PM 코치/컨설턴트로서 AI-SDLC를 분석한다는 것은 “어떤 파이프라인 툴이 제일 빠른가”를 줄 세우는 일이 아닙니다.
PM 코치가 해석하는 Agentic PM 시리즈 · 5편
“8주 동안 PO·PM·PL이 먼저 준비할 것 vs 나중에 키울 것”
PM 코치/컨설턴트로서 AI-SDLC를 분석한다는 것은 “어떤 파이프라인 툴이 제일 빠른가”를 줄 세우는 일이 아닙니다. “어떤 품질 약속을 사용자에게 먼저 선언하고, 그 약속을 지키기 위해 어떤 게이트를 어디에 설치할 것인가” 를 PO·PM·PL 세 역할의 언어로 해석하는 일입니다.
2026년 2분기 현재, 이 질문의 무게중심은 이미 이동했습니다. CodeRabbit은 2025년을 “AI 속도의 해”, 2026년을 “AI 품질의 해” 로 규정하면서 AI 생성 코드가 사람 작성 코드 대비 이슈 1.7배, 논리 오류 최대 +75% 를 포함한다는 정량 데이터를 내놓았습니다 (CodeRabbit 2026). 같은 분기, Opsera는 개발자 25만 명·60개 엔터프라이즈를 분석한 2026 벤치마크에서 엔터프라이즈 팀의 약 90%가 AI를 SDLC에 도입했지만, 거버넌스 없이 배포한 AI-PR이 리뷰 사이클을 4.6배로 늘리고 보안 취약점을 15~18% 더 유입시킨다고 보고했습니다 (Opsera 2026 Benchmark). Google DORA 2026은 여기에 한 줄을 덧붙였습니다. AI 도입 강도가 높을수록 throughput과 instability가 동시에 상승하고, 코드 리뷰가 결합된 팀만 품질 개선률 55%에서 81% 로 올라간다는 “속도-불안정성 역설”입니다 (DORA 2026 해설).
이 세 숫자를 나란히 놓으면 메시지가 또렷해집니다. AI-SDLC는 속도 경쟁이 아니라 품질 약속의 경쟁이고, 엔지니어링 프레임워크가 아니라 증빙 가능한 거버넌스 운영 체계이며, 툴 선택이 아니라 게이트 설계 문제입니다. 여기에 2026-08-02 EU AI Act 고위험 AI(Annex III) 전면 시행 과 2026-09 Cyber Resilience Act 발효, 그리고 2025-11에 제안된 Digital Omnibus 1년 유예안(최대 2027-12) 이 겹치면서, PM은 “법이 언제 시행되는지”가 아니라 “우리가 어떤 날짜를 기준으로 dual plan을 짤 것인지”를 결정해야 하는 자리에 섰습니다 (EU Implementation Timeline, Cooley Digital Omnibus).
이 편에서는 PM 코치 1인칭으로, 5단계 도입 성숙도(L1 Assisted → L5 Governed Autonomy)와 6종 거버넌스 게이트(Spec, AI-Review, Security, Compliance, Observability, Agent Access), DORA 4 + AI 5 + Governance 3의 12지표 대시보드를 PO·PM·PL이 각각 어떻게 읽어야 하는지로 해석합니다. 목표는 “AI-SDLC를 도입할까 말까”를 넘어서, 이번 주 안에 조직의 준비 체크리스트와 역량 궤적(L3→L5) 을 문서화하는 것입니다.
- “속도 게이트는 이제 품질 게이트에 종속된다”는 해석을 6종 거버넌스 게이트의 배치 순서로 어떻게 풀어내야 하는가?
- L1 Assisted ~ L5 Governed Autonomy 5단계에서 조직 규모별 12개월 목표 수준을 PO·PM·PL은 어떤 기준으로 결정하는가?
- DORA 4 + AI 5 + Governance 3 12지표 대시보드를 월간 경영 보고의 어떤 고정 섹션으로 올려야 하는가?
- EU AI Act 2026-08 시행 vs Digital Omnibus 2027-12 유예의 dual plan 을 PM은 어떻게 risk register에 기록하는가?
