공공기관 생성형 AI 도입 절차: 조달 방식·보안 요건·망 구성·문서 처리 점검표

작성 올거나이즈코리아 마케팅팀 · 최종 갱신 2026년 10월 28일

공공기관이 생성형 AI를 도입할 때는 계약 경로, 보안 기준, 설치 형태, 기관 문서 처리 방식 네 가지를 사업 기획 단계에서 먼저 정해야 합니다. 계약 경로는 디지털서비스 수의계약, 협상에 의한 용역 발주, 혁신제품 구매가 대표적이고, 보안 기준은 국가정보원의 국가 망 보안체계(N²SF)와 클라우드 보안인증 개편 일정을 함께 봐야 합니다. 내부 규정·지침 문서가 대부분 한글(HWP) 파일이라면 HWP를 표 구조 그대로 읽는지도 요구사항에 넣어야 합니다. 이 글에서 공공기관 생성형 AI 도입 절차는 사업 기획부터 계약, 구축, 운영까지 기관이 거치는 단계를 말하며, 단계마다 확인할 항목을 점검표로 정리했습니다.

공공기관은 생성형 AI를 어떤 경로로 도입하나요?

공공기관이 생성형 AI를 도입하는 경로는 디지털서비스 수의계약, 협상에 의한 용역 발주, 혁신제품 구매 세 가지가 대표적입니다. 업무 범위가 표준 서비스로 충분하면 디지털서비스 수의계약이 빠르고, 내부 시스템 연계가 넓으면 용역 발주가 맞습니다.

디지털서비스 수의계약은 2020년 국가계약법 시행령 개정으로 생긴 제도입니다. 디지털서비스 심사위원회가 선정한 클라우드 서비스는 수요기관이 수의계약으로 이용할 수 있고, 과학기술정보통신부는 기존 입찰에 걸리던 계약 기간을 2주 안팎으로 줄일 수 있다고 설명했습니다[1][2]. 선정된 서비스는 조달청 나라장터 디지털서비스몰에서 찾을 수 있습니다.

협상에 의한 용역 발주는 기관이 제안요청서를 쓰고 제안서 평가와 협상을 거쳐 사업자를 정하는 방식입니다. 전자결재, 그룹웨어, 통합인증 같은 내부 시스템과 연계하거나 기관 전용 기능을 만들어야 할 때 씁니다. 공고부터 계약까지 시간이 걸리고 제안요청서 작성 부담이 있습니다.

혁신제품 구매는 조달청이 혁신제품으로 지정한 제품을 지정 후 3년 동안 수의계약으로 사는 방식입니다[3]. 지정 제품은 혁신장터에서 확인할 수 있고 시범구매 대상이 되기도 합니다.

구분	디지털서비스 수의계약	협상에 의한 용역 발주	혁신제품 구매
대상	디지털서비스 심사위원회 선정 서비스	기관이 요구사항을 정의한 구축·운영 용역	조달청 지정 혁신제품(지정 후 3년)
진행 방식	디지털서비스몰에서 서비스 선택 후 수의계약	제안요청서 공고, 제안서 평가, 협상	혁신장터에서 확인 후 수의계약 또는 시범구매
맞는 경우	표준 기능으로 업무를 시작할 수 있을 때	내부 시스템 연계·기관 전용 기능이 많을 때	지정 제품이 기관 요구와 맞을 때
확인할 것	등록된 서비스 범위와 기관 요구사항의 차이	공고·평가 일정, 과업 범위 정의	지정 범위와 실제 필요한 기능의 차이

적용 조항과 금액 기준은 계약 시점의 국가계약법 시행령과 기관 계약 부서 판단에 따르므로 발주 전에 다시 확인해야 합니다.

사업 기획 단계에서는 무엇을 먼저 정해야 하나요?

사업 기획 단계에서는 대상 업무, 참조 문서 범위, 정보 등급, 설치 형태, 연계 시스템, 운영 주체를 먼저 정합니다. 이 여섯 가지가 정해져야 계약 경로와 예산이 정해집니다.

행정안전부는 2026년 6월 「공공부문 AI 도입·활용 가이드」를 배포했습니다. 이 가이드는 범정부 AI 공통기반을 이용하는 서비스의 개발 과정을 기획, 예산, 계약, 구축, 운영 5단계로 나누고, 기관 내부 최신 문서를 근거로 답하는 검색 증강 생성(RAG) 우선 전략을 담았습니다[4]. 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」 개정에 따른 범정부 AI 공통기반 우선 이용 조항에 대응하려고 만든 가이드이므로, 기획 단계에서 공통기반 이용 대상인지부터 확인하는 것이 순서입니다[4].

