제목: 사내 AI 사용 지침, 이렇게 만듭니다 — 여섯 항목과 작성 절차
본문에 h1 제목이 없으므로 티스토리 제목과 중복되지 않습니다.
앞선 글에서 회사 문서를 외부 AI에 넣을 때의 위험을 정리했습니다. 그런데 개인이 조심하는 것으로는 한계가 있습니다.
조직 차원의 기준이 필요합니다. 이 글에서는 사내 AI 사용 지침을 어떻게 만드는지 정리하겠습니다.
왜 지침이 필요한가
많은 조직이 두 가지 중 하나를 택합니다.
| 방식 | 결과 |
| 전면 금지 | 직원이 개인 기기로 씁니다 |
| 방치 | 각자 판단하다 사고가 납니다 |
두 경우 모두 통제가 안 됩니다. 금지하면 흔적이 안 남고, 방치하면 기준이 없습니다.
지침은 "쓰지 마라"가 아니라 "이렇게 쓰라"를 정하는 문서입니다. 그래야 직원도 판단할 수 있고 조직도 관리할 수 있습니다.
지침에 들어갈 여섯 가지
사내 AI 사용 지침 구성 항목 [01]
| 항목 | 내용 |
| ① 적용 범위 | 누구에게, 어떤 도구에 적용되는가 |
| ② 데이터 등급 | 무엇을 넣어도 되고 안 되는가 |
| ③ 허용 도구 | 회사가 승인한 서비스 목록 |
| ④ 사용 방법 | 가명처리 등 지켜야 할 방식 |
| ⑤ 결과물 취급 | AI가 만든 것을 어떻게 쓸 것인가 |
| ⑥ 위반 시 절차 | 누구에게 보고하고 어떻게 처리하는가 |
한 장으로 끝내십시오
지침을 만들 때 가장 흔한 실수가 길게 쓰는 것입니다.
A4 한 장에 들어가지 않으면 다시 줄이십시오. 열 장짜리 지침은 아무도 읽지 않습니다. 안 읽는 지침은 없는 것과 같습니다.
상세한 설명이 필요하면 별도 안내 문서로 빼십시오. 지침 자체는 짧게 유지해야 합니다.
데이터 등급이 핵심입니다
데이터 등급 세 단계 [02]
여섯 항목 중 이것 하나만 잘 만들어도 절반은 성공입니다.
| 등급 | 처리 | 예시 |
| 1등급 | 금지 | 고객·직원 개인정보, 소스코드, 미공개 재무 |
| 2등급 | 조건부 | 내부 문서 (가명처리 후 일부만) |
| 3등급 | 허용 | 공개 정보, 일반 개념 질문, 형식 교정 |
추상적으로 쓰면 안 됩니다
"중요한 정보는 입력하지 마세요"는 지침이 아닙니다. 무엇이 중요한지 사람마다 다르게 판단하기 때문입니다.
우리 회사에서 실제로 나올 법한 문서 이름을 그대로 적으십시오. "영업 실적 보고서", "채용 지원자 명단", "고객 클레임 대장"처럼 적어야 직원이 판단할 수 있습니다.
등급 표를 만들 때는 현업 부서와 함께 하십시오. 보안 부서가 혼자 만들면 실제 업무에서 쓰는 문서가 빠집니다.
2등급 조건을 명확히
2등급이 가장 어렵습니다. "조건부"라는 말만으로는 아무 의미가 없습니다. 조건을 구체적으로 적으셔야 합니다.
| 조건 | 예시 |
| 가명처리 | 실명·연락처·계좌를 A씨·X로 치환 |
| 범위 제한 | 문서 전체가 아닌 해당 문단만 |
| 도구 제한 | 회사 계정으로만 · 개인 계정 금지 |
| 승인 | 팀장 확인 후 사용 |
도구를 정해 주십시오
AI 도구 관리 방안 [03]
| 항목 | 내용 |
| 승인 도구 | 회사가 계약한 기업용 서비스를 우선 지정 |
| 계정 관리 | 개인 계정이 아닌 회사 계정 사용 |
| 조건부 허용 | 개인 계정은 3등급 데이터만 |
| 금지 도구 | 약관상 데이터 보호가 불명확한 서비스 |
| 갱신 주기 | 서비스 정책이 바뀌므로 반기마다 재검토 |
대안 없는 금지는 실패합니다
이 부분을 특히 강조하고 싶습니다.
회사 PC에서 막으면 개인 휴대폰으로 옮겨갑니다. 그러면 통제도 안 되고 기록도 남지 않습니다. 사고가 나도 확인할 방법이 없습니다.
안전하게 쓸 수 있는 길을 함께 열어주십시오. 기업용 계정을 마련하거나, 최소한 어떤 서비스를 어떤 조건으로 쓸 수 있는지 명확히 알려주는 것입니다.
도구 목록은 반드시 갱신 주기를 정하십시오. AI 서비스의 데이터 처리 정책은 자주 바뀝니다. 작년에 승인한 서비스가 지금도 같은 조건인지 확인해야 합니다.
