생성형 AI에 회사 자료를 넣어도 될까요: 입력 기준을 한 장으로 정리하는 법

'이거 AI에 넣어도 되나?' 망설임이 생기는 이유

보고서 초안을 다듬거나 회의록을 요약할 때 생성형 AI를 쓰면 확실히 일이 빨라지죠. 그런데 고객 명단이나 계약서 문장을 붙여 넣으려는 순간 손이 멈추게 돼요. 이 글은 그 망설임을 '정보 등급'과 '이용 환경' 두 기준으로 풀어서, 회사에서 바로 쓸 수 있는 한 장짜리 입력 기준을 만드는 순서를 알려 드려요.

담당자 입장에서는 고민이 더 복잡해요. 직원들이 어떤 서비스에 무엇을 넣고 있는지 보이지 않고, 막자니 업무 효율이 아쉽고, 두자니 불안하거든요. 생성형 AI(글·이미지·코드를 새로 만들어 내는 인공지능)는 이미 많은 사무실에서 일상 도구가 되었어요. 그래서 질문은 '쓸까 말까'가 아니라 '무엇을 어디에 넣을까'로 바뀌고 있어요.

근데 말이죠, 이 질문에 서비스 이름으로 답하기 시작하면 금방 길을 잃어요. 도구는 계속 새로 나오고 조건도 자주 바뀌니까요. 이 글은 특정 서비스를 비교하거나 추천하지 않고, 어떤 서비스를 쓰든 똑같이 적용할 수 있는 판단의 틀을 다뤄요. 틀이 먼저 서 있으면 새 도구가 나와도 기준을 처음부터 다시 만들 필요가 없어요.

입력하는 순간 정보는 밖으로 나간다: 흐름부터 그려 보기

생성형 AI 서비스에 글을 입력하는 건 대부분 외부 회사의 서버로 그 내용을 보내는 일이에요. 화면은 대화창처럼 생겼지만, 구조로 보면 이메일을 외부로 발송하거나 파일을 외부 저장소에 올리는 것과 같은 성격이에요. 이렇게 그려 보면 '메일로 밖에 보내도 되는 정보인가'라는 익숙한 질문으로 판단을 옮겨 올 수 있어요.

보낸 뒤의 흐름은 서비스마다 달라요. 입력 내용이 대화 기록으로 얼마나 오래 보관되는지, 서비스 개선이나 모델 학습에 쓰일 수 있는지, 그 설정을 사용자가 끌 수 있는지는 서비스 종류·요금제·계약 형태에 따라 다르고, 약관이 바뀌면서 달라지기도 해요. 그래서 '이 서비스는 안전하다'는 한 줄 결론보다, 우리가 쓰는 환경의 현재 약관과 설정을 직접 확인하는 습관이 훨씬 믿을 만합니다.

놓치기 쉬운 부분이 하나 더 있어요. 대화 기록은 계정에 차곡차곡 쌓여요. 개인 계정의 비밀번호가 유출되면 그동안 넣은 업무 내용이 한꺼번에 드러날 수 있고, 대화를 공유 링크로 만들어 두면 링크를 아는 사람 누구나 볼 수 있게 되기도 해요. 입력 기준을 세울 때 계정 관리와 2단계 인증까지 함께 묶어 두시면 빈틈이 크게 줄어들어요.

정보 등급 × 이용 환경, 두 축이면 판단이 끝난다

복잡한 규정집보다 두 가지 질문이 더 잘 작동해요. 첫째, 넣으려는 정보가 어떤 등급인가. 둘째, 지금 쓰는 AI가 어떤 환경인가. 정보 등급은 많은 회사가 이미 쓰는 분류를 그대로 가져오시면 돼요. 공개 정보, 내부 정보, 대외비, 개인정보·고객 정보 정도로 나누면 출발점으로 충분해요.

이용 환경은 세 단계로 나눠 보세요. 직원이 개인 계정으로 가입한 일반 서비스, 회사가 약관과 보관·학습 조건을 검토하고 계약한 업무용 환경, 회사가 직접 운영하거나 내부망 안에 둔 환경이에요. 뒤로 갈수록 입력 내용이 어디에 남고 누가 볼 수 있는지를 회사가 통제할 수 있는 범위가 넓어져요. 아래는 두 축을 겹쳐 본 예시예요. 조직마다 세부 기준은 조금씩 달라질 수 있지만, 첫 초안으로 쓰기에는 충분해요.

표를 만들어 두면 좋은 점이 분명해요. 직원은 매번 누군가에게 묻지 않아도 스스로 판단할 수 있고, 담당자는 '안 된다'는 말 대신 '이 환경에서는 된다'는 대안을 줄 수 있어요. 금지 목록이 아니라 길 안내에 가까운 문서가 되는 거예요. 실제로 적용해 보면 질문의 대부분이 표 안에서 해결되고, 담당자에게 오는 문의는 정말 애매한 사례로 좁혀지는 걸 느끼실 수 있어요.