현황 진단: 2026 “AI 품질의 해”가 만든 지형
2026년은 채택 경쟁이 끝나고 품질 경쟁이 시작된 해입니다. Part 1은 네 개의 핵심 숫자(Copilot 470만·도입률 90%·이슈 밀도 1.7배·리뷰 사이클 4.6배)와 EU AI Act 2026-08·CRA 2026-09라는 이중 규제 시계를 한 장에 붙여, PM이 경영진에게 가져갈 문장이 “우리는 AI를 쓴다”에서 “우리는 AI 약속을 증빙한다”로 바뀐 지점을 설명합니다.
1.1 네 숫자가 말하는 것
2026년 2분기 AI-SDLC 담론은 채택·속도·품질·컴플라이언스 네 축이 동시에 정량화되면서 의사결정 문법이 바뀌었습니다. 저는 이 변화의 신호를 다섯 개의 수치로 압축해서 보여드립니다.
첫 두 숫자는 “채택 경쟁은 끝났다”를 가리킵니다. Fortune 100 중 약 90%가 Copilot을 도입했고, AI 코딩 도구 시장은 $10.06B·CAGR 27.57% 로 추산됩니다 (CodeRabbit 2026). 다음 두 숫자는 “도입했지만 품질이 떨어졌다”를 말합니다. Faros.ai의 Copilot 필드 데이터도 같은 결을 보여줍니다. 초기 파일럿에서는 PR Lead Time -55%, 머지 속도 -50%, CFR 안정으로 좋았지만 22,000명·4,000팀으로 확장하자 PR당 인시던트 3배, 개발자당 버그 +54% 로 뒤집혔습니다 (Faros.ai). 마지막 숫자는 “그래도 리뷰 게이트가 붙으면 살아난다”입니다.
2026이 ‘AI 품질의 해’로 선언되고 AI-PR이 리뷰 사이클을 4.6배 늘렸다는 Opsera 숫자를 볼 때, 저는 ‘속도 게이트는 이제 품질 게이트에 종속된다’로 해석합니다. 채택률 90%를 자랑하던 슬라이드는 2026년 2분기부터 약속 증빙의 슬라이드로 바뀌었습니다. PM이 경영진에게 가져가야 할 문장은 “우리는 Copilot을 쓴다”가 아니라 “우리는 AI-PR 하나당 두 명의 휴먼 리뷰어와 여섯 개의 게이트로 품질을 담보한다”입니다.
1.2 2026 패러다임 시프트 세 가지
원본 deep research는 이 변화를 세 개의 화살표로 정리했습니다. 저는 이 세 화살표를 PM의 언어로 다시 씁니다.
- Speed → Quality: AI 생성 코드 이슈율 1.7배, 논리 오류 +75%가 공식 수치가 된 순간, 품질 게이트는 “나중에 추가할 것”이 아니라 “처음부터 파이프라인 안에 있어야 하는 고정 자산” 이 됐습니다 (CodeRabbit 2026).
- Copilot → Agent: 자율 에이전트가 취약점을 triage → 패치 → 회귀 테스트 → PR까지 수행하는 Agentic DevSecOps 가 표준 패턴으로 공식화됐습니다. 비인간:인간 상호작용 비율은 80:1 로 벌어졌고, 보안 엔지니어의 역할은 코드 감사자에서 “Policy Architect”로 바뀌고 있습니다 (YourSky Blue DevSecOps 2026).
- Shift-Left → Shift-Everywhere: IDE·PR·CI/CD·프로덕션 전 단계에 보안이 내장되고, SAST·SCA·DAST·IaC·Container를 단일 뷰로 상관 분석하는 Shift-Everywhere가 기본기가 됐습니다 (Checkmarx 2026).
세 시프트를 겹쳐서 읽으면 “PM은 이제 속도를 관리하는 사람이 아니라 품질 약속을 설계하는 사람” 이라는 한 줄이 남습니다. 그리고 그 약속을 증빙하는 규제가 같은 분기에 발효된다는 점이, 이 편을 특별하게 만듭니다.
