AI 리뷰 워크플로는 초안·근거·승인·중단선으로 나뉜다

AI 리뷰 워크플로는 결과를 자동으로 통과시키는 절차가 아니라, 콘텐츠·코드·리서치를 초안으로만 받고 범위와 근거를 확인한 뒤 사람이 승인하거나 중단하는 절차다. 2026-08-16에 공개 자료를 검토한 조건에서는 ‘5 autocomplete suggestions’라는 관심 표면과 함께 이 네 경계가 초보자에게 가장 재사용하기 쉬웠다. 다만 검토한 자료는 속도·정확성·안전성 향상을 입증하지 않으며, 자동 게시·병합·고객 연락·결제·삭제·권한 변경을 뒷받침하지도 않는다.

먼저 확인한 근거와 경계

[이미지 캡션: 콘텐츠·코드·리서치 초안이 각각 ‘범위 확인 → 근거 대조 → 사람 승인 → 실행 또는 중단’으로 합류하는 비교 도식]

리뷰의 핵심은 더 그럴듯한 답이 아니라, 누가 무엇을 근거로 통과시켰는지 남기는 데 있었다.

서로 달라도 검수 뼈대는 같았다

검토일	근거	확인된 내용	이 글에서 쓰지 않는 주장
2026-08-16	AI 워크플로 시작 워크시트	빈도·반복성·가치·복잡성·위험, 예상 출력, 사람 검토, 중단·에스컬레이션 조건을 다룬다	이 글의 교차 도메인 검수 카드를 검증하지 않는다
2026-08-16	NIST AI RMF Core	목적·맥락·범위·요구사항과 사람의 감독 책임을 문서화하고, 진행 여부를 판단한다	특정 워크플로의 효과를 보증하지 않는다
2026-08-16	OWASP AI Agent Security Cheat Sheet	최소 권한, 외부 데이터 불신, 입출력 검증, 고영향 행동의 명시적 승인을 권고한다	특정 절차가 안전하거나 정확하다는 인증이 아니다

콘텐츠 리뷰에서는 주장과 출처의 연결이 중심이다. 공개할 수 없는 정보가 섞였는지, 제목과 본문이 같은 판단을 말하는지, 근거보다 표현이 앞서지 않는지를 본다. 승인이 끝나기 전 상태는 어디까지나 게시되지 않은 초안이다.

코드 리뷰에서는 변경 범위와 권한이 먼저다. 요청하지 않은 파일이나 동작까지 건드렸는지, 검증 결과가 있는지, 되돌릴 경계가 보이는지를 확인한다. 병합이나 배포는 리뷰와 다른 행동이라서 별도의 사람 승인이 필요하다.

리서치 리뷰에서는 출처의 날짜, 원문과 해석의 간격, 불확실성이 핵심이다. 검색 제안처럼 관심의 흔적만 보여 주는 자료를 수요나 효과의 증거로 올려 읽지 않는다. 결론을 지지하지 못하는 자료는 참고로 남기되 승인 근거에서는 뺀다.

세 영역의 차이는 결함의 모양이다. 공통점은 범위를 먼저 잠그고, 근거를 대조하고, 책임자가 승인하며, 조건이 맞지 않으면 멈춘다는 데 있다.

초보자용 교차 도메인 리뷰 카드

아래 카드는 특정 기관의 분류가 아니라 빌더로그가 정리한 입문용 산출물이다. 그대로 복사해 초안 옆에 붙일 수 있다.

승인 칸이 비어 있다면 작업이 덜 끝난 것이 아니라, 아직 실행할 권한이 없는 상태다.

편의점 행사 초안에서 드러나는 차이

하나의 가상 예시로 ‘편의점 할인 행사 앱’ 소개 초안을 생각해 봤다. 콘텐츠 검수자는 행사 조건과 표현의 근거를 본다. 코드 검수자는 행사 정보를 표시하는 변경이 요청 범위를 넘지 않았는지 본다. 리서치 검수자는 행사 자료의 날짜와 출처, 해석의 한계를 본다.

셋 모두 초안이 자연스럽다는 이유로 통과시키지 않는다. 행사 조건의 원문을 찾지 못했거나, 관련 없는 권한 변경이 섞였거나, 오래된 자료를 현재 사실처럼 썼다면 중단선에 닿는다. 여기서 필요한 산출물은 “좋아 보임”이 아니라 확인한 범위, 남은 불확실성, 승인자, 중단 이유가 보이는 리뷰 영수증이다.

실패는 검토와 실행을 한 칸에 넣을 때 시작된다

가장 위험한 형태는 “검토 후 처리”처럼 두 행동을 한 문장에 묶는 경우였다. 검토 결과가 게시나 병합으로 바로 이어지면 사람은 초안을 볼 기회를 잃는다. 외부 문서의 지시를 작업 명령처럼 받아들이거나, 근거 링크가 있다는 이유만으로 주장까지 사실로 취급하는 문제도 남는다.

그래서 저는 리뷰 상태를 초안, 승인 대기, 승인, 중단으로 구분해 읽게 됐다. 이 구분은 품질 향상을 보장하지 않는다. 다만 실행 권한이 어디에서 넘어가는지는 더 분명하게 보여 준다.

보이는 리뷰 영수증은 품질 인증서가 아니라, 판단을 다시 추적하기 위한 기록이다.

이 카드가 잡지 못하는 것

비민감 가상 초안만으로는 실제 운영의 모든 예외를 드러낼 수 없다. 도메인 고유 결함, 장애, 권한 문제, 적대적 입력도 빠질 수 있다. 적절한 검토자와 수용 기준은 오류의 결과에 따라 달라진다.

따라서 이 카드는 운영 준비 인증이나 안전 보증으로 쓰기 어렵다. 공개 자료 역시 리뷰 워크플로가 속도·정확성·완전성·생산성·신뢰성·안전성·수익을 높인다고 입증하지 않았다. 자동 실행을 정당화하는 근거도 없다.

최종 판단은 단순하다. 초안 범위와 근거가 보이고, 책임 있는 사람이 영향을 확인했으며, 중단·복구 경계가 있을 때만 다음 행동을 검토할 수 있다. 하나라도 비면 실행하지 않고 중단한다.

이어지는 기록

한 줄로 정리하면

AI 리뷰 워크플로의 최소 단위는 초안, 범위, 근거, 사람 승인, 중단선이 함께 남는 검수 카드다.

다음 편에서는 이 리뷰 영수증을 작업 기록으로 남길 때 빠지기 쉬운 항목을 다룬다.