사내 AI 사용 규칙은 한 장이면 충분합니다

2023년 3월 삼성전자 반도체 부문은 사내에서 챗GPT 사용을 허용했습니다. 그로부터 20일 사이에 설비 계측과 수율 관련 프로그램 등 사내 자료가 챗GPT에 입력된 사고가 세 건 보도됐습니다. 회사는 5월에 사내 생성형 AI 사용을 제한하고, 자체 도구를 검토하기 시작했습니다.

이 일을 보고 많은 회사가 AI 사용을 막는 쪽으로 움직였습니다. 그런데 마이크로소프트와 링크드인의 2024년 조사를 보면, AI를 쓰는 지식노동자의 78%는 이미 회사가 준 도구가 아니라 자기가 고른 도구를 쓰고 있었습니다. 막으면 직원들은 개인 계정과 개인 휴대폰으로 씁니다. 그러면 회사는 어떤 자료가 어디로 갔는지조차 알 수 없게 됩니다. 작은 회사에 필요한 것은 쓰는 방법을 정한 규칙입니다. 그리고 그 규칙은 한 장이면 됩니다.

한 장에 들어갈 항목

규칙이 길면 아무도 읽지 않습니다. 국가정보원이 2023년 6월 낸 「챗GPT 등 생성형 AI 활용 보안 가이드라인」이나 개인정보보호위원회가 2025년 8월 낸 「생성형 AI 개발·활용을 위한 개인정보 처리 안내서」는 공공기관과 개발사까지 대상으로 해서 분량이 많습니다. 작은 회사는 그중 직원이 매일 부딪히는 부분만 추려 다섯 항목으로 쓰면 됩니다. 쓸 수 있는 도구, 넣으면 안 되는 자료, 밖으로 나가기 전 확인, 사람이 내릴 결정, 사고 신고입니다.

항목별 예시 문장

아래 문장은 그대로 옮겨 쓰기보다 회사 사정에 맞게 고쳐 쓰는 출발점입니다.

쓸 수 있는 도구. 「회사 업무에는 회사가 계약한 아래 도구만 씁니다(도구 이름과 요금제). 다른 도구는 공개된 자료만 다룰 때 쓸 수 있습니다. 새 도구가 필요하면 AI 담당자에게 요청합니다.」 계약한 도구는 입력 자료가 학습에 쓰이지 않는 기업용 요금제인지 미리 확인해 둡니다.

넣으면 안 되는 자료. 「회사 도구라도 다음은 넣지 않습니다. 주민등록번호·계좌번호·건강 정보, 고객의 연락처가 담긴 명단 전체, 계약 단가와 미공개 재무 자료, 인사 평가와 급여 자료, 거래처가 비밀로 준 자료. 꼭 필요하면 이름과 숫자를 가린 사본을 씁니다.」 「민감한 정보」처럼 추상적으로 쓰면 각자 다르게 해석하므로, 자료 이름을 구체적으로 적습니다.

밖으로 나가기 전 확인. 「AI로 만든 결과물을 고객, 거래처, 기관에 보내기 전에 숫자·날짜·이름·인용은 보낸 사람이 원문과 대조합니다. 확인하지 못한 부분은 보내지 않습니다.」 사내에서 동료에게 넘길 때도 같은 원칙을 적용하면 검토 부담이 한 사람에게 몰리지 않습니다.

사람이 내릴 결정. 「채용·인사 평가·거래처 신용 판단에서 AI 결과는 참고 자료로만 씁니다. 결정과 송금·삭제·계약 같은 실행은 사람이 합니다.」 이 문장은 개인정보 보호법의 자동화된 결정 조항과 AI 기본법의 고영향 영역을 염두에 둔 것입니다.

사고 신고. 「넣으면 안 되는 자료를 넣었거나, AI 결과물의 오류가 밖으로 나간 것을 알게 되면 바로 AI 담당자에게 알립니다. 바로 알린 경우에는 실수에 대한 책임을 묻지 않습니다.」 마지막 문장이 있어야 사고가 숨겨지지 않습니다.