1.3 규제 이중 시계: 2026-08 vs 2027-12
2026년 한 해 안에 두 개의 규제 시계가 겹쳐서 작동합니다. EU AI Act 고위험 AI 의무(Annex III)가 법률상 2026-08-02 전면 시행 되고, 바로 다음 달인 2026-09에 Cyber Resilience Act 가 취약점 24시간 보고 의무와 함께 발효됩니다 (EU Implementation Timeline, YourSky Blue DevSecOps 2026). 여기에 2025-11 EU 집행위가 제안한 Digital Omnibus 수정안이 Annex III 의무를 최대 2027-12까지 1년 유예 할 수 있도록 하면서, 기업들은 “법은 언제 시행되는가”가 아니라 “우리는 어떤 날짜를 기준으로 dual plan을 짜는가”를 먼저 결정해야 하는 상황이 됐습니다 (Cooley Digital Omnibus, Timelex).
제가 PM 코칭 현장에서 반복해 강조하는 문장이 있습니다. “법률 기준일은 2026-08-02로 유지하되, 유예 시나리오를 risk register에 병기한다.” 이유는 단순합니다. 2027-12로 늦춰질 “가능성”만 가지고 준비를 미루면, 유예가 좌초될 때 두 달 만에 고위험 시스템 인벤토리와 Human Oversight Runbook을 만들 수 없기 때문입니다. PL은 Policy-as-Code 규칙을, PM은 Deployer 의무 체크리스트를, PO는 고객 약속 문구를 2026-08 기준으로 미리 완성해 놓아야 합니다.
개념 심층: 5단계 성숙도와 6종 거버넌스 게이트
AI-SDLC 성숙도는 “무엇을 자동화했는가”가 아니라 “다음 단계 진입 게이트를 통과했는가”로 읽어야 합니다. Part 2는 L1~L5 다섯 단계, 여섯 종 거버넌스 게이트(Spec·AI-Review·Security·Compliance·Observability·Agent Access), 그리고 DORA 4 + AI 5 + Governance 3의 12지표 대시보드를 PO·PM·PL 역할별 소유권으로 재배치해 제시합니다.
2.1 AI-SDLC 5단계 성숙도 (L1~L5)
원본 deep research는 조직의 도입 성숙도를 다섯 단계로 정리했습니다. 각 단계의 핵심은 “무엇을 자동화했는가”가 아니라 “다음 단계로 넘어가기 위한 게이트를 통과했는가” 입니다.
저는 이 표를 볼 때마다 PM에게 한 가지 질문을 먼저 던집니다. “조직이 지금 L 몇에 있는가”가 아니라 “12개월 후 L 몇을 목표로 선언할 것인가” 입니다. 이 질문이 중요한 이유는, 성숙도는 현재형 진단이 아니라 미래형 약속 이기 때문입니다.
L3 진입에는 DORA 4지표(DF·LT·CFR·MTTR)와 AI 전용 5지표(AI-PR 승인율, 논리 오류 밀도, 수동 재작성 비율, 인시던트 AI 기여율, 리뷰 신뢰도 스코어)를 동시에 관찰하는 대시보드가 필요합니다 (CodeRabbit 2026, Microsoft DevBlogs Copilot ROI). L4 진입에는 “에이전트가 프로덕션 크리덴셜에 접근할 때 정책 위배 여부를 사전 검증”할 수 있는 IDE 수준의 Agent Access Governance가 확보돼야 합니다 (YourSky Blue DevSecOps 2026). L5는 거기에 AIBOM·PBOM·데이터 계보 자동 추적 이 더해져 감사 가능한 상태가 됩니다.
%%{init: {'theme': 'base', 'themeVariables': {'primaryColor': '#fdf2d8', 'primaryTextColor': '#17160f', 'primaryBorderColor': '#8f5e00', 'lineColor': '#7a7868', 'secondaryColor': '#e6edfb', 'tertiaryColor': '#eeebd8', 'fontSize': '14px'}}}%%
flowchart LR
L1["L1 Assisted"] --> L2["L2 Augmented"]
L2 --> L3["L3 Integrated"]
L3 --> L4["L4 Agentic"]
L4 --> L5["L5 Governed Autonomy"]
L1 -. "AI 사용 지침" .-> G1["거버넌스 1페이지"]
L2 -. "2인 리뷰" .-> G2["AI-Review Gate"]
L3 -. "DORA plus AI" .-> G3["12지표 대시보드"]
L4 -. "NHI PBOM" .-> G4["Agent Access Gate"]
L5 -. "AIBOM 감사" .-> G5["Governed Autonomy"]2.2 6종 거버넌스 게이트
원본 deep research가 정의한 여섯 개의 게이트는, PM의 입장에서 보면 “PR이 프로덕션에 도달하기 전에 반드시 통과해야 하는 여섯 개의 검증 서사” 입니다. 저는 이것을 PO·PM·PL이 누가 어떤 게이트를 “소유”하는지의 관점으로 다시 씁니다.