• 대상 업무: 규정 질의응답, 내부 문서 검색, 민원 답변 초안 작성처럼 처음 쓸 업무를 하나로 좁힙니다.
• 참조 문서 범위: 규정집, 지침, 매뉴얼, 결재 문서 중 어디까지 연결할지 정합니다.
• 정보 등급: 연결할 문서와 업무 정보가 어느 보안 등급인지 분류합니다.
• 설치 형태: 기관 서버 설치, 공공 클라우드, 범정부 공통기반 중에서 고릅니다.
• 연계 시스템: 전자결재, 그룹웨어, 메신저, 통합인증(SSO) 연계 여부를 정합니다.
• 운영 주체: 문서 갱신, 사용자 문의, 품질 점검을 누가 맡을지 정합니다.

처음부터 모든 부서와 문서를 연결하기보다 업무 하나로 시작해 정확도를 확인한 뒤 넓히는 편이 검수 기준을 세우기 쉽습니다. 정확도를 재는 방법은 기업용 RAG 정확도, 어떻게 평가하나에 정리했습니다.

생성형 AI를 도입할 때 어떤 보안 요건을 확인해야 하나요?

생성형 AI 사업에서 확인할 보안 요건은 국가정보원 생성형 AI 보안 가이드라인, 국가 망 보안체계(N²SF), 클라우드 보안인증, 개인정보 처리 기준 네 가지입니다.

국가정보원은 2023년 6월 「챗GPT 등 생성형 AI 활용 보안 가이드라인」을 배포해 잘못된 정보 생성, 민감정보 입력에 따른 유출 같은 위협과 기관이 지킬 보안 수칙을 안내했습니다[5]. 기관 내부 규정에 이 수칙을 반영했는지가 첫 점검 항목입니다.

망 구성 기준은 바뀌고 있습니다. 국가정보원은 2024년 9월 모든 업무망을 똑같이 분리하던 방식 대신 업무 정보를 기밀(C), 민감(S), 공개(O) 세 등급으로 나눠 등급별로 보안 통제를 달리하는 다층보안체계 도입 방향을 발표했습니다[6]. 이 방향은 국가 망 보안체계(N²SF) 가이드라인으로 이어졌고, 2025년 9월 1.0 정식판이 공개됐습니다[7]. 생성형 AI에 연결할 문서와 업무가 어느 등급인지에 따라 외부 서비스를 쓸 수 있는 범위가 달라집니다.

클라우드형 서비스를 쓴다면 클라우드 보안인증(CSAP) 등급과 개편 일정을 함께 봐야 합니다. 국가정보원과 과학기술정보통신부는 2026년 4월 CSAP와 국정원 보안검증을 하나의 검증 체계로 합친다고 발표했고, 1년 유예를 거쳐 2027년 하반기부터 본격 시행할 예정입니다[8]. 시행 전에 받은 CSAP 인증은 남은 유효기간 동안 인정됩니다[8]. 사업 기간이 2027년에 걸친다면 어떤 인증이나 검증을 요구할지 발주 전에 소관 기관에 확인해야 합니다.

개인정보가 들어 있는 문서를 연결한다면 개인정보보호위원회가 2025년 8월 공개한 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」를 참고합니다. 안내서는 도입 방식을 서비스형 LLM 연계, 기존 LLM 추가학습, 자체 개발로 나눠 고려사항을 설명하고, 개인정보 보호 중심 설계와 영향평가를 권장합니다[9].

폐쇄망에 설치하면 무엇이 달라지나요?

외부 인터넷과 분리된 업무망에 설치하면 외부 API형 언어모델을 호출할 수 없으므로 언어모델, 검색 엔진, 문서 저장소를 모두 기관 서버 안에 둬야 합니다. 그래서 사업 기획서에 들어갈 항목이 늘어납니다.

항목	폐쇄망 설치 시 정할 것
서버	언어모델을 돌릴 GPU 서버와 저장 장치 사양, 예산 반영
언어모델	기관 서버에 설치할 수 있는 모델인지, 라이선스가 공공 이용 조건에 맞는지
업데이트	모델·소프트웨어 갱신을 반입 절차로 처리하는 주기와 방식, 계약서 반영
연계	전자결재, 규정 관리, 메신저, 통합인증 연계 범위
권한	부서·직급별로 볼 수 있는 문서를 AI 답변에도 똑같이 적용하는지
보안 검증	반입 소프트웨어가 거칠 보안 검증 절차

N²SF 적용 뒤에는 공개 등급 업무 일부에서 외부 서비스 연계가 허용될 수 있으므로, 정보 등급 분류를 먼저 하고 그 결과로 설치 형태를 정하는 순서가 맞습니다.

