직원 40명인 식자재 유통 회사가 있다고 해 보겠습니다. 영업팀 대리가 월말 거래처 단가 인상 안내문을 쓰다가, 거래처별 단가표와 담당자 연락처를 통째로 복사해 개인 ChatGPT 계정에 붙여 넣습니다. 안내문은 10분 만에 깔끔하게 나왔고 대리는 일을 잘 해냈다고 생각합니다. 회사에는 이 일을 막는 규칙도, 허락하는 규칙도 없었습니다. 지금 많은 회사의 모습이 이렇습니다.

금지하면 끝나는 문제가 아닙니다

이 문제를 가장 먼저 크게 겪은 국내 회사는 삼성전자였습니다. 이코노미스트 보도(2023년 3월 30일)에 따르면 삼성전자 반도체(DS) 부문은 2023년 3월 11일부터 사업장 안에서 ChatGPT 사용을 허용했는데, 20일이 안 돼 정보 유출 사고 3건이 확인됐습니다. 설비 계측 데이터베이스를 내려받는 프로그램의 소스 코드를 오류를 잡으려고 통째로 넣은 경우, 수율·불량 설비를 파악하는 프로그램 소스를 넣고 최적화를 요청한 경우, 회의 녹음을 글로 바꿔 회의록을 만들어 달라고 넣은 경우였습니다. 회사는 질문 하나에 올릴 수 있는 용량을 1,024바이트로 줄이는 긴급 조치를 했습니다.

한 달 남짓 뒤인 2023년 5월 2일, 삼성전자는 회사 컴퓨터·태블릿·휴대폰과 사내망에서 생성형 AI 사용을 원칙적으로 금지한다고 직원들에게 알렸습니다(파이낸셜뉴스 보도). 개인 기기로 쓸 때도 회사 관련 정보는 넣지 말라고 했습니다. 그런데 3년 뒤인 2026년 6월 22일, 같은 회사가 국내 전 임직원과 DX 부문 전 세계 임직원에게 ChatGPT 엔터프라이즈와 코덱스를 제공하기 시작했습니다. 머니투데이는 이 도입이 회사의 보안 정책과 거버넌스 체계 안에서 이뤄진다고 전했습니다.

이 과정이 보여 주는 것은 분명합니다. 막는 것은 임시 조치였고, 최종 답은 “회사가 관리하는 도구를, 정해진 규칙 안에서 쓰게 한다”였습니다. 대기업만의 이야기가 아닙니다. 규칙이 없는 작은 회사일수록 직원들은 각자 판단으로 개인 계정을 씁니다.

직원들은 이미 쓰고 있고, 이미 넣고 있습니다

마이크로소프트와 링크드인이 31개국 3만 1천 명을 조사한 「2024 업무 동향 지표」(2024년 5월)에서 지식 노동자의 75%가 업무에 AI를 쓴다고 답했고, AI 사용자의 78%는 회사가 준 것이 아닌 자기 도구를 가져와 쓴다고 했습니다. 회사에서 AI 교육을 받은 사람은 AI 사용자의 39%뿐이었습니다. 이를 BYOAI(Bring Your Own AI), 회사 몰래 쓰는 AI를 섀도 AI라고 부릅니다.

무엇을 넣는지에 대한 조사도 있습니다. 아래 표는 두 조사의 숫자를 모은 것입니다.

조사(시점) 대상 핵심 숫자
텔러스 디지털(2025년 1월 조사) 직원 5천 명 이상 미국 기업에서 업무에 AI를 쓰는 1,000명 개인 계정으로 접속 68%, 민감한 정보를 넣은 적 있음 57%, 회사가 의무 AI 교육을 함 24%
같은 조사, 넣은 정보의 종류 같은 대상 이름·주소·연락처 같은 개인정보 31%, 미공개 제품·프로젝트 정보 29%, 고객 정보 21%, 매출·이익률 같은 재무 정보 11%
베리타스(2023년 12월 조사) 11개국 직장인 1만 1,500명 중 한국 500명 한국 응답자 매주 사용 57%, 고객·직원·재무 같은 민감 정보 입력 경험 32%, 회사가 허용·불허 지침을 줬다 59%, 지침이나 교육을 원한다 80%

텔러스 디지털은 기업용 AI 플랫폼을 파는 회사라서 결과를 읽을 때 그 점을 감안해야 합니다. 그래도 방향은 같습니다. 같은 텔러스 조사에서 회사가 준 AI가 있는데도 개인 계정을 함께 쓴다는 응답이 22%였고, 응답자의 84%는 앞으로도 AI를 계속 쓰고 싶다고 했습니다. 직원들이 원하는 것은 쓰지 말라는 말이 아니라, 무엇은 되고 무엇은 안 되는지에 대한 분명한 선입니다. 한국 응답자의 80%가 지침을 원한다고 답한 것도 같은 이야기입니다.