1번 Spec Gate는 2026년에 가장 빠르게 격상된 개념입니다. arXiv의 “Specification as Quality Gate” 연구는 AI 리뷰 품질을 결정짓는 1차 변수가 사양의 구체성 이라는 점을 확인했습니다 (arXiv:2603.25773). 이 말은 곧 PO가 작성한 시나리오 문장이 그 자체로 “품질 게이트의 상한선”이 된다는 뜻입니다. 2번 AI-Review Gate는 CodeQL·PMD·ESLint에 AI 분석이 결합될 때 품질 개선률이 55%에서 81%로 올라간다는 DORA 2026 수치의 직접 결과물입니다 (DORA 2026 해설). 3번 Security Gate와 6번 Agent Access Gate는 Shift-Everywhere와 NHI·PBOM 두 축으로 구성되며, 4~5번은 규제·관찰의 축입니다.
ℹ️ 핵심 인사이트
AI-SDLC 6종 게이트는 “PR 체크리스트”가 아니라 “약속 증빙 파이프라인” 입니다. PO가 Spec Gate에서 약속을 선언하고, PM이 AI-Review·Compliance Gate에서 약속을 조율·검증하며, PL이 Security·Observability·Agent Access Gate에서 약속을 측정·자동화합니다. 여섯 게이트는 세 역할의 언어를 하나의 파이프라인으로 봉합합니다.
2.3 DORA + AI 통합 메트릭 (4 + 5 + 3)
DORA 2026은 1,110개 응답 기반으로 AI 도입 강도가 높을수록 throughput과 instability가 동시에 상승한다고 보고했습니다 (DORA 2026 해설). “속도-불안정성 역설”이 공식 언어가 된 이상, SDLC 대시보드는 DORA 4 + AI 5 + Governance 3 = 12지표 로 확장되어야 합니다.
저는 이 12지표를 월간 경영 리포트의 고정 섹션 에 배치하라고 조언합니다. 그리고 한 가지 의사결정 룰을 붙입니다. DF(배포 빈도)가 올라가면서 CFR(변경 실패율)도 동시에 올라가면, AI-Review Gate를 한 단계 강화한다. 이 한 줄이 있어야 12지표가 숫자에 머물지 않고 작동하는 운영 룰 이 됩니다.
- PMBOK 8: Governance × Quality Domain · Embrace Adaptability
- SAFe 6: Team: Built-in Quality (6 Gates 매핑) · Portfolio: Lean Portfolio Management
- BABOK v3: 8.3 Solution Evaluation · 6.4 Measure Solution Performance
- SEBOK v2.x: Part 3 V-Model · V&V Process · Part 7 Life Cycle Models
(전체 32-cell 매핑은 시리즈 진입 가이드의 부록 D에서 확인)
비교·한계·경고: “파일럿은 됐는데 엔터프라이즈에서 뒤집히는” 함정
Faros.ai의 22,000명 확장 데이터는 PR Lead Time -55%가 PR당 인시던트 3배로 뒤집히는 변곡점이 확장 그 자체임을 보여줬습니다. Part 3는 이 “확장 함정”을 Governance by Design과 Later-Attach Governance 두 전략의 대치로 정리하고, PM이 파일럿 6개월 / 엔터프라이즈 12개월 구간을 분리 설계해야 하는 이유를 실패 매트릭스로 제시합니다.
