AI 조달 인테이크: 비즈니스 수요를 검토 가능한 요구사항으로 전환하기

빠른 답변

AI 조달 인테이크는 “AI 공급업체가 필요하다”와 같은 요청을 검토 가능한 비즈니스 문제, 사용 경계, 증거 패키지, 데이터 계획, 리스크 분류, 이해관계자 맵, 수용 기준, 승인 기록으로 전환하는 통제된 단계입니다. 이 단계는 공급업체 접촉이나 RFP 이전에 이루어지며, 공급업체 선정 과정 중에 이루어지는 것이 아닙니다.

지정된 책임자가 수요, AI 적합성, 데이터 접근, 리스크 수준, 테스트 가능한 요구사항, 평가 계획을 승인하기 전에는 소싱 이벤트를 시작하지 마십시오. 이 프런트엔드 게이트는 단순한 행정 절차가 아니라 체계적인 조달 프로세스의 일부입니다.

6단계 CLEAR 인테이크 프레임워크

AI 조달 요청이 기능 희망사항 목록으로 변질되는 것을 방지하려면 CLEAR—Context, Limits, Evidence, Accountabilities, Release—를 사용하십시오.

1. Context: AI를 전제로 하지 않고 수요 정의하기

다음을 문서화하십시오:

• 운영상 문제와 영향을 받는 사용자
• 현재 물량, 처리 시간, 비용, 오류, 재작업, 불만, 서비스 수준
• 원하는 결과와 그 측정 방법
• 아무 조치를 취하지 않을 경우의 결과
• 프로세스 재설계, 규칙 기반 자동화, 기존 도구, 수작업 개선을 포함한 비AI 대안

예를 들어, “AI 계약 도구를 구매한다”는 충분한 수요 진술이 아닙니다. 검토 가능한 진술은 다음과 같습니다: “법무팀의 일탈 승인 권한을 유지하면서 카테고리 매니저가 승인된 대체 조항을 찾는 데 쓰는 시간을 줄인다.”

영국 정부의 AI procurement guidance 역시 시장에 접근하기 전에 해결책을 미리 정하기보다 문제를 정의하고 관련 데이터가 존재하는지 평가할 것을 권고합니다.

2. Limits: 허용된 사용과 금지된 사용 설정하기

사용자, 워크플로, 위치, 대상 집단, 의사결정, 통합, 채널을 명시하십시오. 그런 다음 명시적인 제외 사항을 작성하십시오.

계약 지원 시스템은 조항 검색, 차이점 요약, 질문 초안 작성은 허용될 수 있습니다. 그러나 검토 없이 조건을 수락하거나, 공급업체 약속을 발송하거나, 승인된 플레이북을 변경하는 것은 금지될 수 있습니다.

또한 개인정보 보호, 보안, 접근성, 기록관리, 예산, 일정, 호스팅, 신원관리, 통합, 보존 제약도 기록하십시오. 의도된 목적과 배포 맥락은 NIST AI Risk Management Framework의 핵심 요소입니다.

3. Evidence: 사실, 추론, 의사결정을 구분하기

모든 인테이크와 이후 평가는 다음을 구분해야 합니다:

이러한 구분은 재현 가능한 테스트를 지원하고 실패가 원천 데이터, 모델 동작, 또는 후속 의사결정 중 어디에서 발생했는지 식별하는 데 도움이 됩니다. 그러나 이것만으로 책임을 확정하거나 출력이 정확하다는 것을 입증할 수는 없습니다.

4. Accountabilities: 이해관계자를 의사결정에 매핑하기

비즈니스 책임자, 의도된 사용자, 영향을 받는 집단, 조달, 법무, 개인정보 보호, 보안, 데이터, 아키텍처, 재무, 기록관리, 접근성, 리스크, 그리고 관련 시 노동 대표를 포함하십시오.

“법무 승인”이라고 쓰지 마십시오. 정의된 의사결정에 책임을 지는 역할을 명시하십시오: “지역 개인정보 보호 책임자가 평가를 위한 지원 대화 기록 사용을 승인한다.” 승인 책임자는 리스크를 수용하거나 진행을 중단할 권한이 있어야 합니다.

