 기록해야 하는지 알려주는 한두 페이지짜리 정책만으로도 대부분의 리스크를 해소할 수 있습니다. 위에서 소개한 구성 요소들은 시작하기에 합리적인 체크리스트이며, 가장 중요한 것은 다음 직원이 고객 업무에서 챗봇을 열기 전에 서면으로 된 무언가가 존재하는 것입니다.
재무 기록 관리는 이 문제와 어떻게 맞닿아 있을까요
AI 거버넌스와 재무 기록 관리는 근본적으로 같은 문제를 해결하려 합니다. 모든 숫자와 의사결정 뒤에 명확하고 검토 가능한 흔적이 남도록 하는 것입니다. AI의 도움을 받은 답변이 어떻게 검증되었는지 보여주지 못하는 회사는, 거래가 어떻게 분류되었는지 보여주지 못하는 기업과 같은 공백을 안고 있는 셈입니다 — 결국 관건은 그 흔적이 실제로 존재하는지, 그리고 사람이 실제로 그것을 들여다보았는지입니다.
이것이 바로 플레인텍스트 회계(plain-text accounting)의 근본 원리이기도 합니다. Beancount.io는 여러분의 재무 기록을 불투명한 데이터베이스 항목이 아니라 버전 관리가 되는, 사람이 읽을 수 있는 텍스트로 보관합니다 — 모든 변경 사항에는 눈에 보이는 이력이 남고, 어떤 것도 블랙박스 안에서 일어나지 않습니다. 설명 가능성에 대한 우려가 점점 커지는 이 업계에서, 이런 투명성은 있으면 좋은 것이 아니라 반드시 필요한 것입니다. 무료로 시작하기를 통해, 완전히 감사 가능한 원장이 문서화를 진지하게 여기는 회사에 어떻게 도움이 되는지 확인해 보세요.