3.1 “파일럿 성공 ≠ 엔터프라이즈 성공”
2026년 1분기에 가장 많이 인용된 수치가 Faros.ai의 Copilot 필드 데이터입니다. 소규모 파일럿에서는 PR Lead Time -55%, 머지 속도 -50%, CFR 안정이라는 숫자가 나왔지만, 22,000 개발자·4,000 팀 규모로 확장했을 때 PR당 인시던트가 3배, 개발자당 버그가 +54% 로 바뀌었습니다 (Faros.ai). Microsoft 연구도 비슷한 맥락에서, 소규모 팀(10~50명)은 3개월, 엔터프라이즈는 6개월 이상 의 break-even 기간을 보고했습니다 (GitHub Resources).
저는 이 수치를 “확장 함정”이라고 부릅니다. 함정의 본질은 간단합니다. 파일럿은 시니어 중심, 엔터프라이즈는 주니어·외주·레거시 혼재 입니다. Opsera는 시니어가 주니어 대비 약 5배 더 많은 생산성을 확보한다고 보고했는데, 이는 “AI 도구가 기술 격차를 줄여준다”는 초기 가설을 일부 뒤집는 결과입니다 (Opsera 2026 Benchmark). 결국 엔터프라이즈 확장 시점에는 게이트의 밀도(무엇을 몇 번 검증하는가)가 속도의 상한 을 결정합니다.
3.2 대안 분석: “거버넌스 바이 디자인” vs “쓸 만해지면 붙이자”
2026년 2분기에 두 개의 전략이 대치하고 있습니다. 하나는 Microsoft가 Copilot 2026 전략으로 선언한 “Governance by Design” — 모든 Copilot 상호작용에 audit trail 의무화, 조직 레벨 콘텐츠 필터, 정책 기반 자동화, 위험 임계치 초과 시 휴먼 승인 요구를 처음부터 내장한 접근입니다 (Windows News 2026 전략, Office and Win). 다른 하나는 “파일럿은 빠르게 달리고 쓸 만해지면 거버넌스를 붙이자”는 Shadow-IT 패턴입니다.
저는 이 두 전략 중 “처음 6개월은 Later-Attach, 이후 12개월은 by Design” 이라는 하이브리드를 권합니다. 처음부터 모든 것을 by Design으로 세우면 Spec Gate도, AI-Review Gate도 “통과 불가능한 문서 작업”이 되기 쉽습니다. 다만 6개월을 기점으로 전환 스케줄을 선언해야만, Shadow-IT 패턴의 기본값이 영구 고착되는 것을 막을 수 있습니다.
3.3 실패/경고 매트릭스
제가 최근 반년 동안 만난 열다섯 개 조직 중 아홉 곳이 같은 지점에서 멈춰 있었습니다. “Copilot을 도입했고 AI-PR도 돌아가지만, 그게 어떤 약속을 지키고 있는지 아무도 문장으로 말하지 못한다”는 상태였습니다. 저는 그럴 때마다 딱 한 장의 문서를 요청합니다. “우리 조직의 현재 L 수준은? 12개월 목표 L은? 그 사이에 통과해야 할 게이트 두 개는?” 이 세 줄을 못 쓰면, 6종 게이트의 가장 쉬운 두 개, 즉 Spec Gate의 구체성 점수 와 AI-Review Gate의 2인 휴먼 리뷰 커버율 부터 시작하라고 합니다.
PO·PM·PL 3-Role Translation ⭐
- L3 수행(Performance) — 팀 단위 반복 운영 + Named Owner 지정 + 기본 가드레일. 진입 조건: 주 5회 이상 AI 협업 · SOP 1건.
- L4 주도(Leadership) — 조직 표준 내재화 + OKR 정렬 + 월간 대시보드. 진입 조건: 부서 간 공유 SOP · 12지표 대시보드 운영.
- L5 코칭·표준화(Coaching & Standardization) — 타 조직·업계 코칭 + 외부 표준 기여. 진입 조건: 외부 강연·컨설팅·표준 기고 3건/년+.
