넣기 전에 판단할 것

계약서를 요약하려고 파일을 끌어다 놓는 순간, 이름과 서명, 아직 공개하지 않은 조건도 함께 넘어갑니다. 답변의 정확성을 따지기 전에 그 자료를 이 도구에 줘도 되는지 판단해야 합니다. 이 절에서는 필요한 정보만 남기는 방법과 학습 설정 밖에서 확인할 기준을 알아보겠습니다.

1. 내 컴퓨터에 있다는 것과 줄 수 있다는 것

회사에서 읽을 수 있는 문서라고 해서 외부 AI 서비스에도 넣을 수 있는 것은 아닙니다. 업무상 열람할 권한과 다른 서비스로 전달할 권한을 구분합니다. 개인정보, 거래처와의 약속, 회사의 자료 관리 규칙이 함께 걸려 있을 수 있습니다.

개인정보보호위원회는 2025년 8월 생성형 AI 개발·활용을 위한 개인정보 처리 안내서를 공개했습니다. 기업·기관이 목적을 정하는 단계부터 적용·관리 단계까지 법적 고려 사항과 안전조치를 살피도록 한 자료입니다. 실무에서도 입력 버튼을 누를 때만 주의하는 데 그치지 않고, 어떤 자료를 무슨 목적으로 쓸지 먼저 정해야 합니다.

자료를 세 종류로 나눠 보면 시작하기 쉽습니다. 이미 공개된 자료, 조직 안에서만 쓰는 자료, 개인이나 거래 상대방의 정보가 든 자료입니다. 실제 문서에는 여러 종류가 섞여 있으므로 파일 전체를 한 번에 판단하기보다 필요한 부분을 살펴봅니다.

계약서를 요약하는 데 계약 상대방의 계좌번호가 꼭 필요한지 생각해 봅니다. 문장 구조를 고치는 일이라면 거래처 이름이나 실제 계약 금액도 필요하지 않을 수 있습니다. 목표를 좁히면 외부에 줄 자료도 줄어듭니다.

2. 이름을 지워도 남는 단서가 있습니다

비식별화는 자료에서 개인을 알아볼 단서를 줄이는 작업입니다. 이름을 “참가자 A”로 바꾸는 것부터 시작할 수 있지만, 그것만으로 끝나지는 않습니다. 작은 부서, 유일한 직책, 정확한 행사 날짜와 사연이 함께 남아 있으면 누군지 알아볼 수 있습니다.

가령 가상의 작은 조직에서 “지난주 승진한 유일한 팀장”이라는 설명을 남긴 채 이름만 지웠다고 해 보겠습니다. 그 조직을 아는 사람에게는 이름과 비슷한 역할을 합니다. 업무에 필요하지 않다면 직책과 시점도 덜어 내거나 넓은 범위로 바꾸는 편이 좋습니다.

이름을 가명으로 바꾼 자료가 곧바로 누구도 알아볼 수 없는 익명 자료가 되는 것은 아닙니다. 원문과 연결할 수 있는 표나 주변 정보가 남아 있을 수 있습니다. “이름을 지웠으니 안전하다”는 말로 모든 입력을 허용하지 않습니다.

정보를 줄인 뒤에도 목적을 달성할 수 있는지 확인합니다. 문의를 분류하는 데에는 “일정 변경 요청”이 필요하지만, 변경을 원한 건강 사정까지 꼭 필요하지는 않습니다. 필요한 사실과 개인의 사연을 나눠 보면 남길 내용이 더 분명해집니다.

이 작업을 실제 민감한 원문을 개인용 AI에 올린 다음 시키면 순서가 뒤집힙니다. 외부 전송이 허용되지 않은 정보는 전송 전에 덜어 내야 합니다. 실제 원문 처리에는 조직이 승인한 환경과 절차를 사용하고, 공개 도구로 연습할 때는 처음부터 가상의 자료를 씁니다.

3. 학습 설정은 허가증이 아닙니다

5-4절에서 살펴본 모델 개선 학습 설정을 껐다고 해서 어떤 자료든 넣어도 되는 것은 아닙니다. 서비스가 모델을 개선하는 데 쓰는지와, 대화를 보관하는지, 조직이 그 전송을 허용하는지는 따로 확인해야 합니다.

예를 들어 Google의 Gemini 도움말은 Keep Activity를 꺼도 서비스 제공과 피드백 처리를 위해 대화가 계정에 최대 72시간 보관될 수 있다고 안내합니다. 설정을 끄는 행동을 “서버에 아무것도 남지 않는다”로 이해하면 안 되는 이유입니다. 다른 서비스에도 같은 기간을 적용하지 말고 해당 안내를 읽습니다.

메모리와 대화 기록, 모델 개선 학습도 구분합니다. 나에 관한 내용을 다음 대화에 참고하는 기능을 끄는 것과, 이미 저장된 기록을 지우는 것은 다른 일입니다. 공유 링크나 함께 쓰는 자료 공간이 있다면 누가 볼 수 있는지도 확인해야 합니다.

