15장. 윤리, 안전, 그리고 학교의 AI 정책

이 챕터를 읽으면, 학생 데이터를 안전하게 다루고, AI 결정을 추적하며, 학교 AI 정책 초안을 만들 수 있습니다.

박선생님의 고민

기말고사가 끝난 오후예요.

박선생님은 성적 분석이 급했어요. 32명의 중간고사, 기말고사, 수행평가 점수를 표로 정리해야 하는데, 엑셀이 버거웠어요. 그래서 클로드코드에 이렇게 입력했어요.

"다음 학생들의 성적을 분석해줘. 김민준 78점, 이서연 92점, 박지호 45점..."

32명의 이름과 점수를 쭉 붙여넣었어요. 클로드코드가 평균, 표준편차, 등급 분포까지 깔끔하게 정리해줬어요. "역시!" 하고 감탄하는 순간, 뭔가가 머릿속을 스쳤어요.

"잠깐... 학생 실명이랑 성적이 다 들어간 건데, 괜찮은 건가?"

심장이 쿵 했어요. 학부모가 알면? 교감 선생님이 알면?

당황하지 마세요. 이 불안감은 아주 건강한 반응이에요. 문제를 인식한 것 자체가 이미 올바른 방향이에요.

김선생님 한마디

"AI 활용의 마지막 관문은 기술이 아니라 윤리예요. 기술은 배우면 되지만, 원칙은 미리 알아야 안심하고 쓸 수 있어요. 오늘은 '정책으로 막고, 문서로 남기고, 함께 결정하기' 세 가지를 알려드릴게요."

이게 왜 되나요?

15-1. 데이터 보호 + 권한 모델

결론 먼저: 학생의 실명과 민감정보를 AI에 직접 입력하지 마세요. 번호로 바꿔서 입력하고, 결과를 받은 뒤 다시 실명으로 복원하면 돼요.

번호 코드 사용

우편물 발송을 떠올려보세요. 택배 운송장에는 전화번호 뒷자리만 적혀요. AI도 마찬가지예요. 클로드코드는 외부 서비스예요. 번호로 바꿔서 보내면 AI는 "학생01이 78점"이라는 데이터만 보고 분석하고, 선생님은 나중에 "학생01 = 김민준"으로 복원하면 돼요.

변환 전: 김민준 78점, 이서연 92점, 박지호 45점
변환 후: 학생01 78점, 학생02 92점, 학생03 45점

매핑표("학생01 = 김민준")는 AI에 보내지 않고 엑셀에 따로 보관하세요.

법적 근거

• 개인정보보호법 제17조: 개인정보를 제3자에게 제공할 때 정보 주체의 동의가 필요해요. AI 서비스에 학생 정보를 입력하는 것은 제3자 제공에 해당할 수 있어요.
• 초중등교육법 제30조의6제1항: 학교가 보유한 학생 정보는 교육 목적 외에 함부로 활용할 수 없어요.

핵심은 하나예요. "실명 + 민감정보"를 동시에 외부 서비스에 보내지 마세요.

권한 모델 문서화: 접근 가능/불가능 문서 명시

열쇠 관리 장부를 떠올려보세요. 교무실 열쇠, 과학실 열쇠, 체육관 열쇠가 누구에게 있는지 기록하듯, 클로드코드가 접근 가능한 문서와 불가능한 문서를 명시해두세요.

# 권한 모델 (CLAUDE.md에 포함)

## 접근 가능
- outputs/ 폴더 (결과물)
- templates/ 폴더 (양식)
- context/ 폴더 (교육과정 성취기준)

## 접근 불가
- students/ 폴더 (학생 개인정보)
- grades/ 폴더 (성적 원본)
- counseling/ 폴더 (상담 기록)

고위험 작업은 프롬프트가 아니라 정책으로

여기가 핵심이에요.

• 프롬프트: "학생 이름을 넣지 마" → AI가 무시할 수 있어요. 문 앞에 "들어오지 마세요" 종이를 붙여놓은 것과 같아요.
• 정책: settings.json에서 특정 파일 접근 차단 → 물리적으로 불가능해요. 문에 자물쇠를 채운 것과 같아요.