(L1~L2 및 L 전환 Trigger 상세는 부록 C “L1~L5 성숙도 표준 정의” 참조)
이 시리즈는 8편 전체에서 단계적 과제 대신 L3→L4→L5 역량 래더를 공통 축으로 씁니다. AI-SDLC 주제는 특히 “L1 Assisted → L5 Governed Autonomy” 5단계 성숙도 모델 자체가 역량 래더와 거의 일치하므로, 이 Part에서는 조직 성숙도 L(1~5) 와 개인 역량 L(3~5) 을 구분해서 쓰겠습니다. 조직 L(SDLC 성숙도)은 “조직이 지금 어디에 있고 12개월 뒤 어디로 가는가”이고, 개인 역량 L(L3·L4·L5)는 “PO·PM·PL 개인이 이 주제를 수행·주도·코칭할 수 있는가”입니다. 두 L이 일치할 필요는 없습니다 — 조직 L2에 있는데 개인이 L4 역량을 갖춘 경우가 가장 효과적인 전환 드라이버입니다. 제가 aipm 레포에서 매일 실행하는 check-pm-integrity.sh와 check-release-milestone-parity.sh 는 “6종 거버넌스 게이트 중 Spec·AI-Review·Compliance 3종”을 엔지니어링 표준 체크로 코드화한 버전입니다. 독자 조직의 12지표 대시보드가 이 수준의 자동 체크로 내려가는 순간이 L5 조직 표준화의 기준점입니다.
- 역량(Competency) — 이 시리즈의 공통 축: 개인 L3 수행 경험 → L4 주도 산출 → L5 코칭·표준화
- 맥락(Context) — 편별 변주 축: AI-SDLC의 조직 성숙도 L1~L5와 교차로 매핑
- 루브릭 근거:
competency-framework-survey-prompt-pack.md
4.1 PO의 관점 — “어떤 품질을 약속할 것인가”
현황 진단
AI-SDLC가 속도에서 품질로 이동한 2026년, PO에게 주어진 질문은 바뀌었습니다. 예전에는 “얼마나 빨리 배포할 것인가”였다면, 지금은 “어떤 품질 보장을 사용자에게 먼저 선언할 것인가” 입니다. Spec Gate 연구가 보여주듯, AI 리뷰 품질을 결정짓는 1차 변수는 사양의 구체성 이고, 그 사양은 PO가 쓰는 문장 그 자체입니다 (arXiv:2603.25773).
L3 → L4 → L5 역량 래더
4.2 PM의 관점 — “어떤 게이트를 어디에 위임할 것인가”
PL은 본 시리즈에서 Project Lead를 가리킵니다 — 기술 스쿼드의 Team Lead가 아니라, 품질 게이트와 실험 시스템을 결정하는 역할로 정의합니다.
현황 진단
PM은 이제 “일정·원가·범위”를 관리하는 사람에서 AI 위임 경계·거버넌스 게이트·검증 루프를 설계하는 사람 으로 이동했습니다 (LG WebEx 세미나 PO·PM·PL 역할 전환 매트릭스 §282 근거). PMBOK 8판이 AI를 7개 Performance Domain 전반 에 내장하고 Governance Domain을 별도로 신설 한 것도 같은 맥락입니다 (MPUG PMBOK 8, Project Edge Global). SAFe 6.0도 AI·Big Data·Cloud를 4세대 기술 축으로 끌어올리며 ART 레벨의 Business Agility를 강조합니다 (Knowledge Academy SAFe 6).
L3 → L4 → L5 역량 래더
4.3 PL의 관점 — “어떤 품질을 측정·자동화할 것인가”
현황 진단
PL은 기술 설계와 코드 리뷰에서 AI 실험 시스템 설계와 품질 게이트 로 이동했습니다 (LG WebEx 세미나 PO·PM·PL 역할 전환 매트릭스 §283 근거). DORA 2026의 속도-불안정성 역설은 “throughput이 오르면 CFR도 오르는데, 리뷰 게이트만이 이를 55%→81%로 복구한다”는 매우 구체적인 설계 지침을 남겼습니다 (DORA 2026 해설). Accenture가 Copilot 도입 후 성공 빌드 +84%, PR +8.69%, 머지율 +15% 를 보고한 것도, PL의 품질 게이트 설계가 뒷받침했기 때문에 가능했던 수치입니다 (GitHub Resources). Qodo가 2026-03 AI 코드 검증 전용 플랫폼으로 $70M 시리즈 투자 를 유치했다는 사실도 같은 신호입니다 — 시장은 “AI 속도”에서 “AI 검증” 으로 이동했습니다 (TechCrunch Qodo).