직원들은 이미 쓰고 있고, 이미 넣고 있습니다 관련 장면
AI 생성 이미지

같은 AI라도 계정에 따라 데이터 처리가 다릅니다

규칙을 만들기 전에 알아야 할 사실이 하나 있습니다. 같은 회사의 AI라도 개인용 요금제와 기업용 요금제는 입력한 내용을 다루는 방식이 다릅니다. 예를 들어 앤트로픽은 2025년 8월 28일 Claude 개인용 요금제(Free, Pro, Max)의 약관을 바꿔, 이용자가 허용하면 대화를 모델 학습에 쓰고 보관 기간도 5년으로 늘린다고 밝혔습니다. 허용하지 않으면 기존대로 30일입니다. 같은 발표에서 팀·엔터프라이즈 요금제와 API(프로그램끼리 연결해 쓰는 방식)는 이 변경과 무관하다고 했습니다.

다른 서비스도 대체로 기업용 계약에서는 입력 내용을 학습에 쓰지 않는다고 약관에 밝히지만, 세부 조건과 보관 기간은 서비스와 시점마다 다르고 바뀌기도 합니다. 그래서 규칙에는 “어떤 AI를 쓰느냐”보다 “어떤 계정으로 쓰느냐”를 적어야 합니다.

개인정보보호위원회가 2026년 5월 19일 낸 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」도 같은 점을 짚습니다. 서비스를 쓰기 전에 입력 내용이 학습에 쓰이는지 확인하고, 원하지 않으면 학습 활용을 끄라고 권합니다. 대화를 지워도 서버나 백업에 일정 기간 남을 수 있으니 보관 정책을 확인하라고 하고, 업무 자료를 넣기 전에는 소속 조직의 AI 이용 지침과 승인된 도구인지를 먼저 확인하라고 안내합니다. 주민등록번호, 여권번호, 계좌번호, 비밀번호, 인증코드는 처음부터 넣지 않는 것이 원칙이라고도 했습니다.

도구를 승인하기 전에 담당자가 확인할 항목은 다음과 같습니다.

확인 항목 왜 보나
입력 내용을 모델 학습에 쓰는가, 끌 수 있는가 회사 자료가 다른 사람의 답변 재료가 될 수 있는지
대화 기록을 얼마나 보관하고 삭제는 어떻게 되나 지운 뒤에도 남는 기간
서버는 어느 나라에 있나 고객 개인정보를 넣으면 국외 이전 문제가 생길 수 있음
관리자가 계정을 만들고 회수할 수 있나 퇴사자 계정에 남은 대화 관리
메일·드라이브 같은 외부 연동 권한을 좁힐 수 있나 AI가 볼 수 있는 범위를 업무에 필요한 만큼만

정보 등급표: 넣어도 되는 것과 안 되는 것

직원이 매번 판단하기 어려운 이유는 “민감한 정보”라는 말이 너무 넓기 때문입니다. 회사 자료를 세 등급으로 나누고 예시를 붙여 두면 판단이 빨라집니다. 아래는 앞의 유통 회사를 떠올리며 만든 예입니다.

등급 예시 개인 계정 AI 회사 승인 AI
초록: 공개된 정보 홈페이지 문구, 보도자료, 공개된 법령, 일반적인 엑셀 함수 질문 사용 가능 사용 가능
노랑: 내부 정보 회의록, 업무 매뉴얼, 내부 보고서 초안, 거래처 이름을 뺀 매출 추이 사용 금지 사용 가능, 거래처·사람 이름은 가려서
빨강: 기밀·개인정보 거래처별 단가표와 계약 조건, 고객·직원 연락처, 급여, 미공개 신제품, 소스 코드, 비밀번호·인증코드, 주민등록번호·계좌번호 사용 금지 원칙적으로 금지, 꼭 필요하면 책임자 승인

표의 핵심은 노랑 등급입니다. 회의록이나 매뉴얼은 AI로 정리하면 효과가 큰 자료라서, 무조건 막으면 직원들은 다시 개인 계정으로 돌아갑니다. 회사 승인 도구에서는 쓸 수 있게 열어 두는 대신, 사람 이름과 거래처 이름을 “A사”, “담당자1”처럼 바꿔 넣는 습관을 함께 가르칩니다. 개인정보위 가이드도 하나하나는 사소해 보이는 정보가 여러 개 모이면 특정인을 알아볼 수 있게 된다고 경고합니다. “김 과장, 부산 지점, 9월 병가”는 이름을 빼도 누구인지 드러납니다.

