초록
업무에 AI를 쓰기 시작하면 반드시 부딪히는 질문이 있습니다. "이 자료를 올려도 되나." 이 질문에 대한 사내 답변은 대개 두 극단입니다. "대외비니까 절대 안 된다"거나 "요즘 다들 쓰는데 뭐 어때"거나. 둘 다 판정 기준이 아니라서 실무자는 매번 감으로 결정하게 되고, 그러다 사고가 납니다. 이 글은 자료를 다섯 등급으로 나누고 각 등급에서 무엇이 가능한지 정리합니다. 이어서 사내 규정보다 먼저 확인해야 하는 계약상 비밀유지 조항의 문제, 개인정보가 섞였을 때의 처리 절차, 서비스 설정에서 확인할 항목을 다룹니다. 마지막으로 회사 차원에서 규정을 만들 때 최소한으로 필요한 한 장짜리 문서의 구성을 제시합니다. 법률 자문이 아니라 실무 판단 기준입니다.
1. 서론
이런 상황이 매일 벌어집니다.
담당자가 고객 문의 답변을 빨리 쓰려고 AI에 문의 내용을 붙여넣습니다. 거기엔 고객 이름과 주문번호와 전화번호가 들어 있습니다.
이 행동이 문제인지 아닌지 그 담당자는 모릅니다. 회사도 알려 준 적이 없습니다. 그리고 대부분의 회사에서 이 일은 아무도 모르게 이미 일어나고 있습니다.
금지가 답이 아닌 이유는 분명합니다. 금지하면 안 쓰는 게 아니라 숨겨서 씁니다. 개인 계정으로, 개인 휴대폰으로. 그러면 통제는 더 어려워집니다.
필요한 것은 금지가 아니라 판정 기준입니다. 실무자가 3초 안에 "이건 되고 저건 안 된다"를 판단할 수 있는 선. 이 글은 그 선을 그립니다.
2. 먼저 확인할 것 — 순서가 있습니다
자료 등급을 따지기 전에 확인할 것이 세 가지 있고, 순서가 있습니다.
1순위 — 계약상 비밀유지 조항
사내 규정보다 먼저입니다. 이 순서를 헷갈리는 경우가 많습니다.
대행사, 외주 개발, 컨설팅, 디자인 스튜디오처럼 남의 회사 자료를 다루는 업종이라면, 그 자료의 처리 방식은 우리 회사가 정할 수 있는 것이 아닙니다. 계약서에 "제3자에게 제공하지 않는다"는 조항이 있고 AI 서비스가 제3자에 해당한다면, 우리 회사 규정이 아무리 허용적이어도 올리면 안 됩니다.
확인할 문장은 대개 이런 형태입니다.
- 비밀정보의 제3자 제공 금지
- 사전 서면 동의 없는 외부 반출 금지
- 재위탁 제한
애매하면 계약 담당자에게 물으십시오. "AI에 올려도 되냐"가 아니라 "외부 클라우드 서비스에 자료를 입력해도 되냐" 로 물으면 답이 빨리 나옵니다.
2순위 — 사내 규정과 계약된 서비스
회사가 이미 기업용 AI 서비스를 계약해 두었다면 그걸 쓰는 것이 가장 안전합니다. 기업용 계약은 대개 데이터 처리 조건이 개인용과 다릅니다.
3순위 — 자료 등급
여기서부터가 이 글의 본론입니다.
3. 자료 다섯 등급
실무에서 쓸 수 있게 다섯 칸으로 나눴습니다.
| 등급 | 예시 | 판정 |
|---|---|---|
| A. 이미 공개된 것 | 홈페이지 내용, 보도자료, 카탈로그, 공개 가격표 | 자유롭게 |
| B. 사내용이지만 민감하지 않은 것 | 업무 매뉴얼, 양식, 일반 회의록, 교육자료 | 대체로 가능 |
| C. 사람이 식별되는 것 | 고객 문의 원문, 거래처 담당자 메일, 지원자 서류 | 가공 후 가능 |
| D. 경영에 민감한 것 | 미공개 실적, 원가·마진, 전략, 미공개 계약 조건 | 원칙적으로 금지 |
| E. 남의 것 | 고객사 자료, NDA 대상 문서, 협력사 도면 | 판단 권한 없음 |
핵심은 C와 E입니다.
C는 가공하면 대부분 쓸 수 있습니다. 그런데 가공 없이 그대로 올리는 경우가 압도적으로 많습니다. 고객 문의를 통째로 복사해서 붙여넣는 그 순간이 대표적입니다.
E는 우리가 결정할 수 있는 사안이 아닙니다. 우리 회사가 아무리 허용해도 상대방 동의가 없으면 안 됩니다. 이 구분을 못 하는 회사가 의외로 많습니다.
4. C등급 자료 처리 — 5분 치환 절차
C등급을 쓰려면 개인 식별 정보를 지워야 합니다. 실무에서 쓰는 절차입니다.
무엇을 지우나
| 항목 | 처리 |
|---|---|
| 이름 | A고객, B담당자 |
| 전화·이메일 | 통째로 삭제 |
| 주소 | 삭제 (지역 정보가 필요하면 수도권 수준으로) |
| 주문번호·회원번호 | (주문번호) |
| 계좌·카드번호 | 절대 입력 금지 |
| 주민등록번호·여권번호 | 절대 입력 금지 |
| 생년월일 | 삭제 (연령대가 필요하면 30대) |
지워도 특정되는 경우를 조심하십시오
이름을 지워도 내용만으로 누구인지 알 수 있는 경우가 있습니다.
