업무 중에 이런 순간이 있습니다. 보고서 초안을 다듬어야 하는데 시간이 없고, 계약서 조항이 이해가 안 되고, 엑셀 함수가 안 먹습니다.
그때 손이 챗GPT로 갑니다. 그리고 문서를 통째로 복사해 붙여넣습니다.
이 글은 그 순간에 무엇을 따져봐야 하는지 정리한 것입니다.
무엇이 문제인가
외부 AI 서비스 이용 시 위험 요소 [01]
문제는 세 갈래입니다.
| 구분 | 내용 |
| ① 기록이 남는다 | 서비스 서버에 대화 내용이 저장될 수 있습니다 |
| ② 학습에 쓰일 수 있다 | 설정에 따라 모델 개선에 활용됩니다 |
| ③ 외부로 나갔다 | 회사 통제 밖으로 정보가 이동했습니다 |
가장 중요한 것은 세 번째입니다
많은 분이 "학습에 안 쓴다고 하니 괜찮겠지"라고 생각하십니다. 그런데 학습 여부는 부차적인 문제입니다.
보안에서는 정보가 통제 범위를 벗어난 순간이 사건입니다. 학습에 쓰였는지, 누가 봤는지는 그다음 문제입니다.
그리고 한 번 나간 정보는 되돌릴 수 없습니다. 삭제 요청을 해도 이미 복제됐거나 로그에 남았을 수 있습니다.
법으로 보면 어떻게 되나
법적 쟁점 [02]
입력한 내용의 성격에 따라 걸리는 법이 달라집니다.
| 입력 내용 | 발생할 수 있는 문제 |
| 개인정보 포함 | 처리위탁 또는 제3자 제공에 해당할 수 있음 |
| 해외 서비스 이용 | 개인정보 국외이전 문제가 함께 발생 |
| 영업비밀 | 비밀관리성 요건이 깨질 수 있음 |
| NDA 대상 자료 | 고객사와의 비밀유지계약 위반 |
개인정보가 들어간 경우
고객 명단, 직원 정보, 이력서 같은 자료를 외부 AI에 입력하면 그 서비스 사업자가 개인정보를 처리하게 됩니다.
이 경우 처리위탁으로 볼 것인지 제3자 제공으로 볼 것인지가 문제됩니다. 어느 쪽이든 사전에 필요한 절차를 밟지 않았다면 위반 소지가 생깁니다.
여기에 대부분의 생성형 AI가 해외 서비스라는 점이 더해집니다. 국외이전 요건까지 함께 봐야 합니다.
영업비밀이 특히 위험합니다
이 부분이 실무에서 가장 간과됩니다.
영업비밀로 보호받으려면 '비밀로 관리했다'는 사실이 인정돼야 합니다. 이를 비밀관리성이라고 합니다.
그런데 직원이 그 자료를 외부 AI 서비스에 그대로 입력했다면, 나중에 분쟁이 생겼을 때 "비밀로 관리했다"고 주장하기 어려워집니다.
보호받지 못하면 유출돼도 법적 구제가 어렵습니다. 소송에서 영업비밀로 인정받지 못하면 손해배상도, 사용금지도 청구하기 어렵습니다. 이건 유출 자체보다 더 큰 문제일 수 있습니다.
넣어도 되는 것과 안 되는 것
입력 가능 여부 판단 기준 [03]
| 비교적 안전 | 넣지 마십시오 |
| 이미 공개된 정보 | 고객·직원 개인정보 |
| 일반적인 개념 질문 | 미공개 재무·계약 내용 |
| 형식·문법 교정 | 소스코드·설계 문서 |
| 가상의 예시 데이터 | 내부 전략·인사 자료 |
| 공개된 법령·기준 | 고객사와 NDA 걸린 자료 |
판단이 애매할 때
현장에서 쓸 수 있는 기준을 하나 드리겠습니다.
"이 내용이 외부에 공개돼도 괜찮은가?"
이 질문에 잠시라도 망설여진다면 넣지 않는 편이 안전합니다. 망설였다는 것 자체가 그 정보에 보호할 가치가 있다는 신호입니다.
그래도 쓰고 싶다면
비교적 안전하게 쓰는 방법 [04]
AI를 아예 안 쓸 수는 없습니다. 위험을 줄이는 방법을 정리했습니다.
| 방법 | 내용 |
| ① 학습 사용 끄기 | 설정에서 대화 데이터의 학습 활용을 해제 |
| ② 가명·가상 데이터로 | 실제 이름·번호를 바꿔서 입력 |
| ③ 일부만 잘라서 | 문서 전체가 아니라 필요한 부분만 |
| ④ 기업용 서비스 검토 | 데이터 보호 조건이 다른 요금제 확인 |
| ⑤ 사내 지침 확인 | 회사가 정한 규정이 우선입니다 |
②번이 가장 현실적입니다
실무에서 가장 효과적인 방법입니다. 예를 들어보겠습니다.
| 이렇게 말고 | 이렇게 |
| 우리 회사 3분기 매출이 47억인데 전년 대비 12% 줄었습니다. 보고서를 써주세요 | A사 매출이 X원인데 전년 대비 12% 줄었습니다. 보고서 형식을 잡아주세요 |
| 고객 홍길동(010-1234-5678)의 민원 답변을 작성해주세요 | 고객 민원 답변 양식을 작성해주세요 |
AI가 주는 답의 품질은 거의 같습니다. 그런데 위험은 크게 줄어듭니다.