확인할 때에는 서비스 이름만 보지 말고 실제 사용하는 계정과 계약 조건을 봅니다. 회사가 허용한 도구라도 개인 계정으로 접속했다면 승인한 조건과 다를 수 있습니다. 유료로 결제했다는 사실만으로 업무 자료의 입력 허용 여부를 판단하지 않습니다.

4. 사내 규칙을 일에 붙입니다

조직에는 사용할 수 있는 도구와 계정, 넣을 수 있는 자료, 확인이 필요한 담당자가 정해져 있어야 합니다. 카카오도 공개 기술윤리 보고서에서 외부 생성형 AI의 사내 활용에 따른 보안·저작권·개인정보·투명성 위험을 다루는 그룹 정책을 수립했다고 설명합니다. 다른 회사의 정책을 그대로 가져오기보다 자기 조직의 자료와 업무에 맞게 정해야 합니다.

규칙이 모호하다면 질문도 구체적으로 만듭니다. “AI 써도 되나요”보다 “외부 공개용 안내문을 고치려는데, 공개된 행사 정보만 이 계정에 넣어도 되나요”가 판단하기 쉽습니다. 목적, 자료 종류, 사용할 계정과 도구를 함께 알려야 담당자가 범위를 정할 수 있습니다.

승인받은 범위는 지시문과 자료 양식에도 남깁니다. 예를 들어 안내문 초안용 양식에는 승인된 일정과 준비물만 적게 하고, 연락처와 개인 사정은 받지 않도록 만들 수 있습니다. 사용자가 매번 기억해서 지우는 것보다 처음부터 불필요한 항목을 덜 받는 방식이 낫습니다.

입력 가능 여부가 아직 정해지지 않았다면 실제 원문을 넣지 않고 가상 자료로 형식과 지시를 먼저 시험합니다. 필요한 결과가 무엇인지 확인한 다음 승인된 환경에서 작업을 이어 갈 수 있습니다. 규칙이 준비될 때까지도 지시와 기준을 만드는 일은 진행할 수 있습니다.

5. 따라 해 보기

아래는 개인정보를 덜어 내는 연습을 위한 가상 메모입니다. 실제 고객 문의로 바꾸지 말고, 안내문 초안을 만드는 데 필요한 정보만 남겨 봅니다.

아래 자료는 전부 가상이야. 실제 인물·전화번호·회사 정보는 없어.
목표는 일정 변경 요청에 대한 안내문 초안을 준비하는 것이야.
정보를 최소한으로 줄이는 연습만 해 줘.

[가상 메모]
- 참가자 A, 전화번호 칸에는 [가상 연락처]가 적혀 있다.
- 가상의 작은 조직에서 유일한 특정 직책을 맡고 있다.
- 개인적인 건강 사유로 다음 회차로 옮길 수 있는지 문의했다.
- 승인된 안내: 일정 변경 가능 여부는 담당자 확인이 필요하다.
- 승인된 준비물: 공책과 필기도구다.
- 비공개 내부 예산 메모가 첨부돼 있으나 이 문의와 관계없다.

1. 필요한 정보와 덜어 낼 정보를 나누고 이유를 적어 줘.
2. 이름을 바꿔도 신원을 추측하게 할 조합이 있는지 찾아 줘.
3. 안내문 초안 작업에 넘길 최소한의 자료만 다시 써 줘.
4. 담당자 확인이 필요한 일정을 확정하거나 보상을 약속하지 마.
5. 이 결과만으로 법적 익명화나 실제 입력 승인이 끝났다고 말하지 마.

이런 답이 오면 잘된 것: 일정 변경 요청과 승인된 안내를 남기고, 연락처·직책·건강 사유·내부 예산은 덜어 냅니다.

이렇게 오면 이렇게 다시 말하기: 이름만 바꿨다면 “직책과 사연을 합쳐도 개인을 알아볼 수 있는지 보고, 업무 목적에 필요하지 않은 내용은 삭제해 줘”라고 말합니다.

결과를 받은 뒤에는 지워진 항목이 답변에 몰래 되돌아왔는지 봅니다. 실제 자료에서는 이런 정리를 마친 뒤에도 조직의 입력 기준을 통과해야 합니다. 다음 절에서는 고객에게 전달되는 답변에 어떤 책임과 운영 기준이 필요한지 살펴보겠습니다.

• 더 깊게: AI 보안 교재.

참고 자료

• 생성형 인공지능 개발·활용 위한 개인정보 처리 기준 제시한다, 개인정보보호위원회, 2025-08-06.
• 2024 카카오 그룹 기술윤리 보고서, 카카오, 발간사 2024-12-24.
• Manage & delete your activity in Gemini Apps, Google 도움말, 상시 갱신·2026-10-25 확인.