이사회의 AI 거버넌스 — AI 전략을 감독하는 새로운 질문들

미국 대기업 이사회 안건에 AI가 등장하는 빈도가 최근 2년 사이 크게 늘었다. 회계·컨설팅 법인 언스트앤영(EY)이 매년 발간하는 이사회 공시 분석에 따르면, 포춘 100대 기업 중 AI를 이사회 감독의 명시적 초점 중 하나로 공시한 비율은 2024년 16퍼센트에서 2025년 48퍼센트로 늘었다. 같은 조사에서 이사회의 전사 리스크 감독 항목에 AI 리스크를 구체적으로 언급한 기업 비율은 사실상 전체에 가까운 수준까지 올라갔는데, 이는 2024년 대비 거의 세 배에 이르는 증가폭이다.

이 변화는 단순한 공시 문구의 유행이 아니다. AI를 실제로 감독할 위원회를 누가 맡을지, 그 위원회에 어떤 전문성을 가진 이사를 앉힐지, 무엇을 얼마나 자주 보고받을지를 정하는 지배구조 설계의 문제로 넘어가고 있다.

숫자로 본 이사회 아젠다의 이동

같은 EY 조사는 이사회 구성에서도 변화를 포착했다. 포춘 100대 기업 중 이사 선임 자격 요건에 AI 관련 경험이나 전문성을 명시한 비율은 2024년 26퍼센트에서 2025년 44퍼센트로 늘었다. AI 관련 사안을 담당할 위원회를 별도로 지정한 기업의 비율도 2024년 11퍼센트에서 2025년 40퍼센트로 늘었는데, 그중 감사위원회가 AI 감독을 맡는다고 공시한 비율이 8퍼센트에서 21퍼센트로, 감사위원회가 아닌 별도 위원회(주로 기술위원회나 리스크위원회)가 맡는다고 공시한 비율이 8퍼센트에서 25퍼센트로 각각 늘었다.

S&P 500 기업 전체로 범위를 넓혀도 흐름은 비슷하다. 지배구조 컨설팅 업계의 연례 위임장 분석에 따르면, 이사회 산하에 별도 기술위원회를 두고 있다고 공시한 기업의 비율은 2018년 10퍼센트에서 2022년 15퍼센트, 2026년 위임장 시즌 기준 17퍼센트로 완만하지만 꾸준히 늘었다. 반면 이사 중 최소 1인이 AI 관련 경험을 갖췄다고 명시한 기업의 비율은 2022년 11퍼센트에서 올해 37퍼센트로 3배 넘게 뛰었다. 즉 별도 위원회를 신설하는 속도보다, 기존 이사회 구성원 중 AI를 이해하는 사람을 확보하려는 움직임이 훨씬 빠르게 진행되고 있다.

감사위원회 확장이냐 별도 위원회 신설이냐

이사회가 AI 감독 체계를 짤 때 마주치는 첫 번째 선택은 기존 위원회의 권한을 넓힐지, 새 위원회를 만들지다. 대부분의 S&P 500 기업은 첫 번째 경로, 즉 기존 감사위원회나 리스크위원회의 헌장에 기술·AI 감독 문구를 추가하는 방식을 택했다. 새 위원회를 구성하려면 이사 선임과 헌장 개정 등 절차가 따르지만, 기존 위원회 권한을 확장하는 쪽은 다음 정기총회 전에도 이사회 결의만으로 가능하기 때문이다.

실제 사례로 자주 인용되는 곳이 월마트다. 월마트 이사회는 기술·전자상거래위원회(Technology and eCommerce Committee)가 AI와 자동화 전략에 대한 감독 권한을 명시적으로 갖도록 헌장을 두고 있고, 별도로 보상 및 인재개발위원회(Compensation and Management Development Committee)가 AI·자동화가 인력 구조와 인적자본 관리에 미치는 영향을 검토한다. 2026년 이사회에는 기술·AI 분야 경력을 가진 시시르 메로트라(Shishir Mehrotra)가 새로 합류해 두 위원회에 동시에 이름을 올렸다. 하나의 위원회가 AI를 기술 리스크로만 다루는 것이 아니라, 인사·보상 위원회가 AI가 조직과 인력 운용에 미치는 영향을 함께 짚는 이원 구조라는 점이 특징이다.

이사회가 실제로 던져야 할 질문들

지배구조 전문 기관들이 공통으로 제시하는 AI 감독 체계의 얼개는 대략 네 가지로 정리된다. 첫째, 회사 전체에서 AI가 어디에 쓰이고 있는지 목록화하는 것이다. 부서별로 도입한 도구, 외부 벤더가 공급하는 AI 기능, 사내에서 자체 개발한 모델까지 파악되지 않으면 감독 자체가 성립하지 않는다. 둘째, 파악된 AI 활용 사례를 위험도에 따라 분류하는 절차다. 고객 응대처럼 실수가 즉시 드러나는 영역과 내부 문서 요약처럼 오류의 파급력이 제한적인 영역은 다른 수준의 통제가 필요하다. 셋째, 이 위험 분류를 인정된 프레임워크(예를 들어 정보보안 분야의 표준 관리 체계에 준하는 수준)와 연결해 정기적으로 이사회에 보고하는 주기를 정하는 것이다. 넷째, 위험 관리에만 머무르지 않고 조직이 AI 기회를 선제적으로 포착하도록 권한을 부여하는 것까지 포함한다. 감독이 사고를 막는 데만 쓰이면 이사회는 브레이크 역할만 하게 되고, 이는 경영진이 감독을 회피 대상으로 여기게 만드는 부작용을 낳는다는 지적도 함께 나온다.

여기에 규제 환경도 감독의 긴급성을 높이는 배경이다. 유럽연합(EU)의 인공지능법(AI Act)은 2026년 8월 전면 시행에 들어갔고, 적용 범위가 역내에 소재한 기업에 그치지 않는다. 유럽 시민에게 영향을 미치는 AI 시스템을 운용하는 기업이라면 본사가 어디에 있든 규제 대상에 포함될 수 있어, 미국이나 아시아 기업의 이사회도 이를 무시하기 어려운 변수로 다루기 시작했다.

한국 기업에 주는 시사점

한국 상장사 이사회에서 AI를 정례 안건으로 다루는 구조는 아직 드물다. 감사위원회가 재무제표와 내부통제를 확인하는 데 그치고, AI 도입은 경영진 보고 사항으로만 다뤄지는 경우가 대부분이다. 중견기업으로 내려가면 이사회 자체가 형식적으로 운영되는 곳도 많아 이 논의가 더 늦게 도착할 가능성이 크다.

다만 미국 대기업의 최근 2년을 보면, 감독 체계를 갖추는 순서 자체에서 배울 점이 있다. 먼저 회사 안에서 AI가 실제로 어디에 쓰이고 있는지 목록을 만들고, 그다음 위험도별로 나누고, 그 위에 누가 무엇을 얼마나 자주 보고받을지를 정하는 순서다. 이사회 논의를 시작하기도 전에 위원회 이름부터 정하거나 외부 자문사의 프레임워크를 그대로 들여오는 방식은, 정작 회사 안에서 AI가 어디에 쓰이는지조차 파악되지 않은 상태에서는 형식만 남을 위험이 크다.

이사회의 AI 거버넌스 — AI 전략을 감독하는 새로운 질문들

숫자로 본 이사회 아젠다의 이동

감사위원회 확장이냐 별도 위원회 신설이냐

이사회가 실제로 던져야 할 질문들

한국 기업에 주는 시사점

참고한 자료

글보다 직접 만져보는 게 빠릅니다