L3 → L4 → L5 역량 래더
4.4 3-role 통합 테이블 (9-cell, 역량 단일 축)
4.5 3-role 핸드오프 (시리즈 고정 스켈레톤)
%%{init: {'theme': 'base', 'themeVariables': {'primaryColor': '#fdf2d8', 'primaryTextColor': '#17160f', 'primaryBorderColor': '#8f5e00', 'lineColor': '#7a7868', 'secondaryColor': '#e6edfb', 'tertiaryColor': '#eeebd8', 'fontSize': '14px'}}}%%
flowchart LR
PO["PO
품질 약속 선언"] --> PM["PM
6종 게이트 위임"]
PM --> PL["PL
Eval 및 Policy 게이트"]
PL --> LOOP["12지표 검증 루프"]
LOOP --> PM
LOOP -.-> PO저는 AI-SDLC를 코칭할 때 늘 이 세 문장을 칠판에 먼저 씁니다. PO는 “약속 한 문장을 쓴다” — 속도가 아니라 품질로. PM은 “여섯 개의 게이트 중 누가 어떤 순서로 소유할지 위임한다” — 동시에 전부가 아니라 순서대로. PL은 “다섯 개의 AI 지표와 세 개의 Governance 지표를 매주 측정한다” — 감으로가 아니라 숫자로. 이 세 문장이 서 있으면, 조직이 L2에 있든 L4에 있든 AI-SDLC는 작동합니다. 세 문장 중 하나라도 무너지면, 6종 게이트는 순식간에 PR 체크리스트로 퇴행합니다. 품질 약속을 누가 쓰는가, 게이트를 누가 소유하는가, 지표를 누가 측정하는가 — 이 세 소유권이 AI-SDLC의 진짜 프레임워크입니다.
실전: Quick Start Pentagon (역량 진입 조건으로 읽기)
Pentagon은 Part 4의 개인 L3·L4·L5 래더에 진입하기 위한 최소 착수 동작을 배치한 실행표입니다. AI-SDLC 주제는 6종 게이트·12지표·EU AI Act 이중 시계 등 실행 변수가 많아, 10개 셀을 동시에 밀어붙이는 것이 가장 큰 실패 원인입니다. “처음 6개월은 AI-Review·Security·Compliance 3종, 그다음 6개월에 Spec·Observability·Agent Access 3종” — 이 순서가 롯데이노베이트 PM academy 재설계에서 검증된 현실적 경로입니다. 독자 조직은 지금 이번 분기 안에 통과시키고 싶은 L(개인 역량) 하나와 조직 L(SDLC 성숙도) 하나를 고르신 뒤, Pentagon에서 해당 셀만 집중 실행하시기 바랍니다.
5.1 Quick Start Pentagon
5.2 하지 말 것 (Callout Red)
⚠️ 이 주제에서 하지 말 것
1. 6종 게이트를 한꺼번에 도입하려고 시도한다 — 초기 6개월은 AI-Review·Security·Compliance 3개로 충분합니다. 처음부터 6개를 다 걸면 조직이 게이트를 게이트로 보지 않고 관료제로 봅니다.
2. EU AI Act 2027-12 유예 가능성만 믿고 준비를 미룬다 — 법률 기준일은 2026-08-02를 유지해야 합니다. 유예가 좌초되면 두 달 만에 Annex III 인벤토리·Oversight Runbook·Deployer 의무 문구를 만들 수 없습니다.