5. Release: 요구사항을 테스트 가능하게 만들기

릴리스 전에 기준선 및 목표 지표, 테스트 시나리오, 중요한 하위 집단, 허용 오차, 실패 임계값, 오버라이드 절차, 대체 처리, 모니터링, 변경 통제, 이식성, 종료 요건을 정의하십시오.

그 결과는 더 넓은 AI 조달 계획과 자연스럽게 연결되어야 하며, 공급업체 논의가 이어질 경우 통제된 AI 협상 준비로도 이어져야 합니다.

필수 내부 및 외부 데이터 입력

내부 입력

• 수요 증거: 물량, 프로세스 시간, 서비스 수준, 오류, 재작업, 불만, 이의제기, 비용, 알려진 실패 모드
• 운영 맥락: 사용자 역할, 권한, 의사결정 권한, 영향을 받는 집단, 언어, 접근성 요구, 피크 부하, 실패의 결과
• 기업 제약: 정책, 리스크 선호도, 개인정보 분류, 기록 보존 일정, 보안 아키텍처, 통합, 예산, 인력, 마감일
• 데이터 준비 상태: 인벤토리, 데이터 사전, 출처, 계보, 수집 방법, 법적 근거, 품질, 완전성, 적시성, 대표성, 라이선스, 보존 한계
• 평가 자산: 대표 시나리오와, 가능하다면 입찰자에게 제공되지 않는 독립 테스트 세트
• 공급업체 이력: 계약, 가격, 사고, 장애, 이전 파일럿, 전환 비용, 데이터 권리 제한

외부 입력

• 적용 가능한 법률, 규정, 조달 정책, 표준
• 신뢰할 수 있는 비AI 옵션을 포함한 시장 대안
• 공급업체 아키텍처, 시스템 또는 모델 카드, 버전 이력, 의존성 목록
• 정당한 지식재산권 제한을 전제로 한 학습, 파인튜닝, 평가 데이터 설명
• 독립 벤치마크와 맥락 관련 테스트 결과
• 보안 보고서, 사고 이력, 하위 처리자, 호스팅 제공자, 파운데이션 모델, 오픈소스 의존성
• 가격 단위, 물량 가정, 인상 메커니즘, 라이프사이클 비용 시나리오
• 입력, 출력, 파생 산출물, 파인튜닝된 구성요소의 소유권 및 허용된 사용
• 이식성 형식, API, 내보내기 절차, 전환 지원, 종료 수수료
• 적절한 경우 사용자, 도메인 전문가, 노동자 대표, 영향을 받는 집단의 피드백

머신러닝, 생성형 AI, 에이전트형 워크플로의 적용 위치

머신러닝은 인테이크 요청 분류, 수요 예측, 중복 탐지, 예비 리스크 지표 할당에 활용될 수 있습니다. 이를 위해서는 라벨링된 과거 결과, 대표성 있는 운영 데이터, 안정적인 정의, 검증 데이터가 필요합니다. 한계로는 드리프트, 내재된 과거 편향, 과소대표된 조건에서의 낮은 성능, 오해를 부를 수 있는 집계 정확도가 있습니다.

생성형 AI는 첨부파일 요약, 요구사항 질문 초안 작성, 누락 필드 식별, 비즈니스 언어를 구조화된 초안으로 변환하는 데 활용될 수 있습니다. 이를 위해서는 승인된 원본 문서, 검색 권한, 프롬프트 및 모델 버전 기록, 근거 기반 평가 예시가 필요합니다. 생성형 AI는 근거 없는 진술을 만들어내거나, 제약을 누락하거나, 일관성 없는 답변을 생성할 수 있습니다. NIST Generative AI Profile은 출처, 공급업체 리스크, 모니터링, 사고 대응, 대체 체계의 중요성을 강조합니다.

에이전트형 워크플로는 누락 정보 요청, 검토 라우팅, 정책 대비 응답 비교, 시스템 간 승인 패킷 준비를 수행할 수 있습니다. 이를 위해 추가로 권한 맵, 도구 경계, 상태 및 행동 로그, 중단 조건, 롤백 절차가 필요합니다. 에이전트는 단지 라우팅 조건이 충족되었다는 이유만으로 RFP를 발행하거나, 데이터 접근을 부여하거나, 리스크를 수용하거나, 공급업체를 선정하거나, 약속을 해서는 안 됩니다.