결과물은 어떻게 다룰 것인가
⑤번 항목인데 자주 빠집니다. 입력만 신경 쓰고 출력은 놓치는 경우가 많습니다.
| 쟁점 | 정해야 할 것 |
| 검증 책임 | AI 결과를 그대로 쓸 것인가, 확인할 것인가 |
| 표시 여부 | AI로 작성했음을 밝힐 것인가 |
| 저작권 | 외부 제출물에 쓸 수 있는가 |
| 오류 책임 | 잘못된 내용이 나갔을 때 누구 책임인가 |
가장 중요한 것은 검증 책임입니다. AI가 만든 초안을 그대로 제출해 문제가 생기면, 책임은 결국 사람에게 있습니다. 지침에 이 점을 명시해 두십시오.
이 순서로 만드십시오
지침 작성 절차 [04]
| 단계 | 내용 |
| 1. 현황 파악 | 누가 어떤 도구를 쓰고 있는지 먼저 조사 |
| 2. 등급 정의 | 우리 회사 문서를 3등급으로 분류 |
| 3. 도구 결정 | 승인·조건부·금지 목록 작성 |
| 4. 초안 검토 | 법무·현업 부서와 함께 |
| 5. 교육과 공지 | 이유를 설명하고 예시를 제시 |
| 6. 점검과 갱신 | 반기마다 실효성 확인 |
1번을 빼먹지 마십시오
현황을 모르고 만든 지침은 현실과 어긋납니다.
이미 업무에 깊이 쓰이고 있는 도구를 갑자기 금지하면 지침이 지켜지지 않습니다. 오히려 "지침은 원래 안 지키는 것"이라는 인식만 남습니다.
익명 설문으로도 충분합니다. "업무에 AI를 쓰십니까", "어떤 도구를 쓰십니까", "주로 무엇을 시키십니까" 세 문항이면 파악됩니다.
5번 교육이 절반입니다
지침을 공지만 하고 끝내면 안 읽습니다. 왜 그런 기준인지 설명해야 합니다.
특히 영업비밀의 비밀관리성 같은 부분은 설명 없이는 이해하기 어렵습니다. "외부에 입력하면 나중에 법적 보호를 못 받을 수 있다"는 점을 알려주면 훨씬 잘 지켜집니다.
지침이 실패하는 이유
| 실패 유형 | 증상 |
| 너무 길다 | 아무도 안 읽음 |
| 금지만 있다 | 개인 기기로 우회 |
| 추상적이다 | 판단 기준이 없어 각자 해석 |
| 대안이 없다 | 업무가 안 되니 무시함 |
| 갱신을 안 한다 | 서비스가 바뀌어 현실과 어긋남 |
| 보안팀이 혼자 만든다 | 실제 업무 문서가 빠짐 |
여섯 가지 모두 흔합니다. 지침을 만드신 뒤 이 목록으로 자가 점검해 보십시오.
자주 묻는 질문
| 질문 | 답 |
| 지침 분량은 어느 정도? | A4 한 장을 목표로 하십시오. |
| ISMS-P 심사에 필요한가요? | AI를 업무에 쓴다면 관련 통제로 확인될 수 있습니다. |
| 법으로 의무인가요? | AI 지침 자체를 강제하는 규정은 확인이 필요합니다. |
| 작은 회사도 필요한가요? | 규모와 무관합니다. 더 짧게 만들면 됩니다. |
| 위반을 어떻게 확인하나요? | 완전한 탐지는 어렵습니다. 교육이 더 효과적입니다. |
| 개인 계정은 무조건 금지? | 3등급 데이터만 허용하는 방식이 현실적입니다. |
정리
| 기억할 것 |
| 지침은 "쓰지 마라"가 아니라 "이렇게 쓰라"는 문서다 |
| 데이터 등급을 구체적으로 정하는 것이 절반이다 |
| 대안 없는 금지는 개인 기기로 우회될 뿐이다 |
| 현황 파악부터 시작해야 현실적인 지침이 나온다 |
| A4 한 장을 넘기지 않는다 |
마치며
AI 사용 지침은 완벽하게 만들 수 없습니다. 기술도 서비스도 계속 바뀌기 때문입니다.
그래서 처음부터 완성도를 높이려 하기보다, 짧게 만들어 빨리 배포하고 반기마다 고치는 방식이 낫습니다.
아무 기준도 없는 상태가 가장 위험합니다. 직원들은 지금도 AI를 쓰고 있습니다. 기준이 없으면 각자 판단할 뿐입니다.
이 글은 실무 경험을 바탕으로 정리한 일반 안내이며 법률자문이 아닙니다. 조직 규모와 업종, 취급 정보에 따라 적정한 지침의 내용은 달라집니다. 법령상 요구사항은 국가법령정보센터와 개인정보보호위원회 자료를 확인하시고, 중요한 사안은 전문가와 상의하시기 바랍니다.
태그
#AI사용지침 #생성형AI #정보보안 #개인정보보호 #보안정책 #ISMSP #데이터등급 #실무가이드 #AI거버넌스 #보안관리
'AI 보안·개인정보' 카테고리의 다른 글
| 챗GPT에 회사 문서 넣어도 될까 — 개인정보·영업비밀 기준 (0) | 2026.09.10 |
|---|