AI 인사평가 도입 전 확인할 법률 5가지

다섯 가지 법률은 한 표로 보면 무엇을 확인하나요?

AI 인사평가를 막는 법은 없습니다. 다만 직원 기록을 평가에 쓰는 순간 다섯 가지 법률이 걸리고, 각각 회사가 할 일과 물어볼 사람이 다릅니다. 2026년 10월 19일 현행 법령 기준입니다.

보고서에 넣을 짧은 법률 표가 필요하면 AI 인사평가 도입 검토 보고서 양식에 정리해 두었습니다. 이 글은 그 표의 각 줄을 조문 원문과 함께 풉니다.

직원 업무 기록을 평가에 써도 되나요?

쓸 수 있습니다. 다만 그 근거를 개인정보 보호법 제15조 제1항의 어느 호로 볼지 먼저 정해야 합니다. 업무 도구의 메시지와 문서는 원래 일을 하려고 남긴 기록이라, 평가에 쓰는 순간 새로운 이용 목적이 생깁니다.

제15조 제1항이 정한 근거 가운데 회사가 검토할 만한 것은 세 가지입니다.^[1]

어느 근거를 택하든 제30조의 개인정보 처리방침에 처리 목적과 위탁 사항을 적어 직원이 볼 수 있게 공개해야 합니다. 직원용 처리방침이 따로 없는 회사가 많으니, 이번 검토에서 함께 만드는 편이 좋습니다.

실무에서는 근거보다 범위에서 논쟁이 생깁니다. 개인 메시지, 개인 드라이브, 메일처럼 평가와 관계없는 기록을 범위에서 빼고, 그 목록을 문서로 남겨 두세요. 제6호를 근거로 삼을 때도 이 목록이 “합리적인 범위”를 설명하는 자료가 됩니다.

AI가 점수를 매기면 직원이 결과를 거부할 수 있나요?

평가를 AI가 사람 없이 확정한다면 그렇습니다. 2024년 3월 15일 시행된 개인정보 보호법 제37조의2는 “완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)“이 내린 결정이 권리·의무에 중대한 영향을 미치면 정보주체가 그 결정을 거부할 수 있고, 결정에 대한 설명을 요구할 수 있다고 정합니다.^[1]

개인정보보호위원회는 이 조항의 적용 범위를 사례로 안내했습니다. “최종 결정 전에 사람에 의한 판단 절차를 마련하여 운영하고 있는 경우는 자동화된 결정에 해당하지 않는다”는 것입니다.^[2] 사례는 인사권자의 결정을 다루고 있어 인사평가에도 참고할 수 있습니다.

결국 할 일은 사람이 근거를 보고 고치거나 확정하는 절차를 실제로 운영하고, 그 흔적을 남기는 것입니다. 팀장이 AI 초안을 그대로 승인만 한다면 서류상 사람이 있어도 첫 번째 줄에 가까워집니다.

사람이 개입하지 않는 방식으로 운영하기로 했다면 부담이 커집니다. 시행령 제44조의4는 자동화된 결정이 이루어진다는 사실과 목적, 사용하는 주요 개인정보의 유형, 처리 절차, 거부·설명 요구 방법을 인터넷 홈페이지 등에 미리 공개하도록 정합니다.^[11]

노사협의회에는 언제, 무엇을 올리나요?

상시 30명 이상 사업장이라면 다음 정기회의 안건으로 올립니다. 근로자참여법 제4조 제1항은 노사협의회를 “근로조건에 대한 결정권이 있는 사업이나 사업장 단위로 설치”하도록 하고, 상시 30명 미만은 예외로 둡니다.^[3]

AI 인사평가는 제20조 제1항의 협의 사항 가운데 최소 두 가지에 걸립니다.

협의 사항은 의결 사항(제21조)과 다릅니다. 협의회의 의결이 도입 요건은 아니지만, 협의를 거치지 않으면 제14호를 근거로 한 문제 제기에 답할 기록이 없습니다. 정기회의는 3개월마다 열리고(제12조), 회의록은 3년간 보존해야 합니다(제19조).

안건 자료는 기능 설명보다 읽는 기록과 읽지 않는 기록의 목록을 앞에 두세요. 제14호 ‘감시 설비’로 읽히는지는 무엇을 모으느냐에 달려 있고, 근로자위원이 가장 먼저 묻는 것도 이 부분입니다.

취업규칙을 바꿔야 하나요?

