[AX] 중소기업 생성형 AI 보안 가이드 — 직원이 AI에 넣으면 안 되는 정보 7가지
직원이 ChatGPT 같은 생성형 AI에 입력하면 안 되는 정보 7가지와, 중소기업이 하루 만에 만들 수 있는 AI 사용 규칙·비식별화 방법을 정리했습니다.
🏷️ [탐라야행_AX_Solution] · 주식회사 탐라야행 정식 AX 솔루션 라인업
“직원들이 ChatGPT에 업무 자료를 막 붙여 넣는 것 같은데 괜찮을까?” 도입을 막기 전에, 먼저 무엇을 넣으면 안 되는지를 정해 두면 대부분의 위험이 줄어듭니다. 이 글은 일반적인 실무 가이드이며, 법령 해석이 필요한 부분은 법무·전문가 확인이 필요합니다.
위험은 AI가 아니라 “무엇을 넣느냐”에서 시작된다
생성형 AI 서비스에 입력한 내용은 서비스 제공사의 서버로 전달됩니다. 보관 기간과 학습 활용 여부는 서비스·요금제·설정마다 다르고 약관이 바뀔 수 있어서, “안전하다/위험하다”를 한마디로 말하기 어렵습니다. 그래서 실무에서는 판단을 정보의 종류에 맞춰 단순하게 합니다.
입력하면 안 되는 정보 7가지
| # | 정보 | 예시 | 왜 위험한가 |
|---|---|---|---|
| 1 | 개인정보·고유식별정보 | 주민등록번호, 여권번호, 계좌번호, 의료·건강 정보 | 유출 시 개인에게 직접 피해, 회사에 법적 책임 가능 |
| 2 | 고객·거래처 연락처와 계약 정보 | 고객 명단, 단가표, 계약서 원본 | 영업 기밀과 개인정보가 함께 노출 |
| 3 | 인증 정보 | 비밀번호, API 키, 접속 토큰, 공동인증서 | 노출되면 시스템이 즉시 침해될 수 있음 |
| 4 | 미공개 재무·인사 정보 | 결산 전 손익, 급여표, 평가·징계 자료 | 내부 갈등과 신뢰 문제로 직결 |
| 5 | NDA 대상 자료 | 거래처에서 받은 비공개 사양서·도면 | 계약 위반이 될 수 있음 |
| 6 | 소스코드·시스템 구성 | 사내 소스, DB 구조, 서버 주소·설정 | 공격자에게 지도를 주는 셈 |
| 7 | 법적 분쟁·수사 관련 자료 | 소송 서류, 진행 중인 분쟁 자료 | 증거·전략 노출, 비밀유지 문제 |
대신 이렇게 하세요 — 비식별화 3단계
위 정보가 업무에 꼭 필요하다면 그대로 넣지 말고 바꿔서 넣습니다.
- 지우기: 이름·연락처·계좌 같은 식별 항목을 삭제합니다.
- 치환하기: “A 고객”, “B 거래처”, “2026-OO월”처럼 의미 없는 기호로 바꿉니다.
- 일반화하기: 정확한 금액 대신 범위나 비율로, 실제 날짜 대신 상대적 순서로 바꿉니다.
예시:
1
2
3
나쁜 입력: 김OO 고객(010-XXXX-XXXX)에게 보낼 환불 안내문, 환불액 1,284,000원, 계좌 국민 XXX…
좋은 입력: 고객 A에게 보낼 환불 안내문을 써 줘. 환불 사유는 배송 지연, 정중한 어조, 3문단.
(실제 이름·금액·계좌는 결과를 받은 뒤 사람이 채운다)
AI에게는 구조와 문장을 맡기고, 민감한 값은 사람이 마지막에 넣는 방식이 가장 현실적입니다.
중소기업이 하루 만에 만드는 AI 사용 규칙 (5줄)
규칙은 길수록 지켜지지 않습니다. 아래 5줄을 사내 공지로 시작하세요.
