사내 데이터를 AI에 넣기 전에 보는 3가지

AI 도입 자리에서 가장 자주 나오는 질문은 어떤 도구를 쓰느냐가 아닙니다. 「이걸 넣어도 됩니까」입니다.

답을 드리기 전에 한 가지를 먼저 말씀드립니다. 붙여넣기 한 번은 클릭 한 번이지만, 법에서 보는 행위는 그것보다 큽니다.

첫째, 개인정보가 섞여 있는가

가릴 때 헷갈리는 자리가 몇 개 있습니다.

이름과 전화번호는 다들 개인정보로 봅니다. 그런데 「○○회사 김 과장」도 특정 개인을 알아볼 수 있으면 개인정보입니다. 상담 녹취록, 이력서, 배송 주소가 붙은 주문 내역, 사진이 든 회의 자료도 마찬가지입니다.

실무에서 제일 많이 놓치는 건 회의록입니다. 참석자 실명과 소속이 들어가 있고, 누가 무슨 말을 했는지가 붙어 있습니다.

둘째, 국외로 나가는가

여기가 실무자들이 가장 늦게 아는 자리입니다.

개인정보 보호법 제28조의8제1항은 개인정보를 국외로 제공·처리위탁·보관하는 것을 「이전」으로 정하고 있습니다. 그리고 괄호 안에 이렇게 적혀 있습니다. 조회되는 경우를 포함한다.

해외 서버에서 돌아가는 AI 서비스에 우리 고객 명단을 붙여넣으면, 그 데이터가 국외에서 처리됩니다. 원칙은 금지이고, 제28조의8제1항이 예외를 5가지 두고 있습니다.

셋째, 위탁이면 문서로 남깁니다

AI 서비스에 우리 고객 데이터를 처리시키는 것이 개인정보 처리 업무의 위탁에 해당하면 제26조가 적용됩니다.

제1항은 문서로 하라고 하고, 그 문서에 3가지가 들어가야 한다고 정하고 있습니다. 위탁 업무 수행 목적 외 처리 금지, 기술적·관리적 보호조치, 그 밖에 대통령령으로 정한 사항.

제2항은 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있게 공개하라고 합니다. 처리방침에 적는 것이 보통입니다.

여기서 실무 판단이 하나 생깁니다. 이 벤더를 처리방침에 이름으로 올릴 것인가.

올리기 싫어서 미루는 회사가 있습니다. 그런데 안 올리고 쓰는 것보다는 올리고 쓰는 편이 낫습니다. 나중에 문제가 되면 안 올린 것 자체가 별도 사유가 됩니다.

가장 확실한 조치는 지우고 넣는 것입니다

여기까지 읽으시면 복잡해 보이실 겁니다. 그런데 실무에서 쓰는 방법은 단순합니다.

넣기 전에 지웁니다.

상담 기록을 요약시킬 때 고객 이름이 꼭 필요합니까. 「고객 A」로 바꿔도 요약은 똑같이 나옵니다. 전화번호가 요약에 기여합니까. 안 합니다.

실제로 해 보면 지우고 넣어도 결과 품질이 거의 안 떨어집니다. 떨어지는 건 붙여넣는 사람의 편의뿐입니다.

그래서 사내 규칙에는 이 한 줄이 제일 쓸모 있습니다. 「사람을 특정할 수 있는 것은 지우고 넣는다. 지우기 어려우면 그 문서는 안 넣는다.」

도구를 고를 때 확인하는 것

계약 전에 벤더에게 물어볼 것들입니다.

데이터가 어느 나라 서버에서 처리되는지. 국내 리전을 고를 수 있는지. 입력한 내용이 모델 학습에 쓰이는지, 끌 수 있는지. 보관 기간이 얼마이고 삭제 요청이 되는지. 하도급을 주는지, 준다면 어디에 주는지.

마지막 항목을 빼먹는 경우가 많습니다. 제26조제2항의 수탁자에는 재위탁받은 제3자도 포함됩니다. 벤더가 다시 맡긴 곳까지 공개 대상입니다.

셋 다 통과하기 어려우면 지우고 넣습니다

3가지만 순서대로 보시면 됩니다.

사람을 특정할 수 있는 것이 들어 있는가. 그게 국외로 나가는가. 나간다면 5가지 중 어디에 기대는가.

셋 다 통과하기 어려우면 지우고 넣으십시오. 법을 해석하는 것보다 빠릅니다.

이 글의 근거

개인정보 보호법 제26조와 제28조의8은 국가법령정보센터의 현행 조문(시행 2025년 10월 2일 판본)을 열어 확인해 적었습니다. 법령과 고시는 바뀝니다. 실제 도입을 앞두고 계시면 그 시점의 조문과 개인정보보호위원회 안내를 다시 보시고, 규모가 큰 처리는 전문가 검토를 받으십시오. 저는 변호사가 아닙니다.