평가 결과를 승급이나 성과급, 징계에 쓰도록 규정을 바꾼다면 취업규칙 변경 여부를 검토해야 합니다. 근로기준법 제93조는 상시 10명 이상 사업장에 취업규칙 작성·신고 의무를 두고, 기재 사항에 “임금의 결정ㆍ계산ㆍ지급 방법 … 승급(昇給)에 관한 사항”(제2호)과 “표창과 제재에 관한 사항”(제12호)을 넣습니다.^[4]

변경 절차는 제94조 제1항이 정합니다. 근로자 과반수로 조직된 노동조합(없으면 근로자 과반수)의 의견을 들어야 하고, “취업규칙을 근로자에게 불리하게 변경하는 경우에는 그 동의를 받아야” 합니다.

동의 없이 바꾼 규정은 효력을 잃을 수 있습니다. 대법원 전원합의체는 2023년, 불리한 변경에 집단적 동의를 받지 못했다면 노동조합이나 근로자들이 동의권을 남용한 특별한 사정이 없는 한 “사회통념상 합리성이 있다는 이유만으로 그 유효성을 인정할 수는 없다”고 판단했습니다.^[5]

평가 결과를 저성과자 조치에 쓸 계획이면 제23조의 정당한 이유도 함께 봅니다. 대법원은 근무성적 불량을 이유로 한 해고에서 근거가 된 평가가 “공정하고 객관적인 기준에 따라 이루어진 것이어야” 한다고 보았습니다.^[6] 파일럿 기간의 결과를 보상과 조치에 쓰지 않기로 하면 취업규칙을 바꾸지 않고 시작할 수 있는지, 노무사에게 함께 물어보세요.

AI 기본법에서 인사평가는 고영향 AI인가요?

조문에 ‘인사평가’라는 말은 없고, 해당 여부는 아직 열려 있습니다. 2026년 1월 22일 시행된 인공지능 기본법 제2조 제4호 사목은 고영향 인공지능의 영역으로 “채용, 대출 심사 등 개인의 권리ㆍ의무 관계에 중대한 영향을 미치는 판단 또는 평가”를 듭니다.^[7] 승진·보상에 쓰는 평가는 이 문구에 들어갈 수 있다고 보고 준비하는 편이 안전합니다.

더 먼저 확인할 것은 회사의 지위입니다. 고지(제31조)와 위험관리·설명 방안·사람의 관리·감독·문서 보관(제34조) 의무는 ‘인공지능사업자’에게 있고, 법은 이를 개발사업자와 이용사업자로 나눕니다(제2조 제7호). 공급사 AI를 사서 자기 직원을 평가하는 회사가 이용사업자인지, 단순한 이용자인지가 첫 질문입니다.

시행령에는 도입 회사의 부담을 줄이는 조항이 두 개 있습니다.^[8]

1. 제23조 제4항 제2호: 인공지능사업자의 “내부 업무 용도로만 사용되는 경우” 고지 의무의 전부 또는 일부를 적용하지 않을 수 있음
2. 제27조 제3항: 개발사업자가 위험관리·설명·이용자 보호 조치를 이행했고, 이용사업자가 본래 목적이나 용도를 현저하게 바꾸는 등 중대한 기능 변경을 하지 않았다면 이용사업자도 그 조치를 이행한 것으로 봄

제재 일정도 적어 두세요. 과학기술정보통신부는 시행일에 최소 1년의 계도기간을 두고 그동안 사실조사와 과태료 부과를 미룬다고 발표했습니다.^[9] 유예되는 것은 제재이고 의무는 이미 시행 중입니다. 해당 여부가 애매하면 과기정통부에 고영향 인공지능 확인을 요청하거나 지원 창구(080-850-2546)에 문의할 수 있습니다.^[10]

위탁·국외 이전·보안은 계약서에서 무엇을 보나요?

공급사가 직원 기록을 처리하면 개인정보 처리 위탁입니다. 제26조 제1항은 위탁을 문서로 하고, 그 문서에 “위탁업무 수행 목적 외 개인정보의 처리 금지”와 “기술적ㆍ관리적 보호조치”를 담도록 정합니다.^[1] 제2항은 위탁 업무와 수탁자를 공개하게 하고, 제6항은 수탁자가 다시 위탁하려면 회사 동의를 받게 합니다.

