사내 데이터를 AI에 넣기 전에 확인할 것

2025년 2월 중국 AI 서비스 딥시크는 국내 앱 장터에서 신규 다운로드를 잠정 중단했습니다. 개인정보보호위원회가 4월 발표한 점검 결과에 따르면, 딥시크는 국내 이용자 정보를 중국과 미국 업체 다섯 곳에 넘기면서 안내도 동의도 받지 않았습니다. 이용자가 입력창에 쓴 내용은 중국 업체 한 곳으로 전송됐고, 학습에 쓰였지만 이용자가 거부할 방법도 없었습니다.

이 사례에서 문제가 된 것은 서비스 쪽입니다. 그런데 회사 입장에서 보면, 직원이 그 서비스에 고객 명단이나 계약서를 넣었다면 그 자료도 같은 길을 갔다는 뜻이 됩니다. 사내 데이터를 AI에 넣기 전에 확인할 것을 순서대로 적었습니다.

개인정보가 섞였는지

개인정보 보호법이 말하는 개인정보는 살아 있는 개인을 알아볼 수 있는 정보입니다. 이름이 없어도 다른 정보와 쉽게 합쳐 사람을 알아볼 수 있으면 개인정보입니다. 고객 연락처 목록, 주문 내역, 상담 기록, 이력서, 직원 평가표가 대표적입니다. 주민등록번호, 계좌번호, 건강 정보처럼 따로 엄격하게 다루는 정보도 있습니다.

AI에게 시키려는 일에 사람 단위 정보가 꼭 필요한지부터 따집니다. 상담 기록에서 자주 나오는 불만을 뽑는 일이라면, 고객 이름과 연락처는 필요 없습니다. 이름과 연락처, 주문 번호를 지우거나 「고객A」처럼 바꾼 사본을 넣으면 됩니다. 법은 이렇게 추가 정보 없이는 사람을 알아볼 수 없게 만드는 것을 가명처리로 정하고, 통계 작성이나 연구 등 정해진 목적에는 동의 없이 쓸 수 있는 길을 둡니다(제28조의2).

자료가 어디로 가는지

개인정보가 들어간 자료를 해외 서버에서 처리하는 AI 서비스에 넣으면 국외 이전 문제가 생깁니다. 개인정보 보호법 제28조의8은 개인정보를 국외로 이전할 수 있는 경우를 정하고 있고, 그 요건을 채우지 않으면 위반이 됩니다. 회사 업무를 위해 AI 업체가 고객 정보를 처리하는 구조라면 제26조의 처리위탁에도 해당할 수 있습니다. 이 경우 위탁 계약서를 갖추고 개인정보 처리방침에 위탁 사실을 공개해야 합니다.

개인정보보호위원회가 2025년 8월 낸 「생성형 AI 개발·활용을 위한 개인정보 처리 안내서」도 외부 API를 쓰면 입력값이 해외 서버로 전송될 수 있으니 점검하고, 계약과 약관으로 안전성을 확보하라고 권합니다. 안내서에는 한 의료기관이 환자 상담 요약에 엔터프라이즈 API를 쓴 사례가 나옵니다. 개인 요금제가 아니라 계약 조건을 따져 볼 수 있는 기업용 경로를 택한 것입니다.

학습에 쓰이는지, 얼마나 남는지

약관에서 입력 자료가 서비스 학습이나 개선에 쓰이는지 확인합니다. 무료와 개인 요금제는 쓴다고 정하고 끌 수 있는 설정을 두는 경우가 많고, 기업용 요금제는 기본적으로 쓰지 않는다고 정한 경우가 많습니다. 보관 기간도 봅니다. 학습에 쓰지 않더라도 오남용 감시를 위해 일정 기간 보관하는 서비스가 있습니다.

2023년 삼성전자 반도체 부문은 챗GPT 사용을 허용한 지 20일 만에 설비 관련 프로그램 등 사내 자료가 입력된 사고를 세 건 겪었습니다. 당시 보도에서는 입력된 자료가 외부 서버에 저장돼 회수할 수 없다는 점이 가장 큰 걱정으로 꼽혔습니다. 한 번 넣은 자료는 회사가 지울 수 없을 수도 있다는 점을 전제로 판단합니다.