• 공개 정보(보도자료, 홈페이지 문구, 공개된 제품 설명) — 세 환경 모두에서 사용 가능
• 내부 정보(회의록, 업무 매뉴얼, 내부 일정) — 개인 계정은 피하고, 회사가 검토를 마친 업무용 환경부터 사용
• 대외비(계약 조건, 미공개 사업 계획, 소스 코드, 시스템 구성 정보) — 회사가 통제하는 환경에서만, 필요하면 보안 담당자 확인 후 사용
• 개인정보·고객 정보(이름, 연락처, 상담 내용, 인사 기록) — 원칙적으로 넣지 않고, 꼭 필요하면 개인정보 담당 부서와 먼저 검토

여기서 많이들 헷갈리는 세 가지 오해

첫째는 '이름만 지우면 괜찮다'는 생각이에요. 이름을 빼도 부서, 직급, 입사 시기, 사건 날짜가 함께 들어가면 누구 이야기인지 알아볼 수 있는 경우가 많아요. 개인정보는 한 항목이 아니라 여러 정보의 조합으로도 사람을 가리킬 수 있다는 점이 포인트예요. 가명 처리와 익명 처리는 법령에서 서로 다르게 다루는 개념이기도 해서, 개인정보를 가공해 활용하려는 경우에는 개인정보보호위원회의 공식 안내를 기준으로 확인하는 것이 정확합니다.

둘째는 '대화를 지우면 사라진다'는 생각이에요. 내 화면에서 대화 기록이 지워지는 시점과 서비스 제공자의 서버에서 완전히 삭제되는 시점은 다를 수 있어요. 보관 기간과 삭제 방식은 서비스 약관에 적혀 있으니, 지우면 된다는 전제로 넣기보다 넣기 전에 한 번 판단하는 쪽이 마음도 훨씬 편해요.

셋째는 '전면 금지가 가장 안전하다'는 생각이에요. 현장에서 흔히 보이는 패턴은 오히려 반대예요. 회사에서 막으면 필요를 느끼는 직원은 개인 휴대폰과 개인 계정으로 옮겨 가서 쓰게 되고, 그 순간 회사는 무엇이 어디로 나가는지 전혀 볼 수 없게 돼요. 이런 현상을 흔히 '그림자 AI'라고 불러요. 안전한 환경 하나를 열어 주고 그 안에서 쓰도록 안내하는 편이, 보이지 않는 사용을 줄이는 데 훨씬 도움이 돼요.

한 장짜리 사내 기준, 이 순서로 만들면 돼요

기준 문서는 길 필요가 없어요. 오히려 한 장에 들어가야 실제로 읽혀요. 아래 다섯 단계를 순서대로 밟아 보세요. 규모가 작은 조직이라면 하루 이틀이면 첫 판을 만들 수 있는 분량이에요.

이 한 장은 기존 보안 문서 체계에서 '지침'의 자리에 들어가요. 정책에는 'AI 도구도 회사의 정보 보호 원칙을 따른다'는 한 문장이면 되고, 구체적인 신청·검토 방법은 절차 문서로 떼어 두면 관리가 편해져요. 개인정보가 얽히는 업무라면 개인정보보호 법령상 따로 검토할 부분이 생길 수 있으니, 개별 사안의 판단은 개인정보보호위원회의 공식 안내나 전문가 상담으로 확인하시는 것이 좋습니다.

이제 이렇게 하시면 돼요. 이번 주에는 우리 팀이 쓰는 AI 서비스를 적어 보고, 다음 주에는 정보 등급 표 한 장을 만들어 공유해 보세요. 이게 왜 중요하냐면요, 기준이 생기는 순간 직원들은 눈치 보지 않고 AI의 편리함을 누리고, 담당자는 막는 사람이 아니라 길을 열어 주는 사람이 되거든요. 보안 규칙이 업무를 돕는다는 경험이 한 번 쌓이면 다른 보안 안내도 훨씬 부드럽게 받아들여져요. 한 장짜리 기준이 그 좋은 흐름의 첫 단추가 되어 줄 거예요.

• 1단계 현황 파악 — 부서별로 어떤 AI 도구를 어떤 업무에 쓰는지 가볍게 물어보기(적발이 아니라 현황 파악이라는 점을 먼저 알리기)
• 2단계 허용 환경 지정 — 회사가 약관·보관·학습 조건을 확인한 환경을 정하고, 확인한 날짜를 함께 적어 두기
• 3단계 입력 기준표 — 정보 등급 × 이용 환경 표를 우리 회사 용어로 옮겨 붙이기
• 4단계 문의 창구 — 애매할 때 보안·개인정보 담당자에게 물을 수 있는 메일이나 채널 하나 정하기
• 5단계 예시와 재검토 — 넣어도 되는 예와 안 되는 예를 몇 개씩 붙이고, 약관이 바뀌거나 새 도구를 들일 때 다시 보기