회사에서 AI 쓸 때 알아야 할 것: 기밀·개인정보 주의점

왜 이 문제가 생각보다 심각한가

급한 마음에 회사 자료를 챗봇에 그대로 붙여넣은 적, 찔리시는 분 계시죠? 편하긴 한데 이게 어디까지 괜찮은 건지 기준이 없다는 게 진짜 문제예요. 이 글에서는 점검이 필요한 정보 유형과, 자료를 안전하게 바꿔 넣는 방법을 순서대로 정리해 드릴게요.

업무 자료를 붙여넣는 순간, 그 내용은 회사 네트워크를 벗어나 외부 사업자의 서버로 전송됩니다. 개인 입장에서는 질문 한 번이지만, 정보 관리 관점에서는 내부 자료의 외부 전송이에요. 실제로 여러 기업이 임직원의 AI 사용으로 내부 정보가 밖으로 나간 일을 겪은 뒤 사용 지침을 만들었어요.

그냥 딱 잘라 말해서, 이 글은 AI를 쓰지 말자는 이야기가 아니에요. 무엇이 위험한지만 알면 웬만한 활용은 다 할 수 있거든요. 그 구분선을 함께 세워 보려는 거예요.

입력 전 점검이 필요한 정보 유형

첫째는 개인정보예요. 고객·직원의 이름, 연락처, 주민번호, 계좌처럼 개인을 알아볼 수 있는 정보는 법적 보호 대상이라 가장 엄격하게 다뤄야 합니다. 둘째는 미공개 경영 정보예요. 발표 전 실적, 신제품 계획, 인사 정보, 협상 중인 조건 같은 것들이에요. 셋째는 계약과 법무 문서고요. 비밀유지 조항이 걸려 있는 경우가 많아요. 넷째는 소스코드와 기술 자료인데, 회사 자산이라 한 번 나가면 되돌리기가 어렵습니다.

네 가지를 다 외우실 필요는 없어요. 기준을 하나로 줄이면 이거예요. '이 내용을 외부 사람에게 이메일로 보내도 괜찮은가?' 여기서 잠깐이라도 머뭇거려진다면 그대로 넣지 않는 게 맞아요.

회사 지침 확인이 항상 첫 번째다

조직마다 AI 사용 정책이 정말 달라요. 전면 허용부터 승인된 서비스만 허용, 업무 정보 입력 금지, 전면 차단까지 폭이 넓어요. 기업용 계약을 맺은 서비스를 따로 제공하는 회사도 있고요. 내 편의보다 조직의 규칙이 우선이라, 보안팀이나 IT팀의 지침을 먼저 확인하는 게 순서예요.

지침이 아직 없는 조직이라면 스스로 보수적인 기본값을 세워 두시면 돼요. '외부에 보여줄 수 없는 정보는 넣지 않는다'는 원칙 하나만 지켜도 큰 사고는 대부분 막을 수 있어요. 개인 계정과 업무용 계정을 섞어 쓰지 않는 것도 기본에 들어가요.

실전 기법: 가리고, 비우고, 바꿔서 쓰기

민감한 정보가 섞인 자료로 도움을 받고 싶을 때 쓸 수 있는 기법이 세 가지 있어요. 첫째는 마스킹이에요. 이름을 'A고객', 금액을 'X원'으로 바꿔 구조는 살리고 실제 값만 가리는 방법이에요. 둘째는 구조만 남기기예요. 내용을 지우고 '이런 항목들로 구성된 보고서'라는 뼈대만 설명한 뒤 형식에 대한 도움을 받는 거예요. 셋째는 가상 데이터고요. 실제와 비슷한 가짜 사례로 물어보고, 답변의 방법만 가져와 실제 데이터에 적용하시면 돼요.

세 기법의 공통점이 있어요. AI에게 필요한 건 대개 '내용'이 아니라 '패턴'이라는 거예요. 문장을 다듬고 구조를 잡는 데 실명과 실제 수치는 필요하지 않아요. 막상 해보니까 가리고 물어도 결과 품질은 거의 그대로예요.

이 자료는 어떻게 넣을까: 유형별 짝짓기

기법 세 가지를 알아도 막상 파일을 열면 또 망설여져요. 그래서 자료 유형과 기법을 미리 짝지어 두면 편해요. 아래에서 지금 다루는 자료와 가까운 줄을 찾아 그대로 따라 하시면 됩니다.

짝짓기를 해 두면 좋은 점이 하나 더 있어요. 팀에서 같은 기준을 쓰게 되니까, 누가 물어봐도 '우리는 이렇게 넣는다'고 답할 수 있게 돼요. (여기까지 오셨으면 반은 끝난 거예요.)

• 고객 명단·연락처 — 마스킹. 이름과 번호를 A·B로 바꾸고 형식만 남겨서 물어봐요
• 미공개 실적·계획 — 구조만 남기기. 숫자를 빼고 항목 구성과 흐름에 대해서만 도움을 받아요
• 계약서·법무 문서 — 원문 대신 가상 사례. 조항 해석이 필요하면 사내 법무 검토가 먼저예요
• 소스코드 — 회사 지침 확인이 먼저이고, 허용된다면 사내 정보가 담긴 부분을 덜어 낸 조각만 물어봐요
• 회의록·메모 — 참석자 이름을 직함으로 바꾸고, 인사 관련 발언은 아예 빼고 넣어요

출력물 쪽의 주의점도 있다

혹시나 해서 하는 말인데, 주의할 곳은 입력만이 아니에요. AI가 만든 결과물을 회사 이름으로 나가는 문서에 쓸 때는 내용 오류가 곧 회사의 신뢰 문제가 됩니다. 코드라면 라이선스나 보안 취약점 문제가 따라올 수도 있고요. 'AI가 만들었다'는 사실이 책임을 대신해 주지는 않으니, 밖으로 나가는 결과물은 사람이 한 번 검토한다는 원칙을 세워 두시면 좋아요.

정리하면 이렇게 하시면 돼요. 회사 지침을 먼저 확인하고, 외부에 못 보여줄 정보는 가려서 넣고, 밖으로 나가는 결과물은 사람이 검토하는 것. 이 세 가지만 자리 잡으면 업무에서도 AI를 마음 놓고 쓸 수 있어요. 조심하느라 아예 안 쓰는 것보다, 기준을 갖고 쓰는 쪽이 훨씬 든든하고 결과도 좋아요.