알리 웍스는 망분리 환경의 기관 서버에 설치해 운영하는 온프레미스 방식을 지원하며, 데이터는 기관 서버에서 처리되고 보안 정책은 기관이 직접 정합니다[10].

HWP 같은 공공 문서는 어떻게 처리해야 하나요?

공공 문서는 HWP와 HWPX가 섞여 있으므로 두 형식을 모두 처리하고 표·각주·개정 이력을 구조 그대로 읽는지를 요구사항과 검수 기준에 넣어야 합니다.

정부는 공공 문서를 AI가 읽기 쉬운 형식으로 바꾸고 있습니다. 국가인공지능전략위원회, 행정안전부, 문화체육관광부는 2026년 4월 공공 문서 유통 채널에서 hwp 첨부를 제한하는 방안을 내놨습니다. 중앙부처는 2022년부터 온나라시스템에서 hwpx 사용이 의무였고, 공직자통합메일은 안내 기간을 거쳐 10월부터 hwp 첨부를 제한합니다[11]. 앞으로 만드는 문서는 hwpx가 늘겠지만 이미 쌓인 규정·지침은 hwp로 남아 있으므로 생성형 AI 사업은 두 형식을 다 다뤄야 합니다.

제안요청서나 과업지시서에 넣을 항목은 다음과 같습니다.

• hwp와 hwpx를 별도 변환 작업 없이 모두 처리하는지
• 병합 셀이 있는 표, 각주, 별표·별지가 있는 규정 문서를 구조 그대로 읽는지
• 스캔 이미지로 된 공문을 글자로 읽는지
• 답변에 근거 문서와 해당 위치를 표시하는지
• 문서가 개정되면 반영하는 절차와 주기가 정해져 있는지

HWP와 HWPX의 구조 차이와 읽는 방식 비교는 HWP 문서를 AI가 읽게 하려면에 자세히 정리했습니다.

공공기관 생성형 AI 도입 사례는 어떤 것이 있나요?

국내 공공기관 사례로는 한전KDN의 KDN GPT와 LH의 AI 업무지식시스템이 있습니다. 두 기관 모두 내부 규정·법령 문서를 근거로 답하는 업무용 생성형 AI를 기관 환경에 구축했습니다.

한전KDN은 폐쇄망에서 사규, 전자결재, 감사 등 내부 업무 DB를 연결한 임직원용 KDN GPT를 운영합니다. 2026년 3월 부서별 시범 운영을 거쳐 5월 29일 정식 오픈했고, 사내 메신저와 연계하고 통합인증(SSO)으로 사번·부서 권한을 자동 반영합니다[10][12]. 올거나이즈가 구축 파트너로 참여했습니다.

LH는 법령과 지침을 근거와 함께 찾아 주는 AI 업무지식시스템을 구축했습니다. 올거나이즈의 자체 언어모델 알파(Alpha)와 RAG를 결합하고 법령 API와 통합인증을 연동했으며, 답변마다 출처 미리보기와 하이라이트를 보여 줍니다. 건설관리, 법무, 감사 등 본사 여러 부서가 씁니다[10][13].

올거나이즈의 '알리(Alli) 2.0.0'은 조달청 나라장터 디지털서비스몰에 등록돼 있어 정부 부처·지자체·공공기관이 공개입찰 없이 수의계약으로 도입할 수 있습니다[14]. 알리는 한국정보통신기술협회(TTA) GS 인증 1등급을 받았습니다[15]. 공공 분야 구성과 사례는 공공 페이지에 정리했습니다.

사업 기획 단계에서 쓸 수 있는 점검표가 있나요?

아래 점검표는 위에서 다룬 경로·보안·망 구성·문서 처리 기준을 사업 기획서 항목 순서로 묶은 것입니다. 기관 상황에 맞게 항목을 더하거나 빼서 쓰면 됩니다.

구분	점검 항목	참고 자료
도입 경로	범정부 AI 공통기반 우선 이용 대상인지 확인했는가	행정안전부 「공공부문 AI 도입·활용 가이드」
도입 경로	디지털서비스 수의계약, 용역 발주, 혁신제품 중 경로를 정했는가	국가계약법 시행령, 조달청 혁신제품 안내
도입 경로	디지털서비스몰 등록 서비스의 범위가 요구사항과 맞는가	나라장터 디지털서비스몰
기획	처음 쓸 업무 하나와 참조 문서 범위를 정했는가	행정안전부 가이드 기획 단계
보안	업무 정보를 C·S·O 등급으로 분류했는가	국가정보원 N²SF 가이드라인
보안	생성형 AI 보안 수칙을 기관 규정에 반영했는가	국가정보원 생성형 AI 보안 가이드라인
보안	클라우드를 쓴다면 요구할 인증·검증과 개편 일정을 확인했는가	CSAP, 국정원 보안검증 일원화 발표
개인정보	개인정보 포함 문서를 가려내고 영향평가 필요성을 검토했는가	개인정보보호위원회 생성형 AI 안내서
망 구성	GPU 서버, 모델 라이선스, 업데이트 반입 절차를 정했는가	기관 보안 규정
권한	문서 열람 권한이 AI 답변에도 그대로 적용되는가	기관 정보보안 규정
문서 처리	hwp·hwpx 처리, 표 구조 인식, 근거 표시를 검수 기준에 넣었는가	공공 문서 개방형 형식 전환 방침
운영	문서 갱신 주기, 운영 주체, 정확도 점검 방법을 정했는가	행정안전부 가이드 운영 단계