Hook으로 학생 실명 감지 시 자동 차단하는 것도 가능해요.

// .claude/settings.json 예시
{
  "permissions": {
    "deny": ["students/", "grades/", "counseling/"]
  }
}

이렇게 해두면 클로드코드가 해당 폴더를 아예 열 수 없어요.

15-2. 감사 가능성과 결정 추적

결론 먼저: AI가 이상한 결정을 했을 때 "왜 그랬는지" 설명할 수 있어야 해요.

감사 가능성은 보안 부서만의 요구가 아니에요. 나중에 학부모가 "이 성적 처리는 어떻게 한 건가요?"라고 물었을 때, 설명할 수 있는 상태를 만드는 거예요. 회계 장부를 정리하듯, AI 작업 기록을 남겨두는 거예요.

최소 기록 파일 4종:

1. incident-brief.md — 문제 발생 시: "언제, 어떤 작업에서, 무엇이 잘못됐는가"
2. decision-log.md — "왜 이 방법을 택했는가" 기록 (결정과 이유)
3. context-snapshot.md — "그 시점에 무엇을 읽었는가" (입력 자료 목록)
4. approval-log.md — "누가 언제 승인했는가"

교사 맥락 예시:

학부모: "우리 아이 생활기록부에 이 문장은 어떻게 나온 건가요?"

교사: "decision-log.md를 보시면, AI가 초안을 작성했고, 제가 3월 15일에 검토하여 수정한 내용입니다. 원본 초안과 수정본이 모두 기록되어 있습니다."

이렇게 설명할 수 있으면 신뢰를 유지할 수 있어요.

15-3. 역할별 보안 경계 + 규제 전문직

교사의 보안 경계: 읽기와 쓰기를 분리하세요

• 읽기 작업 (AI에 맡기기 쉬움): 교육과정 분석, 자료 요약, 퀴즈 초안 생성
• 쓰기 작업 (교사 검토 필수): 생활기록부, 성적 입력, 상담 기록, 학부모 안내문 발송

읽기는 AI에 넓게 맡기고, 쓰기는 교사가 반드시 최종 확인하세요.

교육은 규제 전문직이에요

의사, 변호사, 회계사가 AI를 쓸 때의 원칙과 같아요. 도구와 요약은 AI에 맡기되, 진단, 판단, 최종결정은 인간이 해요.

"AI가 했어요"는 면책 사유가 되지 않아요. 계산기 오류로 시험 점수가 틀렸을 때 "계산기가 틀렸어요"가 통하지 않는 것과 같아요.

[Cowork] 협업 시 보안

Cowork에서 동료 교사와 함께 작업할 때도, 학생 데이터가 포함된 파일은 Projects에 올리지 마세요. 가명 처리된 데이터만 공유하세요.

15-4. "자동화했더니 더 불안" 방지하기

"앞으로는 다 AI로 하지"에 대한 현실적 답변

현실은 이래요. 사람이 구조화한 반복 업무를 AI 운영으로 옮기는 것. AI는 노력을 대체하지, 판단과 승인과 책임을 대체하지 않아요.

자동화가 불안해지는 이유는 투명성 부족에서 나와요. 무슨 일이 일어나는지 보이지 않고, 실패 시 어디서 멈춰야 할지 모르면 자동화는 편의가 아니라 스트레스가 돼요.

직무 대체 압박 자가 진단 4항목:

내 업무 중 AI가 대체할 수 있는 부분은 어디일까요? 아래 네 가지가 모두 "예"인 업무는 AI 운영으로 옮기기 쉬운 업무예요.

1. 디지털 문서인가? (종이가 아닌 파일 기반)
2. 규칙으로 쓸 수 있는가? (매번 판단이 아닌 절차)
3. 승인 체크포인트가 있는가? (중간에 사람이 확인하는 지점)
4. 피드백 루프가 있는가? (결과를 보고 개선할 수 있는 구조)

네 가지 중 하나라도 "아니오"면, AI에 바로 맡기기보다 먼저 구조를 만들어야 해요.