AI가 해외 서버에서 돌면 국외 이전도 확인합니다. 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서, 계약 이행에 필요한 처리위탁·보관으로서 이전받는 자·국가·항목 등을 처리방침에 공개한 경우 등을 예외로 둡니다. 직원 처리방침에 이 사항을 넣을지, 별도 동의를 받을지는 변호사와 정하세요.

2026년 9월 11일 시행된 개정법도 반영합니다. 제30조의3이 신설되어 사업주 또는 대표자를 개인정보 보호의 “최종적인 책임자”로 정했고, 위탁자의 수탁자 감독(제26조 제4항)과 안전조치 의무(제29조) 문구도 함께 개정됐습니다. 대표 결재가 필요한 이유를 보고서에 이 조문으로 적을 수 있어요.

공급사에 받아 둘 답은 아래 다섯 가지입니다. 개인정보보호위원회가 2025년 8월 공개한 생성형 AI 안내서도 개발·활용을 4단계로 나눠 단계별 안전조치를 정리하고 있어 함께 참고할 만합니다.^[12]

1. 원문(메시지·문서)을 보관하는가, 근거로 쓴 인용만 남는가
2. 고객 데이터를 AI 모델 학습에 쓰는가
3. 하위 처리자는 누구이고, 데이터가 어느 나라에서 처리되는가
4. 누가 누구의 평가를 열었는지 접근 기록이 남는가
5. 연결 해제와 계약 종료 때 언제까지 삭제하고 확인서를 주는가

어떤 순서로 처리하면 결재가 빨라지나요?

법률별로 따로 움직이면 같은 질문을 세 번 받습니다. 아래 순서로 한 묶음의 자료를 만들어 법무·노무·노사협의회에 같이 보내세요.

1. 읽는 범위와 읽지 않는 범위 한 장: 연결할 도구, 제외할 기록, 활동량을 점수로 쓰지 않는다는 원칙
2. 사람이 결정하는 절차: 누가 근거를 보고, 어디서 고치고, 누가 등급을 확정하는지 (제37조의2 대응)
3. 공급사 자료: 위탁 계약서, 하위 처리자 목록, AI 처리 조건, 고영향 AI 검토 결과
4. 노사협의회 안건: 1·2번 자료를 그대로 첨부
5. 취업규칙 검토: 파일럿 결과를 보상에 쓰는지에 따라 노무사 판단
6. 직원 안내문과 처리방침 갱신: 기록을 읽기 전에 공개

1번과 2번은 회사가 직접 만들어야 하는 자료입니다. 근거를 모으는 도구가 무엇을 읽고, 근거가 없을 때 무엇을 하는지가 분명해야 이 두 장을 채울 수 있습니다.

모든 회사에 업무 기록 기반 평가가 맞지는 않습니다. 현장직이나 외근 영업처럼 일의 기록이 업무 도구에 거의 남지 않는 직무가 대부분이라면, 읽을 근거가 적고 노사협의회에 설명할 이점도 작습니다. AI가 사람 없이 점수를 확정하는 방식을 원한다면 제37조의2 공개 의무와 거부권 대응까지 감당해야 한다는 점도 함께 따져 보세요.

CoSprint People은 이 확인 자료를 어떻게 채우나요?

CoSprint People은 팀이 이미 쓰는 업무 도구를 연결해, 평가 기간의 기록을 회사가 정한 기준별로 모으고 항목마다 원문 근거 한 줄과 링크를 붙입니다. 근거가 없는 기준은 빈칸으로 두고, 등급·보상·승진은 평가권자가 결정합니다. 위 순서의 2번, 사람이 근거를 보고 결정하는 절차가 제품의 기본 흐름입니다.

1번 자료에 쓸 내용은 보안 페이지에 있습니다. 회사가 연결한 범위만 읽고, DM·개인 드라이브·메일은 기본으로 제외하며, 메시지 수·접속 시간 같은 활동량은 점수로 쓰지 않습니다. 원문은 CoSprint에 보관하지 않고, AI 학습에도 쓰지 않습니다.

3번의 처리위탁 부속서(DPA)와 하위 처리자 목록은 공개 문서로 바로 볼 수 있어요. 6번 직원 안내문 초안은 도입할 때 젤로가 회사 상황에 맞춰 만들어 드립니다.

이 글은 2026년 10월 19일 현행 법령을 기준으로 한 일반 정보입니다. 회사별 판단은 노무사·변호사 검토를 받으세요.