영업비밀로 관리되고 있는지

개인정보가 아니어도 넣기 전에 생각할 자료가 있습니다. 제조 공정, 원가 구조, 거래처별 단가, 개발 중인 제품 설계 같은 영업비밀입니다. 부정경쟁방지법은 영업비밀을 보호하는 조건으로 비밀로 관리되고 있을 것을 요구합니다. 직원들이 그 자료를 아무 AI 서비스에나 자유롭게 넣고 있었다면, 나중에 유출 분쟁이 생겼을 때 비밀로 관리했다고 주장하기 어려워질 수 있습니다.

잘못 넣었을 때

규칙을 정해도 실수는 생깁니다. 고객 명단 전체를 개인 요금제 서비스에 넣었다는 것을 알게 됐다면, 먼저 해당 대화와 파일을 서비스에서 지우고, 서비스의 데이터 삭제 요청 절차가 있으면 요청한 기록을 남깁니다. 그다음 회사의 개인정보 보호책임자에게 알립니다.

개인정보 보호법은 개인정보가 유출됐을 때 정보주체에게 알리고, 일정 규모 이상이거나 민감한 정보가 포함된 경우 개인정보보호위원회나 한국인터넷진흥원에 신고하게 합니다. 유출을 알게 된 때부터 72시간 안에 해야 하는 경우가 많습니다. AI 서비스에 넣은 것이 유출에 해당하는지는 서비스의 약관과 실제 처리 방식에 따라 판단이 달라질 수 있으니, 바로 전문가와 상의합니다. 시간이 지나 판단할수록 선택지가 줄어듭니다.

자료를 네 등급으로 나누기

매번 판단하기 어렵다면 자료를 미리 나눠 둡니다. 홈페이지와 보도자료처럼 이미 공개된 자료는 어느 도구에 넣어도 됩니다. 일반 업무 문서는 회사가 계약한 도구에만 넣습니다. 고객 정보와 계약서처럼 제한할 자료는 이름과 숫자를 가린 사본으로만 넣습니다. 주민등록번호, 건강 정보, 인사 평가, 공개하지 않은 기술 자료는 넣지 않습니다.

이 네 등급을 사내 사용 규칙에 적고, 자주 쓰는 자료가 어느 등급인지 예를 들어 둡니다. 규칙을 한 장으로 쓰는 방법은 사내 AI 사용 규칙에, 계약서에서 볼 조항은 AI 도구 계약서 글에 정리했습니다.

이 글은 일반적인 안내이며 법률 자문이 아닙니다. 개인정보 처리와 국외 이전의 구체적인 판단은 전문가와 상의하십시오.

출처: 개인정보보호위원회 딥시크 사전 실태점검 결과 발표(2025.4.24) · 개인정보보호위원회 「생성형 AI 개발·활용을 위한 개인정보 처리 안내서」(2025.8.6) · 개인정보 보호법 제2조·제26조·제28조의2·제28조의8 · 개인정보 보호법 제34조(유출 통지·신고) · 부정경쟁방지 및 영업비밀보호에 관한 법률 제2조 · 삼성전자 챗GPT 사내 유출 보도(2023.3~5)

FAQ

자주 묻는 질문

이름만 지우면 개인정보가 아닙니까?

이름을 지워도 연락처, 주소, 주문 번호처럼 다른 정보와 합치면 사람을 알아볼 수 있는 정보가 남아 있으면 개인정보입니다. 사람을 알아볼 수 있는 항목을 모두 가리거나 바꿔야 합니다.

기업용 요금제를 쓰면 괜찮습니까?

기업용 요금제는 입력 자료를 학습에 쓰지 않는다고 정한 경우가 많아 위험이 줄어듭니다. 그래도 서버 위치와 보관 기간, 재위탁 업체는 확인해야 하고, 고객 정보를 처리하게 한다면 처리위탁 계약과 처리방침 공개가 필요할 수 있습니다.

영업비밀도 따로 신경 써야 합니까?

부정경쟁방지법이 보호하는 영업비밀은 비밀로 관리되고 있어야 인정됩니다. 직원들이 그 자료를 아무 AI 서비스에나 넣고 있었다면, 나중에 분쟁이 생겼을 때 비밀로 관리했다고 주장하기 어려워질 수 있습니다.