AI 코드 거버넌스

AI 코드 거버넌스는 AI가 짠 코드도 팀의 품질·보안·라이선스 기준을 지키도록 규칙, 자동 검사, 기록을 묶어 관리하는 방식이다. AI로 코드가 빨리 늘어나 리뷰어 혼자 검증하기 어려울 때 쓰고, 회사 전체의 AI 사용 정책과 달리 AI가 만든 코드가 실제 저장소에 들어가는 길만 다룬다.

리뷰어 혼자서는 감당이 안 된다

개발자마다 다른 AI 어시스턴트를 쓰면 코드 하나하나는 그럴듯해도 아키텍처 패턴이 서로 맞는지, 필요한 컴플라이언스 처리가 빠지지 않았는지는 아무도 장담하지 못한다. 이런 빠짐은 문법 검사에도 잡히지 않는다. 그래서 코드가 빨리 나올수록 리뷰 시간이 오히려 늘어난다. 같은 체크리스트를 리뷰어가 매번 눈으로 보지 말고 규칙을 코드로 옮겨 파이프라인이 걸러 내게 하자는 게 출발점이다.

규칙을 코드로 적고, 여러 지점에서 검사

핵심은 정책 as 코드(Policy as Code)다. "외부 라이선스 코드 반입 금지", "인증 모듈 변경은 보안팀 승인 필수" 같은 규칙을 기계가 읽는 형태로 적어 두고, 모든 변경이 이를 통과해야 들어가게 만든다.

Claude Code를 쓰는 팀이라면 팀 공통 규칙을 정리해 두고, 에이전트가 커밋하기 전에 사내 정적 분석이나 라이선스 검사를 자동으로 돌리게 연결하면 된다. 어떤 개발자가 어떤 도구를 쓰든 같은 기준이 같은 지점에서 적용되는 게 중요하다.

누가 만들었고 어디까지 손댈 수 있나

검사만큼 기록도 중요하다. 어떤 코드가 AI로 만들어졌는지, 어떤 도구와 모델이 관여했는지, 누가 승인했는지를 남겨야 문제가 생겼을 때 원인을 따라갈 수 있다. 에이전트에게 핵심 코드 접근을 무제한으로 주지 말고 저장소별·경로별로 범위를 나눠 두면, 저장소가 아무도 내력을 모르는 블랙박스가 되는 걸 막을 수 있다.

너무 조이면 우회로가 생긴다

승인 절차를 지나치게 깐깐하게 만들면 팀이 느려지고 결국 규칙을 피해 가는 길이 생긴다. 대부분의 변경은 자동 검사로 바로 통과시키고, 위험한 변경에만 사람이 들여다보는 게 현실적인 균형이다. 규칙도 한 번 정하고 끝내지 말고 PR 이력과 리뷰 결과를 보면서 계속 고쳐 나가야 한다.

에이전트의 커밋과 PR에 관문을 둔다

가장 흔한 건 이미 쓰고 있는 CI 파이프라인에 AI 코드도 똑같이 거치는 검사 단계를 더하는 방식이다. 새 시스템을 따로 만들기보다 커밋·PR·권한 설정처럼 지금 있는 지점에 규칙을 거는 쪽이 자리 잡기 쉽다.