솔루션 후보를 비교할 때 볼 기준은 기업용 RAG 솔루션 비교 기준 9가지와 PoC 점검표에 따로 정리했습니다. 기관 환경에 맞는 구성이 궁금하다면 도입 상담으로 문의해 주세요.

자주 묻는 질문

Q. 디지털서비스몰에 등록된 서비스는 입찰 없이 계약할 수 있나요?
디지털서비스 심사위원회가 선정해 등록한 서비스는 국가계약법 시행령에 따라 수의계약으로 이용할 수 있습니다. 적용 조항과 금액 기준은 계약 시점에 기관 계약 부서와 함께 확인하세요.

Q. 망분리 규제가 바뀌면 외부 생성형 AI 서비스를 바로 쓸 수 있나요?
바로 쓸 수 있는 것은 아닙니다. N²SF는 업무 정보를 기밀·민감·공개 등급으로 나눠 등급별로 다른 보안 통제를 적용하므로, 외부 서비스 이용 범위는 등급 분류 결과와 기관 보안 부서 판단에 따라 정해집니다.

Q. 지금 CSAP 인증을 요구해도 되나요?
2027년 하반기 본격 시행 전까지는 현행 CSAP가 유지되고, 시행 전에 받은 인증은 남은 유효기간 동안 인정됩니다. 사업 기간이 2027년 하반기에 걸치면 새 검증 체계 요건을 소관 기관에 미리 확인하세요.

Q. 개인정보가 들어 있는 문서를 AI에 연결해도 되나요?
연결 전에 처리 목적, 가명처리 여부, 접근 권한을 정리하고 영향평가 필요성을 검토해야 합니다. 개인정보보호위원회 안내서가 도입 유형별 고려사항을 제시합니다.

Q. 기존 hwp 문서를 모두 hwpx로 바꿔야 하나요?
정부의 hwp 첨부 제한은 문서 유통 채널에 적용되는 조치입니다. 생성형 AI 사업에서는 이미 쌓인 hwp 문서도 읽어야 하므로 두 형식을 모두 처리하는지를 요구사항에 넣는 편이 안전합니다.

출처

1. 아주경제, 2020년 9월 22일 보도(국가계약법 시행령 개정, 디지털서비스 수의계약 근거 신설) 원문
2. 이투데이 보도(과학기술정보통신부, 수의계약 가능 디지털서비스 선정, 계약 기간 단축) 원문
3. 조달청, 혁신제품 안내(지정 후 3년 수의계약) 원문
4. 행정안전부, 「공공부문 AI 도입·활용 가이드」 배포 보도자료(2026년 6월 10일) 원문
5. 보안뉴스, 2023년 8월 6일 보도(국가정보원 「챗GPT 등 생성형 AI 활용 보안 가이드라인」) 원문
6. 바이라인네트워크, 2024년 9월 11일 보도(국가정보원 다층보안체계 발표) 원문
7. 바이라인네트워크, 2025년 9월 30일 보도(N²SF 가이드라인 1.0 공개) 원문
8. 바이라인네트워크, 2026년 4월 20일 보도(공공 클라우드 보안 검증 일원화) 원문
9. 바이라인네트워크, 2025년 8월 6일 보도(개인정보보호위원회 생성형 AI 개인정보 처리 안내서) 원문
10. 올거나이즈, 공공 페이지
11. 바이라인네트워크, 2026년 4월 23일 보도(공공 문서 유통망 hwp 첨부 제한 추진) 원문
12. 이데일리, 2025년 12월 8일 보도(한전KDN KDN GPT 구축) 원문
13. 아시아경제, 2024년 8월 1일 보도(LH 생성형 AI 업무기준 질의응답 서비스) 원문
14. 머니투데이 유니콘팩토리, 2026년 6월 10일 보도(알리 2.0.0 나라장터 디지털서비스몰 등록) 원문
15. 머니투데이 유니콘팩토리, 2025년 5월 19일 보도(알리 TTA GS 인증 1등급) 원문