AI 출력물 저작권

• AI가 100% 생성한 원본 그대로 → 저작권 인정 어려움
• 교사가 AI 출력물을 편집, 수정한 결과 → 교사 저작물로 보호 가능
• AI를 도구로 활용해 교사가 주도적으로 창작 → 교사의 저작물

수업 자료에 한 줄만 넣으세요: "이 자료는 AI 도구(Claude Code)의 도움을 받아 교사가 편집, 검토하여 제작되었습니다."

15-5. 학교 AI 정책 만들기 + 미래 방향

교직원 회의 필수 3가지 안건:

1. 학생 AI 사용 가이드라인: 교과별 AI 허용 범위 (아이디어 구상만? 초안까지? 전면 허용?), AI 활용 표기 방식, 평가 기준
2. 교사 AI 활용 투명성: AI로 만든 수업 자료 공개 시기와 방식, 학부모 문의 표준 답변
3. AI 생성 평가 품질 관리: 교차 검토자 지정, 오류 수정 절차, 민감도 검토 기준

앞으로 주목할 방향 7가지:

1. AI 에이전트의 자율성 증가 → 통제와 검증이 더 중요해져요
2. 물리 세계 AI(로봇, 센서) → 디지털 작업에서 배운 안전 구조가 그대로 적용돼요
3. 교육 분야 전용 AI 도구 등장 → 학생 데이터 보호가 설계에 포함된 도구
4. AI 리터러시 교육과정 표준화 → 교사가 먼저 알아야 학생에게 가르칠 수 있어요
5. 학교 단위 AI 거버넌스 체계화
6. 개인 맞춤형 학습 도구의 정밀화
7. AI 윤리 교육의 교과 통합

남는 질문들:

• 우리 학교는 어떤 작업을 AI에 맡기고 있고, 어떤 작업은 시스템으로 막고 있는가?
• 잘된 프롬프트를 개인 메모로 두고 있는가, Skill로 공용화하고 있는가?
• 자동화가 실패했을 때 사람이 안심하고 멈출 수 있는 흐름이 있는가?

오해 바로잡기

"AI 윤리는 기술 전문가의 영역이다"

아니에요. AI 윤리의 핵심은 "누가 판단하고 누가 책임지는가"예요. 이것은 기술이 아니라 교육 전문성의 영역이에요. 교사야말로 학생 데이터와 교육적 판단의 최전선에 있는 전문가예요.

🎯 이번 주 딱 한 가지

학교 AI 정책 가이드라인 초안 1장을 만들어보세요.

클로드코드에 이렇게 요청하세요:

"우리 학교(초등/중등/고등) 기준으로 학교 AI 사용 정책 초안을 만들어줘.
학생 AI 사용 기준, 교사 AI 활용 공개 기준,
AI 생성 평가 자료 검토 절차 3가지를 포함해줘.
교무회의에서 바로 논의할 수 있는 형태로 작성해줘."

완벽한 정책이 아니어도 괜찮아요. 논의를 시작하는 것 자체가 중요해요.

이 챕터의 핵심:

1. 정책으로 막기 = 프롬프트("넣지 마")는 잠금장치가 아니에요. settings.json으로 물리적 차단, Hook으로 자동 감지가 진짜 안전장치예요.
2. 문서로 남기기 = decision-log.md, approval-log.md로 "왜 그랬는지" 설명할 수 있는 상태를 유지하세요.
3. 함께 결정하기 = 학교 AI 정책은 혼자가 아니라 교직원 회의에서 3가지 안건으로 시작하세요.

참고 출처

• 개인정보보호법 제17조 (개인정보의 제3자 제공)
• 초중등교육법 제30조의6제1항 (학생 정보의 보호)
• Anthropic Claude Code Docs: permissions, hooks, settings
• International AI Safety Report (최신 보고서는 해당 사이트에서 확인하세요)
• Anthropic 공식 거버넌스 문서 (최신 정보는 Anthropic 공식 사이트에서 확인하세요)