규칙에 같이 적어 둘 것

다섯 항목 외에 한두 줄 더 적어 두면 좋은 것이 있습니다. 하나는 AI 사용을 밝히는 기준입니다. 「고객·기관에 내는 문서에 AI로 만든 그림이나 표가 들어가면 그 사실을 적는다」처럼 정해 두면, 직원 개인이 밝힐지 말지 고민하지 않아도 됩니다. 미국 애리조나대 연구진의 2025년 실험에서는 AI 사용을 숨겼다가 남에게 들켰을 때 신뢰가 가장 크게 떨어졌습니다.

다른 하나는 고객에게 AI 기능이 들어간 서비스를 제공할 때의 절차입니다. 2026년 1월 시행된 AI 기본법은 고객에게 생성형 AI 서비스를 제공하는 사업자에게 사전 고지 의무를 둡니다. 「고객이 쓰는 기능에 AI를 넣을 때는 출시 전에 AI 담당자와 고지 문구를 정한다」는 한 줄이면 됩니다. 사내에서 쓰기만 할 때는 이 의무가 걸리지 않습니다.

예외를 요청하는 길도 적어 둡니다. 규칙이 모든 업무에 맞을 수는 없어서, 꼭 필요한 경우 누구에게 무엇을 근거로 요청하는지 정해 두면 몰래 어기는 일이 줄어듭니다.

규칙을 살아 있게 두는 방법

규칙은 처음 쓸 때보다 고칠 때 더 쓸모가 생깁니다. 분기마다 AI 담당자가 신고된 사고와 새로 들어온 도구 요청을 보고 규칙을 고칩니다. 고친 내용은 전 직원에게 알리고, 바뀐 부분만 따로 표시합니다.

새로 들어오는 직원에게는 입사 첫 주에 이 한 장을 주고 읽었다는 확인을 받습니다. 퇴사하는 직원에게는 개인 계정에 남은 회사 자료와 대화 기록을 지우게 안내합니다. 규칙에 들어갈 항목 가운데 자료 쪽은 사내 데이터를 AI에 넣기 전에에, 외부로 나가기 전 확인은 AI가 쓴 문서를 내보내기 전에에 더 자세히 적었습니다.

출처: 삼성전자 챗GPT 사내 유출 보도(2023.3~5) · Microsoft·LinkedIn 「2024 Work Trend Index」(2024.5) · 국가정보원 「챗GPT 등 생성형 AI 활용 보안 가이드라인」(2023.6) · 개인정보보호위원회 「생성형 AI 개발·활용을 위한 개인정보 처리 안내서」(2025.8.6) · 개인정보 보호법 제37조의2 · Schilke·Reimann 「The transparency dilemma」(2025) · 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(2026.1.22 시행)

FAQ

자주 묻는 질문

AI 사용을 전면 금지하면 안전하지 않습니까?

금지하면 직원들이 개인 계정과 개인 기기로 몰래 쓰게 되고, 회사는 어떤 자료가 어디로 갔는지 알 수 없게 됩니다. 쓸 수 있는 도구와 자료를 정해 주는 편이 실제 위험을 더 줄입니다.

규칙은 누가 씁니까?

AI 담당자가 초안을 쓰고, 개인정보 보호책임자와 각 팀장이 읽고 고칩니다. 업무를 아는 사람이 읽어야 현실에 맞지 않는 조항이 걸러집니다. 확정한 규칙은 전 직원에게 알리고 받았다는 확인을 남깁니다.

규칙을 어기면 징계해야 합니까?

처음에는 실수로 어기는 경우가 대부분입니다. 사고를 숨기지 않고 바로 신고하면 책임을 묻지 않는다는 조항을 두면, 문제가 커지기 전에 알 수 있습니다. 반복되거나 고의인 경우의 처리는 취업규칙에 따릅니다.