정보 등급표: 넣어도 되는 것과 안 되는 것 관련 장면
AI 생성 이미지

결과물의 책임은 사람에게 있습니다

넣는 것만큼 중요한 것이 받아서 쓰는 것입니다. 2023년 6월 22일 미국 뉴욕 연방법원은 ChatGPT가 지어낸 판례를 그대로 인용한 서면을 낸 변호사 두 명과 소속 로펌에 5,000달러 제재금을 물렸습니다. 판사는 AI를 쓰는 것 자체에 문제가 있는 것은 아니라면서도 “기존 규칙은 변호사에게 서면의 정확성을 확인하는 관문 역할을 맡긴다”고 썼습니다(LawNext 보도).

회사 업무로 바꾸면 이렇습니다. AI가 쓴 견적서의 단가, 계약서 검토 의견, 법령 해석, 거래처에 나가는 메일은 보낸 사람의 이름으로 나갑니다. 그래서 규칙에는 “외부로 나가는 문서의 숫자와 근거는 원본과 대조한 뒤 보낸다”는 문장이 들어가야 합니다. AI가 만든 결과물이라는 이유로 책임이 옮겨 가지 않는다는 점을 직원들이 알아야 합니다.

한 장짜리 사내 AI 사용 규칙 만들기

규칙은 길수록 읽히지 않습니다. 직원이 한 번 읽고 기억할 수 있도록 A4 한 장에 아래 일곱 가지를 적는 것으로 충분합니다. 각 항목 옆의 문장은 그대로 고쳐 써도 되는 예시입니다.

항목 규칙 문장의 예
1. 승인된 도구 업무에는 회사가 발급한 ○○ 기업용 계정만 씁니다. 다른 도구가 필요하면 아래 담당자에게 신청합니다.
2. 정보 등급 초록·노랑·빨강 등급표를 따릅니다. 애매하면 빨강으로 봅니다.
3. 절대 금지 주민등록번호, 계좌번호, 비밀번호, 인증코드, 거래처별 단가와 계약 조건, 소스 코드는 어떤 AI에도 넣지 않습니다.
4. 가리기 노랑 등급 자료는 사람·거래처 이름을 바꿔 넣습니다.
5. 검증 외부로 나가는 문서의 숫자, 날짜, 법령, 출처는 원본과 대조한 뒤 보냅니다.
6. 연동 메일·드라이브·메신저 연동은 담당자 승인 뒤 필요한 권한만 켭니다.
7. 사고 신고 잘못 넣었다면 숨기지 말고 바로 담당자에게 알립니다. 신고한 사람을 탓하지 않습니다.

마지막 항목이 생각보다 중요합니다. 실수를 말하면 혼난다고 느끼는 회사에서는 사고가 조용히 묻히고, 같은 실수가 반복됩니다. 텔러스 조사에서 회사 지침을 어겨도 아무 일이 없다는 응답이 42%였는데, 처벌을 세게 하는 것보다 신고 창구와 담당자를 분명히 하는 편이 실제로 지켜지는 규칙을 만듭니다.

규칙을 만든 뒤에는 세 가지를 같이 해야 효과가 납니다. 첫째, 기업용 계정을 실제로 나눠 줍니다. 쓸 도구 없이 금지 목록만 주면 섀도 AI가 늘어날 뿐입니다. 둘째, 30분이라도 직원 교육을 합니다. 등급표의 예시를 자기 부서 자료로 바꿔 보는 연습이면 충분합니다. 셋째, 분기마다 한 번 규칙을 다시 봅니다. 서비스 약관과 회사가 쓰는 도구가 바뀌기 때문입니다.

정리하며

직원들은 이미 AI를 쓰고 있고, 규칙이 없으면 각자의 판단으로 개인 계정을 씁니다. 삼성전자가 금지에서 기업용 도입으로 옮겨 간 3년이 보여 주듯, 오래가는 답은 막는 것이 아니라 회사가 관리하는 도구와 분명한 선을 주는 것입니다. 승인 도구 하나, 정보 등급표 한 장, 검증과 신고 규칙만 있어도 앞의 영업팀 대리는 단가표 대신 거래처 이름을 가린 안내문 초안만 넣었을 것입니다.

직원들이 이 규칙 안에서 AI를 업무에 제대로 쓰도록 교육이 필요하다면 AI 교육·컨설팅에서 어떻게 진행하는지 볼 수 있습니다.

참고한 자료