3. DORA 4지표만으로 대시보드를 운영한다 — 속도-불안정성 역설은 DORA만 봐서는 감지되지 않습니다. AI 5 + Governance 3이 없으면 DF 상승이 장점인지 경고 신호인지 분별이 불가능합니다.
핵심 수치 3개 1. DORA 4 + AI 5 + Governance 3 = 12지표 현 상태 (각 지표 Red/Amber/Green 스코어카드) 2. 배포 성공률 및 MTTR 개선 추세 (분기 4회 스냅샷) 3. AI 가드레일 위반 건수 · Policy Violations 월간 추이 경영 질문 3개 1. 조직 현재 L1~L5 중 어디에 위치하며, 12개월 목표는? 2. EU AI Act 2027-12 유예 종료 대응 준비도와 한국 AI 기본법(2026-01-22) 중첩 리스크? 3. 6 Gate (Spec·AI-Review·Security·Compliance·Observability·Agent Access) 중 자동화 우선순위 3개? 결단사항 3개 1. AI-CoE 설립 + 전담 4명 2026 Q3 확보 2. 12지표 대시보드 월간 CEO 보고 정례화 3. Policy-as-Code + 자동 감사 시스템 예산 승인 (추정: 연 ₩3~7억)
2026 AI-SDLC는 속도에서 품질로, 툴에서 게이트로, 채택률에서 약속 증빙으로 무게중심이 바뀌었습니다. PO는 품질 약속 한 문장을 쓰고, PM은 6종 게이트를 위임하며, PL은 12지표를 측정합니다. 이 세 소유권이 서 있으면, EU AI Act 2026-08과 Digital Omnibus 2027-12라는 이중 시계도 risk register 위에서 관리 가능한 항목이 됩니다. 다음 편에서는 이 품질 약속을 뒷받침할 조직 지식 자산 — RAG와 PM 지식관리 — 의 설계로 이어갑니다.
Agentic PM 시리즈 8편 중 5편째인 이 글은, 앞의 MCP·A2A(1), Agentic PM(2), Vibe Coding(3), 멀티에이전트(4)에서 쌓은 위임·거버넌스 문법을 파이프라인 위의 게이트 로 고정시키는 자리입니다. 여기까지의 Delivery OS 4연작이 “AI에게 무엇을 맡길 것인가”를 다뤘다면, 이 편은 “맡긴 것의 품질을 어떻게 증빙할 것인가”를 답합니다. 다음 6편 RAG·지식관리부터는 Tooling & Enablement로 무게중심이 이동합니다.
이 시리즈 지도
이전: Post 2 에이전틱 PM · Post 3 Vibe Coding · Post 4 멀티에이전트 시스템
현재: AI-SDLC 프레임워크 2026 — PM 코치가 해석하는 PO·PM·PL의 거버넌스 게이트
다음: Post 6 RAG 지식관리·PM · Post 7 AI 네이티브 기업 전환 · Post 8 한국 기업 AX 2030 Capstone
Related Posts (기존 34편 중 보완 각도)
- A-3 · AI-SDLC 도입, 그 첫 실험의 소회 — 본 편이 6종 게이트·12지표 프레임이라면 A-3은 그 파일럿 회고
- A-1 · AI 코딩 에이전트 시대, 거버넌스 없이 괜찮을까? — 본 편 Governance Gate의 거버넌스 축 원전
- A-2 · AI가 코딩하고, AI가 관리한 1주일의 기록 — AI-SDLC 운영 일지, 본 편 DORA 4+AI 5+Gov 3 대시보드의 현장 데이터
- B-4 · AI 시대의 PMBOK 8판 훈련 전략 — 본 편 PMBOK 8 Governance 도메인의 교육 관점 원전
- X-2 · 빅테크 리더십 격변과 AX 전략 — 본 편 EU AI Act 2026-08과 빅테크 정책 대응의 맥락
Tags: Agentic PM 2026 Q2, PO-PM-PL 3-role, AX Delivery OS, AI-SDLC, EU AI Act, DORA 2026
- P-0 7인의 사고 체계 종합 프레임워크
- P-1 Karpathy: 제약 설계 + 닫힌 루프
- P-2 Sutskever: 압축이 곧 지능이다
- P-3 Hassabis: 제1원리 분해
- P-4 LeCun: 세계 모델 + 예측
- P-5 Hinton: 거버넌스 + 자기부정
- P-6 Ng: AI 전환 플레이북
- P-7 Fei-Fei Li: 인간중심 설계
- P-8 Builders 종합: Boris·Cat·Truell·Masad·Murati·Brockman
- P-9 Operators 종합: Altman·Amodei·Nadella·Pichai·Zuckerberg·Suleyman
- P-10 Hardware 양강: Jensen Huang · Lisa Su
- P-11 PO·PM·PL 역량 통합: 5-Domain × 3-Level