숫자와 고유명사만 바꿔도 상당 부분 해결됩니다. AI는 형식과 논리를 잡아주는 데 강하지, 실제 숫자가 필요한 것이 아닙니다.
학습 사용 끄기는 어디까지 유효한가
서비스 설정에서 학습 활용을 끄면 모델 개선에는 쓰이지 않습니다. 다만 이것이 "저장되지 않는다"는 뜻은 아닙니다.
대부분의 서비스가 일정 기간 대화 기록을 보관합니다. 오·남용 모니터링이나 법적 요구 대응 목적입니다.
설정을 껐다고 안전해진 것이 아닙니다. 위험이 줄어든 것이지 사라진 것이 아닙니다. 판단 기준은 그대로 적용하십시오.
회사가 해야 할 일
개인이 조심하는 것으로는 한계가 있습니다. 조직 차원의 기준이 필요합니다.
| 항목 | 내용 |
| 사용 지침 마련 | 무엇을 넣어도 되는지 문서로 정할 것 |
| 교육 | 금지만 하면 몰래 씁니다. 이유를 설명해야 합니다 |
| 대안 제공 | 사내 도구나 기업용 계정을 마련 |
| 점검 체계 | 위반 시 어떻게 확인하고 대응할지 |
금지만 하면 안 됩니다
AI 사용을 전면 금지한 조직에서 흔히 벌어지는 일이 있습니다. 직원들이 개인 휴대폰으로 씁니다.
회사 PC에서 막으면 개인 기기로 옮겨갈 뿐입니다. 그러면 통제도 안 되고 흔적도 안 남습니다. 오히려 더 위험합니다.
현실적인 방향은 "쓰되 이렇게 쓰라"는 기준을 주는 것입니다. 그리고 안전하게 쓸 수 있는 대안을 함께 제공하는 것입니다.
사내 AI 사용 지침을 어떻게 만드는지는 다음 글에서 자세히 다루겠습니다.
자주 묻는 질문
| 질문 | 답 |
| 학습 끄면 괜찮나요? | 위험이 줄어들 뿐입니다. 기록은 보관될 수 있습니다. |
| 기업용 요금제면 안전한가요? | 조건이 다릅니다. 약관을 직접 확인하십시오. |
| 국내 AI 서비스면 되나요? | 국외이전 문제는 줄지만 나머지는 같습니다. |
| 파일 업로드도 같나요? | 네. 복사·붙여넣기와 다르지 않습니다. |
| 번역만 시키는 것도요? | 내용에 따라 다릅니다. 무엇을 번역하는가가 기준입니다. |
| 회사에 지침이 없으면요? | 없다는 것이 허용은 아닙니다. 위 기준을 적용하십시오. |
정리
| 기억할 것 |
| 학습 여부보다 '외부로 나갔다'는 사실이 중요하다 |
| 개인정보는 처리위탁·제3자 제공·국외이전 문제가 생긴다 |
| 영업비밀은 비밀관리성이 깨져 보호받지 못할 수 있다 |
| 가명·가상 데이터로 바꾸면 위험이 크게 줄어든다 |
| 망설여지면 넣지 않는다 |
마치며
AI는 이미 업무 도구입니다. 쓰지 말라고 하는 것은 현실적이지 않습니다.
다만 무엇을 넣고 있는지 한 번 더 생각하는 습관은 필요합니다. 실무에서 사고는 대체로 "이 정도는 괜찮겠지"에서 시작됩니다.
숫자와 이름만 바꿔도 대부분 해결됩니다. 몇 초 더 쓰는 것으로 큰 위험을 피할 수 있습니다.
이 글은 공개된 법령과 실무 경험을 바탕으로 정리한 일반 정보이며 법률자문이 아닙니다. 개인정보보호법과 부정경쟁방지법의 적용은 구체적 사실관계에 따라 달라집니다. 실제 사안은 국가법령정보센터와 개인정보보호위원회 자료를 확인하시고, 중요한 판단은 전문가와 상의하시기 바랍니다. AI 서비스의 데이터 처리 정책은 수시로 변경되므로 각 서비스 약관을 직접 확인하십시오.
태그
#AI보안 #챗GPT #생성형AI #개인정보보호 #영업비밀 #정보보안 #직장인 #실무가이드 #국외이전 #AI사용지침
'AI 보안·개인정보' 카테고리의 다른 글
| 사내 AI 사용 지침 만드는 법 — 필수 항목 6가지와 작성 순서 (0) | 2026.09.10 |
|---|