- 거래처가 세 곳뿐인데 "○○ 업종 거래처"라고 쓴 경우
- 특정 지역의 유일한 대리점
- 흔치 않은 상황이 상세히 기술된 문의
판단이 애매하면 올리지 마십시오. 그 자료 하나로 결과가 크게 달라지지 않습니다. 비슷한 사례를 직접 각색해서 넣는 편이 안전하고 효과도 비슷합니다.
반복 작업이라면 양식을 만드십시오
매번 손으로 지우는 것은 지속되지 않습니다. 자주 쓰는 유형이라면 붙여넣기 전에 거치는 양식을 만들어 두는 편이 낫습니다.
[문의 내용] (개인정보 지우고 붙여넣기)
[주문 상태] 결제완료 / 출고전 / 배송중 / 배송완료
[고객 등급] 신규 / 일반 / VIP
이렇게 칸을 나눠 두면 담당자가 자연스럽게 필요한 정보만 옮기게 됩니다. 규칙을 지키게 만드는 가장 좋은 방법은 규칙을 기억시키는 게 아니라 양식을 주는 것입니다.
5. 서비스 설정에서 확인할 두 가지
세부 화면은 서비스마다 다르고 자주 바뀌므로 찾아야 할 항목만 적습니다. (2026년 8월 기준)
① 내 대화가 모델 개선·학습에 쓰이는지. 대부분의 서비스가 설정에서 끌 수 있게 해 두었습니다. 업무용으로 쓴다면 켜져 있는지 확인해 두십시오. 기업용 요금제는 기본적으로 학습에 사용하지 않는 경우가 많습니다.
② 대화 기록 보관 기간과 삭제 방법. 실수로 민감한 내용을 넣었을 때 지우는 방법을 미리 알아 두십시오. 사고가 난 뒤 찾으면 늦습니다.
여기에 하나 덧붙이면, 직원 개인 계정으로 업무 자료를 다루는 상태가 가장 통제하기 어렵습니다. 회사가 계정을 제공하지 않으면 직원은 개인 계정을 씁니다. 규정을 만들 생각이라면 계정 제공을 함께 검토하는 편이 현실적입니다.
6. 회사 규정 한 장 만들기
거창한 문서가 필요하지 않습니다. 반 페이지면 실무에서 작동합니다. 구성은 이렇습니다.
## AI 서비스 업무 활용 지침 (2026-08 기준)
1. 사용 가능한 서비스
- 회사 계약: (있으면 명시). 없으면 "개인 계정 사용 시 아래 규칙 준수"
2. 올릴 수 있는 자료
- 가능: 공개 자료, 사내 매뉴얼·양식, 일반 업무 문서
- 가공 후 가능: 고객·거래처 정보가 포함된 자료 (이름·연락처·번호 삭제)
- 금지: 개인정보 원본, 미공개 재무·전략 자료, 고객사에서 받은 자료
3. 반드시 지킬 것
- 결과물을 검토 없이 외부로 보내지 않는다
- 계정 설정에서 학습 사용을 끈다
- 판단이 애매하면 (담당 부서/담당자)에게 묻는다
4. 사고가 났을 때
- 민감 정보를 입력한 경우 즉시 (담당자)에게 알린다
- 해당 대화를 삭제한다
4번을 꼭 넣으십시오. 처벌 조항만 있고 신고 경로가 없으면 사고를 숨깁니다. 숨겨진 사고가 가장 큰 피해로 이어집니다.
7. 자주 나오는 오해 네 가지
오해 1 — "개인정보만 아니면 다 된다." 아닙니다. E등급(남의 회사 자료)에는 개인정보가 없어도 계약 위반이 될 수 있습니다. 판단 기준이 개인정보 하나가 아닙니다.
오해 2 — "학습에 안 쓰인다고 하니 안전하다." 학습 사용 여부와 전송 자체는 별개입니다. 학습에 쓰지 않아도 자료는 외부 서버로 전송되었고, 계약상 "제3자 제공"에 해당할 수 있습니다.
오해 3 — "이름만 지우면 익명이다." ④에서 다룬 대로, 내용만으로 특정되는 경우가 있습니다. 특히 거래처 수가 적은 B2B에서요.
오해 4 — "회사가 금지했으니 아무도 안 쓴다." 씁니다. 개인 계정으로요. 그리고 그건 회사가 아무것도 모르는 상태라 더 위험합니다. 금지보다 허용 범위를 정해 주는 편이 실질적인 통제입니다.
8. 결론
세 문장으로 정리합니다.
첫째, 순서가 있습니다. 계약상 비밀유지 조항 → 사내 규정 → 자료 등급. 남의 회사 자료를 다루는 업종이라면 첫 번째에서 대부분 결론이 납니다. 우리 회사 판단으로 결정할 수 없는 자료가 있다는 사실이 출발점입니다.
둘째, C등급은 가공하면 대부분 쓸 수 있습니다. 실무에서 가장 자주 쓰는 자료(고객 문의, 거래처 메일)가 여기 속하고, 이름·연락처·번호를 지우는 5분 작업으로 해결됩니다. 문제는 그 5분을 아무도 안 한다는 것이고, 해법은 규칙을 외우게 하는 대신 양식을 주는 것입니다.
셋째, 금지는 통제가 아닙니다. 금지된 조직에서도 사람들은 씁니다. 다만 회사가 모르게 쓸 뿐입니다. 반 페이지짜리 지침과 신고 경로를 만드는 것이, 전면 금지보다 실제로 안전합니다.
팀에 비서를 나눠 줄 때 함께 넘겨야 할 것들은 팀에 나눠 주기 — 회사 자료의 선 편에 절차로 정리해 두었습니다. 회사 홈페이지에 챗봇을 붙이는 경우의 개인정보 처리 경로는 AI 상담 챗봇, 붙일 만한가에서, 웹사이트 쪽 고지 기준은 개인 사이트 쿠키·개인정보 안내에서 다룹니다.