사내 이용 규칙 만들기

2. 사내 이용 규칙 만들기

2.1 전면 금지가 실패하는 이유

사고 사례를 접한 경영진이 가장 먼저 떠올리는 대책은 전면 금지입니다. 그런데 금지는 대체로 이렇게 흘러갑니다.

AI로 30분에 끝내던 일을 다시 3시간 걸려 하라는 지시를 직원들은 오래 따르지 않습니다. 회사 PC에서 막히면 개인 휴대폰으로, 회사 계정이 없으면 개인 계정으로 씁니다. 이렇게 통제 밖에서 이루어지는 사용을 그림자 AI라고 부릅니다. 회사는 누가 무엇을 입력하는지 볼 수 없게 되고, 교육도 설정 점검도 불가능해집니다. 금지가 만드는 것은 안전이 아니라 가시성의 상실입니다.

그래서 현실적인 답은 "무엇을 어떻게 쓸지"를 정해 주는 것입니다. 쓸 수 있는 길을 열어주되, 그 길에 안전장치를 두는 방식입니다.

2.2 규칙의 세 층

사내 AI 이용 규칙은 세 층으로 나누면 설계하기 쉽습니다.

도구 층, 무엇으로 쓰는가: 회사가 승인한 서비스와 계정을 지정합니다. "업무에는 회사 Team 계정의 ChatGPT와 Claude만 사용한다. 개인 계정 사용 금지"처럼 목록을 명시합니다. 승인 목록에 없는 새 도구를 쓰고 싶으면 신청하는 절차도 함께 둡니다. 신청 절차가 없으면 직원들은 신청 대신 몰래 사용을 택합니다.

데이터 층, 무엇을 넣는가: 2부에서 만든 3단 구분(입력 금지, 가공 후 입력, 자유 입력)을 회사 업무에 맞게 구체화합니다. 추상적인 "중요 정보 입력 금지"가 아니라, 우리 회사에서 실제로 오가는 문서 이름으로 적어야 합니다. "고객 상담 DB 추출 자료, 임직원 인사평가서, 계약서 원본은 입력 금지"처럼 씁니다.

사람 층, 누가 어떻게 지키는가: 입사자·전직원 교육 주기, 판단이 어려울 때 물어볼 담당자, 위반 시 처리 절차, 그리고 사고 발생 시 신고 경로(4부)를 정합니다.

2.3 복사해서 시작할 수 있는 문안

아래는 규칙의 최소 골격입니다. 이대로 확정하라는 것이 아니라, 백지에서 시작하지 않도록 돕는 초안입니다. 회사 상황에 맞게 고쳐 쓰세요.

생성형 AI 업무 이용 지침 (초안)

1. 승인 도구
   - 업무 목적의 생성형 AI 사용은 회사가 계약한 다음 계정으로만 한다.
     : (예: ChatGPT Business 회사 워크스페이스, Claude Team 회사 워크스페이스)
   - 개인 계정, 무료 계정으로 업무 정보를 처리하지 않는다.
   - 새로운 AI 도구가 필요한 경우 정보보호 담당자에게 사전 승인을 신청한다.

2. 입력 금지 정보
   - 고객·임직원·지원자의 개인정보(이름, 연락처, 이메일, 주소 등)
   - 주민등록번호 등 고유식별정보, 건강 등 민감정보가 포함된 모든 자료
   - 고객 데이터베이스에서 추출한 자료 일체(건수 무관)
   - 소스코드 중 인증 정보(API 키, 비밀번호)가 포함된 부분
   - 비밀유지약정이 적용되는 문서, 미공개 경영 정보

3. 가공 후 입력 가능 정보
   - 고객 문의 내용: 개인정보를 삭제·치환한 뒤 상황만 입력
   - 오류 로그: 개인정보와 인증 정보를 가린 뒤 입력
   - 문서 검토: 당사자를 특정할 수 있는 정보를 제거한 뒤 입력

4. 파일 업로드
   - 엑셀·문서 파일 업로드는 개인정보 포함 여부를 열 단위로 확인한 후에만 한다.
   - 화면 캡처 업로드 시 캡처 범위에 다른 정보가 섞이지 않았는지 확인한다.

5. 문의와 신고
   - 입력 가능 여부가 불확실한 경우: (담당자/채널)에 문의한다.
   - 입력 실수를 발견한 경우: 불이익 없이 즉시 (담당자/채널)에 신고한다.

마지막 줄의 "불이익 없이"는 장식이 아닙니다. 4부에서 보겠지만, 사고 대응의 성패는 최초 인지가 얼마나 빠른가에 달려 있고, 최초 인지의 대부분은 실수한 본인의 자진 신고에서 나옵니다. 신고하면 혼나는 조직에서는 신고가 사라지는 것이 아니라 사고가 숨겨집니다.

2.4 부서마다 위험이 다르다

같은 규칙이라도 부서별로 강조점이 다릅니다. 교육할 때 각 부서의 실제 업무 장면으로 이야기해야 규칙이 살아 움직입니다.

2.5 참고할 공식 자료

규칙을 정교하게 다듬을 때는 감독기구의 공식 자료를 참조하는 것이 안전합니다.

• 개인정보보호위원회는 생성형 AI 개발·활용 과정의 개인정보 처리 기준을 담은 안내서를 발간하고 있습니다. 위원회 홈페이지(www.pipc.go.kr)의 자료 게시판에서 최신 안내서를 확인할 수 있습니다.
• 한국인터넷진흥원(KISA)의 개인정보 포털(privacy.go.kr)에서도 사업자를 위한 개인정보 보호 자료를 제공합니다.

여기까지가 사고를 막는 이야기였습니다. 4부는 그럼에도 사고가 났을 때의 이야기입니다. 막는 규칙보다 중요한 것이 사고 후 72시간의 행동이라는 것을 보게 될 겁니다.