자동화의 진짜 위험은 '잘못된 자동 실행'이다
업무 자동화를 망설이는 이유는 대개 하나로 모입니다. "혹시 잘못 실행되면 어쩌지." 잘못된 메일이 거래처로 나가거나, 틀린 숫자가 ERP에 들어가면 되돌리기가 어렵습니다. 자동화의 효율보다 사고 한 번의 비용이 더 무겁게 느껴지는 것이 당연합니다.
그래서 자동화 설계의 핵심 질문은 "무엇을 자동화하는가"가 아니라 "어디서 사람이 멈춰 세우는가"입니다. 이 멈춤 지점을 승인 게이트, 즉 HITL(Human-in-the-Loop)이라고 부릅니다. 잘 설계된 게이트는 자동화의 속도를 거의 깎지 않으면서도 사고의 경로를 끊어 줍니다.
risk 등급으로 게이트를 나눈다
모든 작업에 똑같은 승인 절차를 두면 자동화의 의미가 사라집니다. 단순 조회까지 사람이 일일이 클릭해야 한다면 그건 자동화가 아니라 수작업입니다. 그래서 작업의 위험도에 따라 게이트를 다르게 둡니다.
- low — 읽기 전용 조회, 통계 집계, 단순 알림. 되돌릴 일이 없으니 사람 확인 없이 자동 진행
- medium — 양식 작성, 초안 생성, 내부 데이터 정리. 결과를 사람이 검토한 뒤 승인
- high — 외부 발송, 결제·계약, DB나 기존 시스템 변경. 기본값은 보류
등급을 가르는 기준은 단순합니다. "되돌릴 수 있는가"와 "영향이 조직 밖으로 나가는가"입니다. 이 두 축에서 위험한 쪽에 가까울수록 게이트를 강하게 겁니다.
high는 왜 '기본 보류'인가
여기서 가장 중요한 설계 결정은 high의 기본값입니다. "문제가 없으면 진행"이 아니라 "승인이 없으면 멈춤"으로 둬야 합니다. 사람이 아무 행동도 하지 않았을 때 시스템이 안전한 쪽으로 멈추는 것, 이것이 fail-safe의 원칙입니다.
기본값이 "진행"이면, 점검을 깜빡하거나 담당자가 자리를 비운 사이 위험한 작업이 그대로 나가 버립니다. 반대로 기본값이 "보류"면 최악의 경우라도 일이 멈출 뿐 사고는 나지 않습니다. 멈춘 자동화는 다시 돌리면 되지만, 잘못 나간 발송은 주워 담을 수 없습니다.
분석은 AI가, 결정은 사람이 합니다. AI는 "이 거래처 발송 건은 이런 근거로 준비됐습니다"까지 보여 주고, 실제 발송 버튼은 사람이 누릅니다.
결정에는 증거가 따라붙는다
게이트가 형식적인 클릭으로 전락하지 않으려면, 승인 화면에 판단에 필요한 근거가 함께 제시되어야 합니다.
- 어떤 데이터를 보고 그렇게 판단했는지
- 기존 값과 무엇이 어떻게 다른지
- 되돌릴 수 있는지, 영향 범위는 어디까지인지
근거 없이 "승인하시겠습니까?"만 묻는 게이트는 며칠만 지나면 무조건 승인 버튼을 누르는 습관으로 변질됩니다. 그러면 게이트가 있어도 없는 것과 같습니다. 증거가 화면에 붙어 있어야 사람이 매번 실제로 판단하게 되고, 게이트가 제 역할을 합니다.
작게 시작하는 게 결국 더 빠르다
처음부터 모든 업무에 게이트를 설계할 필요는 없습니다. read-only 조회 같은 low 작업 한두 개부터 자동화해 익숙해지고, 신뢰가 쌓이면 medium으로 범위를 넓히면 됩니다. 기존 시스템은 건드리지 않고, high 작업은 보류로 둔 채 천천히 단계를 올리는 편이 안전합니다.
승인 게이트 설계는 거창한 시스템 구축이 아닙니다. "어떤 작업을 어느 등급에 둘지" 정하고, "high는 기본 보류"라는 한 줄 원칙을 지키는 것에서 시작합니다. 그 작은 규율이 자동화를 마음 놓고 확장할 수 있는 토대가 됩니다.