인간 의사결정과 승인 게이트

다음 라이프사이클 게이트는 지정된 사람이 승인해야 합니다:

1. 문제: 비즈니스 책임자가 기준선과 원하는 결과를 확인합니다.
2. AI 적합성: 아키텍처 또는 AI 거버넌스가 더 단순한 대안보다 AI가 정당한지 확인합니다.
3. 데이터 승인: 데이터 책임자와 개인정보 보호 또는 법무 기능이 목적, 접근, 공유, 보존을 승인합니다.
4. 리스크 분류: 리스크 책임자가 해당 사용이 중대한지, 안전 관련인지, 또는 그 밖의 고위험인지 판단합니다.
5. 소싱 릴리스: 조달 부서와 비즈니스 책임자가 요구사항이 측정 가능하며 불필요하게 특정 공급업체에 종속적이지 않음을 확인합니다.
6. 수주 및 배포: 권한 있는 책임자가 증거, 예외, 보안 태세, 잔여 리스크를 수용합니다.
7. 중대한 변경: 변경 권한자가 새로운 모델, 목적, 데이터세트, 제공자, 자율성 수준을 승인합니다.
8. 중단 또는 폐기: 권한 있는 사람이 운영을 중단하고, 대체 처리를 발동하며, 최종 데이터 처분을 승인할 수 있어야 합니다.

인간 검토가 의미 있으려면 검토자에게 충분한 역량, 시간, 정보, 독립성, 권한이 있어야 합니다.

실행 가능한 AI 조달 인테이크 템플릿

다음을 인테이크 시스템에 복사해 사용하십시오:

• 문제와 기준선: 현재 무엇이 어떤 물량, 비용, 속도, 오류 수준으로 발생하고 있는가?
• 결과: 어떤 측정 가능한 결과가 필요하며, 누가 혜택을 받거나 피해를 입을 수 있는가?
• 검토한 대안: 왜 프로세스 변경, 기존 소프트웨어, 규칙, 또는 무조치를 선택하지 않는가?
• 허용된 AI 역할: 초안 작성, 순위화, 탐지, 예측, 조언, 또는 실행인가?
• 금지된 사용: 시스템이 절대로 결정, 발송, 보존, 변경해서는 안 되는 것은 무엇인가?
• 데이터: 출처, 권리, 민감도, 품질, 대표성, 보존, 독립 테스트는 어떠한가?
• 증거 라벨: 사실, 모델 추론, 인간 의사결정이 기록과 인터페이스에 어떻게 표시될 것인가?
• 수용 기준: 지표, 하위 집단, 지연시간, 보안, 실패 임계값, 오버라이드 요구사항은 무엇인가?
• 라이프사이클 통제: 모니터링, 사고, 버전 변경, 이식성, 대체 처리, 폐기는 어떻게 관리할 것인가?
• 승인 책임자: 문제, 데이터, 리스크, 릴리스, 수주, 배포, 변경을 누가 승인하는가?
• 미해결 공백: 어떤 가정이 아직 해결되지 않았으며, 누가 언제까지 해결해야 하는가?

협상 시나리오: 인테이크가 상업적 대화를 바꾼다

한 사업부가 사용자 400명을 위한 생성형 AI 서비스를 사용자당 월 60달러, 즉 연간 288,000달러에 요청합니다. 인테이크 결과, 실제로는 120명만 주간 접근이 필요하고 280명은 가끔 접근하면 된다는 점이 드러납니다. 또한 연간 200만 문서 페이지, 48시간 내 내보내기 요구사항, 구매자 데이터로 학습하는 행위 금지 조건도 확인됩니다.