- 업무에서 쓰는 AI 서비스는 회사가 승인한 목록만 사용한다.
- 위 7가지 정보는 입력하지 않는다. 필요하면 비식별화해서 넣는다.
- 업무용은 개인 계정이 아니라 회사 계정으로 쓴다.
- AI 결과는 초안이다. 숫자·고유명사·법적 표현은 사람이 확인한다.
- 의심스러운 입력이나 유출이 의심되면 즉시 담당자에게 알린다. (질책이 아니라 대응이 목적이라고 함께 알린다)
서비스를 고를 때 확인할 것
도입 전에 서비스 제공사의 약관·안내 페이지에서 아래 항목을 직접 확인하세요. 이 내용은 바뀔 수 있으니 도입 시점에 확인하고 기록해 두는 것이 중요합니다.
- 입력 데이터가 모델 학습에 쓰이는지, 끌 수 있는지
- 데이터 보관 기간과 삭제 방법
- 관리자 계정·권한 관리·사용 기록(로그) 제공 여부
- 데이터가 처리되는 국가·지역
- 기업용 요금제에서 달라지는 데이터 정책
더 높은 수준이 필요할 때
민감한 문서를 자주 다루는 업무라면 선택지는 세 가지입니다.
| 선택지 | 특징 | 어울리는 경우 |
|---|---|---|
| 기업용 요금제·계약 | 관리 기능·데이터 정책 강화 | 여러 직원이 쓰고 로그가 필요한 경우 |
| 사내 문서 한정 RAG | 정해진 문서만 근거로 답변, 접근 권한 관리 | 사내 지식 검색·응대 업무 |
| 로컬·프라이빗 LLM | 데이터가 외부로 나가지 않음 | 외부 전송이 어려운 자료 |
선택 기준은 내 노트북에서 LLM 돌리기 — 로컬·API·프라이빗 배포 판단 가이드에, 사내 지식 챗봇의 원리는 RAG 쉽게 이해하기에 정리해 두었습니다.
자주 묻는 질문
Q. 개인 계정으로 쓰는 직원을 어떻게 막나요? 기술적으로 100% 막기는 어렵습니다. 그래서 승인된 업무용 계정을 먼저 제공하고, 금지 정보 7가지를 교육하는 편이 효과적입니다. 쓸 수 있는 도구가 없으면 직원은 몰래 씁니다.
Q. 개인정보가 섞인 자료를 AI로 처리해야 하면요? 먼저 비식별화로 해결할 수 있는지 보고, 그래도 필요하면 관련 법령과 서비스 약관 검토가 필요합니다. 이 부분은 법무·전문가 확인을 거치세요.
Q. 데이터 관리 전반은 어떻게 하나요? AI 보안은 데이터 관리의 일부입니다. (데이터 거버넌스 & 품질 관리)
Q. AI가 틀린 답을 내는 문제는요? 보안과 별개로 정확성 문제도 있습니다. 사람 검수 단계를 업무 흐름에 넣으세요. (AI 도입 전 자주 묻는 질문 10)
체크리스트
- 금지 정보 7가지를 사내에 공지했다
- 회사가 승인한 AI 서비스 목록과 업무용 계정을 정했다
- 서비스의 학습 활용·보관 기간·로그 기능을 확인해 기록했다
- 비식별화 방법(지우기·치환·일반화)을 교육했다
- 유출 의심 시 알릴 담당자를 정했다
함께 읽기
- 전체 그림 → AX란? DX와 뭐가 다를까
- 비용 판단 → 업무 자동화 ROI 계산법
우리 회사에 맞는 AI 사용 규칙과 도입 방식이 궁금하다면 문의해 주세요. → Business Inquiry
📎 본 글은 주식회사 탐라야행 기술연구소의 R&D 자산입니다. 함께 읽기 — 🤖 AX 대표 사례 · 📖 블로그 안내 · 📩 비즈니스 문의