ISO 5230 · 18974 · 42001 비교

1. 세 표준의 관계

오픈소스를 사용하는 AI 시스템을 개발하는 기업은 세 가지 표준이 교차하는 지점에 있다.

flowchart LR
    subgraph oss["오픈소스 관리"]
        A["ISO/IEC 5230\n라이선스 컴플라이언스\n(라이선스·SBOM·산출물)"]
        B["ISO/IEC 18974\n보안 보증\n(취약점 탐지·대응·CVD)"]
    end

    subgraph ai["AI 시스템 관리"]
        C["ISO/IEC 42001\nAI 관리 시스템\n(거버넌스·리스크·생애주기)"]
    end

    oss -- "AI 시스템 내\n오픈소스 컴플라이언스" --> ai

ISO 5230과 18974는 오픈소스 자체를 관리하는 표준이고, ISO 42001은 AI 시스템을 관리하는 표준이다. 두 영역은 독립적이지만, AI 시스템이 오픈소스를 활용할 때 교차점이 발생한다.

2. 표준 기본 정보 비교

3. SC 42 패밀리 매핑

ISO/IEC 42001은 단일 표준이 아니라 ISO/IEC JTC 1/SC 42(인공지능) 위원회가 개발하는 AI 표준 패밀리의 핵심이다. 인증 심사·실무 적용 시 다음 표준들을 함께 참고하면 요구사항 충족도를 높일 수 있다.

3.1 인증 심사에서 자주 함께 참조되는 조합

3.2 오픈소스 컴플라이언스와 SC 42 패밀리 결합

4. 요구사항 형태 비교

세 표준은 요구사항을 표현하는 방식이 근본적으로 다르다.

ISO/IEC 5230 · 18974 방식: 입증자료 번호 체계

각 조항마다 기업이 제출해야 할 **입증자료(Verification Material)**를 번호로 명시한다.

§3.1.1 정책
  입증자료:
  - 3.1.1.1 문서화된 오픈소스 정책
  - 3.1.1.2 정책 전파 절차

입증자료가 있으면 ✅ 충족, 없으면 ❌ 미충족으로 명확하게 판단할 수 있다.

ISO/IEC 42001 방식: 경영 시스템 shall 요구사항

조항마다 “조직은 ~해야 한다(shall)“는 형태의 원칙적 요구사항을 제시하며, 어떤 문서나 기록으로 충족할지는 조직이 맥락에 맞게 결정한다.

§5.2 AI 정책
  "최고경영진은 AI 정책을 수립해야 한다(shall). 
   AI 정책은 조직의 목적에 적합해야 하며..."

이 때문에 ISO 42001은 ISO 5230/18974처럼 단순 체크리스트로 자가 인증을 하기 어렵고, 내부 갭 분석 또는 외부 인증기관의 심사가 필요하다.

5. 자가 인증 방법 비교

6. 오픈소스 관련성 비교

7. 어떤 표준부터 시작해야 하는가?

8. 세 표준 동시 운영 시 공통 기반

세 표준을 동시에 준수할 때 하나의 기반으로 활용 가능한 공통 요소: