규칙 없이 팀에서 쓰는 ChatGPT?
통제되지 않은 확산은 동기 부여의 문제가 아니라 책임 리스크입니다. 지금 무엇을 해야 하는지 짚어 드립니다.
답변 · 개인정보 보호 · GDPR
고객 데이터를 위험에 빠뜨리지 않고 AI를 쓰려면 어떻게 해야 하나요?
짧게 답하면, 금지가 아니라 등급 구분으로 해결합니다. 데이터가 사내에 머물러야 하는 곳에는 로컬 모델을, 성능이 중요한 곳에는 대형 모델을 씁니다. 공개 데이터는 어떤 AI에든 넣어도 되고, 내부 데이터는 기업 계약이 있는 시스템에만, 기밀 데이터는 자체 인프라에 머물러야 하며, 개인정보에는 법적 근거와 개인정보 처리위탁 계약이 필요합니다. 이 네 단계를 아는 회사는 AI를 온전히 활용하면서도 고객 데이터를 위험에 빠뜨리지 않습니다.
위험한 것은 AI가 아닙니다. 데이터가 새어 나가는 것입니다.
사무실에서 누군가 고객 명단을 무료 챗봇에 붙여 넣는 순간, 그 데이터는 회사를 떠납니다. 귀사가 통제하지 못하는 서버로, 한 번도 읽어 본 적 없는 약관 아래로 넘어가는 것입니다. 무료 채팅 버전에서는 입력한 내용이 학습에 쓰일 수 있습니다. 문제는 도구가 아니라 데이터가 지나가는 경로입니다.
그래서 제 회사에는 단순한 규칙이 하나 있습니다. 제 회사는 견적서부터 번역까지 전부 AI로 돌아갑니다.
규칙
데이터가 사내에 머물러야 하는 곳에는 로컬 모델을, 성능이 중요한 곳에는 대형 모델을. 로컬 모델은 자체 하드웨어에서 돌아갑니다. 아무것도 건물 밖으로 나가지 않습니다. 대형 클라우드 모델에는 계약상·법적으로 문제가 없는 데이터만 넘깁니다.
이것이 이론이 아니라는 점은 두 가지 사례가 보여 줍니다. 한 서비스 기업은 오늘도 기밀 문서를 사내 도구로 번역합니다. 서식은 그대로 유지되고, 내용의 100 %가 사내에 남습니다. 그리고 제 회사는 수년째 정확히 이 등급 구분에 따라 일하고 있습니다.
등급 구분
어떤 데이터를 어디까지 넣어도 되나?
네 단계, 네 개의 명확한 답.
모든 정보가 똑같은 보호를 필요로 하지는 않습니다. 기준은 그 안에 무엇이 담겨 있느냐이지, 그 도구가 지금 얼마나 편리하냐가 아닙니다.
01
공개 데이터 — 어떤 AI에든 넣어도 됩니다.
웹사이트 문구, 이미 공개된 가격표, 일반적인 전문 질문. 어차피 누구나 읽을 수 있는 내용이라면 어떤 모델이 읽어도 괜찮습니다. 여기서는 대형 클라우드 모델이 위험 없이 성능을 온전히 발휘합니다.
02
내부 데이터 — 기업 계약이 있을 때만.
업무 절차 설명, 작업 메모, 개인정보가 없는 초안은 대형 모델에 넣어도 되지만, 개인정보 처리위탁 계약이 있고 학습 이용이 배제된 비즈니스 또는 API 접근을 통해서만 가능합니다. 직원이 개인적으로 쓰는 무료 계정은 여기에 해당하지 않습니다.
03
기밀 데이터 — 사내에 남습니다.
원가 계산, 계약서, 설계도, 배합비처럼 경쟁사가 절대 봐서는 안 되는 자료는 자체 인프라에 두어야 합니다. 로컬 모델이나 연동을 통제한 사내 도구가 그것입니다. 사례 301이 바로 그렇게 모든 문서를 사내에 붙들어 둡니다.
04
개인정보 — 가장 엄격한 단계.
고객 정보, 직원 정보, 나아가 건강 정보가 여기에 해당합니다. GDPR은 도구가 아무리 뛰어나더라도 법적 근거와 개인정보 처리위탁 계약을 요구합니다. 판단이 애매하다면 답은 하나입니다. 로컬에서 처리하거나 사전에 익명화하십시오. 아무리 일정이 급해도 지름길은 정당화되지 않습니다.
이 네 단계는 종이 한 장에 들어갑니다. 그리고 바로 그 형태로 팀에 자리 잡아야 합니다. 누구나 이해하는 규칙으로 말입니다. AI 데이에서 함께 만들어 갑니다
GDPR을 지킨다는 것이 AI를 포기한다는 뜻은 아닙니다.
GDPR은 AI를 금지하지 않습니다. 개인정보가 어디에서 처리되는지 알고 통제할 것을 요구할 뿐입니다. AI를 도입할 때 이는 구체적으로 다음을 뜻합니다.
- 법적 근거: 모든 개인정보 처리에는 GDPR 제6조에 따른 근거가 필요합니다. 계약, 정당한 이익, 또는 동의입니다. “그 도구가 마침 편해서”는 목록에 없습니다.
- 개인정보 처리위탁 계약(DPA): AI 공급업체가 귀사의 위탁을 받아 데이터를 처리한다면, GDPR 제28조는 그에 관한 계약을 요구합니다. 대형 공급업체의 비즈니스 상품은 이를 제공하지만, 무료 채팅 버전은 대개 그렇지 않습니다.
- 입력 데이터에 대한 통제: 귀사의 데이터를 학습에 쓰지 않을 것, 삭제 기한이 명확할 것, 처리 장소를 확인할 수 있을 것. 계약이 보장하지 않는 부분은 이미 유출된 것으로 보셔야 합니다.
그리고 솔직하게, 하지 말아야 할 목록도 있습니다. 개인 챗봇 계정에 넣는 고객 데이터, “잠깐이면 되니까” 하고 올린 입사 지원서, 아무 무료 도구에나 넣은 건강 정보입니다. 이는 가벼운 실수가 아니라 신고 의무가 따르는 통제 상실입니다.
“개인정보 보호는 걸림돌이 아닙니다. 어떤 도구를 쓸지 정해 줄 뿐입니다.”
참고로 더 큰 위험은 악의에서 생기는 경우가 드물고, 대개 통제되지 않은 확산에서 생깁니다. 직원들은 이미 오래전부터 AI를 쓰고 있습니다. 문제는 가이드라인이 있느냐 없느냐입니다. 규칙 없는 팀 내 AI 사용이 무엇을 뜻하는지 보기 →
자주 묻는 질문
경영자가 AI와 개인정보 보호에 대해 알고 싶어 하는 것.
고객 데이터를 ChatGPT에 넣어도 되나요?
무료 채팅 버전은 안 됩니다. 개인정보 처리위탁 계약이 없고, 입력한 내용이 학습에 쓰일 수 있습니다. DPA가 체결되고 학습 이용이 배제된 비즈니스 또는 API 접근은 사정이 다릅니다. 다만 개인정보에는 여전히 가장 엄격한 등급이 적용됩니다. 애매하면 로컬에서 처리하거나 익명화하십시오.
로컬 AI 모델이 충분히 쓸 만한가요?
범위가 분명한 작업이라면 충분합니다. 번역, 분류, 요약, 문서에서 데이터 추출 같은 일입니다. 사례 301이 실물로 보여 줍니다. 문서의 100 %가 사내에 남습니다. 가장 어려운 작업에는 대형 모델을 쓰되, 그것이 허용되는 데이터만 넣으면 됩니다.
AI 도입 시 GDPR은 구체적으로 무엇을 요구하나요?
세 가지입니다. 처리에 대한 법적 근거, 공급업체와 체결하는 GDPR 제28조에 따른 개인정보 처리위탁 계약, 그리고 입력 데이터에 대한 통제입니다. 학습에 쓰지 않을 것, 삭제 기한이 명확할 것. 이를 입증할 수 없다면 개인정보는 애초에 클라우드에 넣지 않는 편이 낫습니다.
이 규칙을 팀에 어떻게 정착시키나요?
아무도 읽지 않는 40쪽짜리 지침이 아니라, 알기 쉬운 언어로 정리한 한 장짜리 규칙으로, 그것도 여러분의 실제 업무를 놓고 함께 만들어야 합니다. 바로 그것이 AI 데이의 한 축이며, EU AI Act 제4조에 따른 교육 의무 증빙도 함께 제공됩니다.
어떤 데이터를 어디까지 써도 되는지 확신이 서지 않으십니까?
30분 상담, 착수점 세 가지를 서면으로. 무료이며 판매 압박은 없습니다.