대응 절차와 시나리오 훈련

2. 대응 절차와 시나리오 훈련

2.1 72시간의 시간표

앞 절의 법적 의무를 실제 시간 축 위에 놓으면 다음과 같은 대응 시간표가 됩니다. 모든 시간은 사고를 알게 된 순간부터 셉니다.

2.2 AI 유출 사고에 특화된 조치

일반적인 유출 대응에 더해, AI 서비스라는 특성 때문에 추가로 해야 할 일들이 있습니다.

증거를 먼저, 삭제는 그다음: 어떤 내용이 들어갔는지 스스로 입증할 수 있어야 피해 범위를 확정하고 통지 내용을 쓸 수 있습니다. 삭제 전에 해당 대화의 화면을 갈무리하고, 입력된 원본 파일과 시각을 기록합니다. 그다음 대화와 업로드 파일을 삭제합니다.

학습 사용 여부 확인과 차단: 사용된 계정의 학습 설정을 확인합니다. 학습 허용 상태의 개인 계정이었다면 즉시 설정을 끄고 대화를 삭제합니다. 필요하면 해당 AI 서비스의 개인정보 보호 문의 채널을 통해 데이터 삭제를 요청합니다. 주요 서비스들은 개인정보 관련 요청을 접수하는 공식 창구를 운영합니다.

계정과 경로 정리: 사고에 사용된 계정이 개인 계정이라면 업무 사용을 중단시키고, 같은 경로로 다른 입력이 더 있었는지 본인 확인과 함께 대화 기록을 점검합니다. 한 번 발견된 사고 뒤에는 대개 발견되지 않은 같은 유형의 사용이 더 있습니다.

AI 회사의 계약 조건 확인: 기업용 계약이라면 데이터 보존 기간, 삭제 요청 절차, 사고 협조 조항이 계약서에 있습니다. 법무팀과 함께 확인해 활용합니다.

2.3 시나리오 훈련

세 가지 상황을 놓고 판단해 봅니다. 각 시나리오마다 유출인가, 신고 대상인가, 첫 1시간에 무엇을 하는가 세 가지를 스스로 답한 뒤 해설을 읽으세요.

시나리오 1: 신입 CS 직원이 상담 품질을 분석하겠다며 고객 1,200명의 이름·전화번호·상담 내용이 담긴 엑셀 파일을 개인 무료 계정 ChatGPT에 업로드했습니다. 다음 날 팀장이 이 사실을 알게 됐습니다.

회사의 관리 범위를 벗어난 외부 전송이므로 유출로 판단하고 대응해야 합니다. 1천 명 이상이므로 신고 요건에 해당하고, 상담 내용에 건강 등 민감정보가 섞여 있는지도 확인해야 합니다. 첫 1시간에는 보고, 해당 대화 화면 갈무리, 파일·대화 삭제, 학습 설정 확인, 그리고 그 계정으로 다른 업로드가 없었는지 확인이 필요합니다. 시계는 팀장이 알게 된 시점부터 돌아갑니다.

시나리오 2: 개발자가 결제 오류를 잡으려고 고객 3명의 이메일과 전화번호가 포함된 로그를 회사가 계약한 Enterprise 계정에 붙여넣었습니다. 회사 지침에는 로그 입력 전 개인정보 마스킹 규정이 있었지만 지키지 않았습니다.

회사 계약 환경 안에서의 처리라 시나리오 1과는 결이 다르지만, 지침 위반이며 위탁·국외 이전 관점의 점검이 필요합니다. 1천 명 미만이고 민감·고유식별정보가 없으며 외부의 불법 접근도 아니므로 신고 의무 요건에는 해당하지 않을 가능성이 크지만, 최종 판단은 보호책임자와 법무가 합니다. 사내 절차로는 기록, 해당 대화 삭제, 당사자 교육이 필요합니다. 이 시나리오의 교훈은 기업용 계정이 규칙을 대신해 주지 않는다는 것입니다.

시나리오 3: 인사 담당자가 직원 한 명의 휴직 관련 서류를 요약하려고 개인 계정 AI에 입력했습니다. 서류에는 해당 직원의 진단명이 포함되어 있었습니다.

단 한 명이지만 건강 정보, 즉 민감정보입니다. 민감정보 유출은 건수와 무관하게 신고 요건에 해당하므로, 유출로 판단된다면 1명분 사고라도 신고를 검토해야 합니다. 당사자인 직원에 대한 통지 의무도 있습니다. "규모가 작으니 조용히 넘어가자"는 판단이 가장 위험한 시나리오입니다.

2.4 사고 보고의 첫 문서

발견자가 보호책임자에게 보고할 때 필요한 정보는 다섯 가지입니다. 이 다섯 줄이 채워져야 이후 모든 판단이 가능합니다.

1. 언제: 입력이 발생한 시각 / 사실을 알게 된 시각
2. 무엇을: 입력된 정보의 항목(이름, 전화번호, 건강 정보 등)과 인원수
3. 어디에: 서비스명, 계정 종류(개인/회사), 학습 설정 상태
4. 어떻게: 입력 경위(붙여넣기, 파일 업로드, 화면 캡처 등)
5. 현재 상태: 삭제 여부, 증거 확보 여부, 추가 입력 가능성

이 서식을 사내 메신저 템플릿이나 신고 채널에 미리 등록해 두면, 사고 당일 발견자가 무엇을 보고해야 할지 몰라 허비하는 시간을 없앨 수 있습니다.

2.5 사고 이후의 회사

72시간이 지나고 통지와 신고가 끝나면, 남는 일은 재발 방지입니다. 이때 흔한 실패가 두 가지 있습니다.

하나는 사람을 벌하는 것으로 끝내는 것입니다. 입력한 직원을 징계하고 상황을 종료하면, 다음 사고는 같은 자리에서 다시 나되 이번에는 아무도 신고하지 않습니다. 물어야 할 질문은 "왜 그 직원은 그 방법밖에 없다고 느꼈는가"입니다. 승인된 도구가 없었는지, 규칙이 없었는지, 교육이 없었는지를 고치는 것이 재발 방지입니다.

다른 하나는 전면 금지로 회귀하는 것입니다. 3부에서 본 대로 금지는 사용을 없애는 것이 아니라 보이지 않게 만듭니다. 사고 후의 올바른 방향은 통제를 포기하는 것도 사용을 포기하는 것도 아닌, 안전하게 쓸 수 있는 길을 넓히는 것입니다.