이제 조달 부서는 좌석 수만을 기준으로 한 앵커를 수용하는 대신 하이브리드 패키지를 협상할 수 있습니다. 예를 들어 정규 좌석 120개, 비정기 사용자용 사용량 기반 접근, 명확한 페이지 허용량, 초과 사용 요금 상한, 삭제 증거, 중대한 모델 변경 전 회귀 테스트, 가격이 명시된 전환 지원 등을 요구할 수 있습니다. 이 지점에서 팀이 승인된 사실과 제약을 공급업체 질문, 교환 패키지, 협상 결렬 기준으로 전환할 때 Negotiations.AI가 관련될 수 있습니다. 그러나 이 플랫폼이 수요 데이터를 만들어내거나 예외를 승인해서는 안 됩니다. 준비 메커니즘에 대해서는 AI Negotiation Platform: What Procurement Teams Need Before Supplier Meetings을 참조하십시오.

연습용 AI 프롬프트

• “이 수요 진술을 측정 가능한 결과로 전환하라. 근거 없는 가정에는 라벨을 붙여라.”
• “첨부된 인테이크를 관찰된 증거, 모델 추론, 인간 판단으로 구분하라.”
• “누락된 데이터 권리, 테스트, 모니터링, 이식성, 변경 통제 요구사항을 식별하라.”
• “승인된 인테이크 사실만 사용해 공급업체 질문 다섯 개를 작성하라. 인간 검증이 필요한 사항은 표시하라.”

한계

AI 조달 인테이크는 제품이 적합하다는 것을 입증할 수 없고, 과거 데이터의 편향을 제거할 수 없으며, 미성숙한 지표를 신뢰할 수 있는 수용 기준으로 바꿀 수도 없습니다. 공급업체 벤치마크는 구매자의 환경에 그대로 적용되지 않을 수 있고, 평균 정확도는 하위 집단의 실패를 가릴 수 있으며, 설명 가능성은 정확성을 입증하지 않습니다.

독립 평가는 공급업체 단독 테스트보다 강력하지만 모든 실제 조건을 포괄할 수는 없습니다. 모니터링은 새로운 문제를 감지할 수는 있어도 모든 피해를 예방하지는 못하며, 제공자, 모델, API, 안전 필터의 변경은 수주 이후 동작을 바꿀 수 있습니다. 불확실성과 증거 공백은 요구사항으로 위장하지 말고 그대로 기록하십시오.

출처

• NIST AI Risk Management Framework 1.0
• NIST Generative Artificial Intelligence Profile
• UK Government Guidelines for AI Procurement
• OMB M-25-22: Driving Efficient Acquisition of Artificial Intelligence in Government
• Regulation (EU) 2024/1689—the EU AI Act

추가 읽을거리

• ISO/IEC 42001:2023—AI management systems
• U.S. GAO: Artificial Intelligence Acquisitions
• FAR Subpart 27.4—Rights in Data and Copyrights

FAQ

AI 조달 인테이크는 공급업체 평가와 같은 것인가?

아니요. 인테이크는 방어 가능한 평가를 수행하는 데 필요한 문제, 경계, 증거, 데이터, 리스크, 권한을 정의합니다. 공급업체 점수화는 소싱 릴리스 이후에만 시작됩니다.

요청된 데이터가 준비되지 않았을 때는 어떻게 해야 하는가?

사용 사례를 중단, 축소, 또는 재설계하십시오. 공급업체에게 성능 약속을 요구하기 전에 출처, 품질, 권리, 대표성, 테스트 데이터 공백을 해결할 책임자를 지정하십시오.

조달 부서는 공급업체의 표준 벤치마크를 수용해야 하는가?

이를 적합성의 증명이 아니라 외부 증거로 취급하십시오. 구매자가 통제하는 시나리오, 관련 집단, 운영 조건, 실패 비용을 기준으로 테스트하십시오.

AI가 저위험 인테이크를 자동으로 승인할 수 있는가?

AI는 요청을 분류하고 라우팅할 수는 있지만, 리스크 분류와 소싱 릴리스에 대해서는 지정된 사람이 계속 책임을 져야 합니다. 자동화는 증거, 적용된 규칙, 모델 버전, 오버라이드, 최종 의사결정을 보존해야 합니다.

면책조항: 이 문서는 일반적인 조달 정보를 제공하며 법률, 재무, 보안, 또는 규제 자문이 아닙니다.