체크리스트와 배포 자료
1. 체크리스트와 배포 자료
1.1 처음 세 질문으로 돌아가기
강의를 시작하며 던졌던 세 질문입니다. 이제 답할 수 있는지 확인해 보세요.
고객 문의 메일을 이름·전화번호가 든 채로 ChatGPT에 붙여넣었다면 유출인가: 상황에 따라 유출로 판단될 수 있습니다. 특히 개인 계정이라면 회사의 관리 범위를 벗어난 외부 전송입니다. 애초에 붙여넣기 전에 삭제·치환으로 가공하면 같은 품질의 답을 안전하게 얻을 수 있다는 것이 2부의 실습이었습니다.
회사 계정이면 무엇이든 입력해도 되는가: 아닙니다. 기업용 계정은 학습에 쓰이지 않을 뿐, 외부 전송·저장이라는 사실은 그대로입니다. 입력 금지 목록은 계정 종류와 무관하게 적용됩니다.
고객 1,200명 명단이 업로드된 사실을 알았다면: 시계는 알게 된 순간부터 갑니다. 즉시 보고하고 증거를 확보한 뒤 삭제하고, 72시간 안에 정보주체 통지와 개인정보보호위원회·KISA 신고를 진행해야 합니다. 1천 명 이상이므로 신고 요건에 해당합니다.
1.2 개인용 체크리스트
책상 앞에 붙여둘 수 있는 분량으로 줄였습니다.
입력하기 전
- 이 내용에 사람이 있는가(이름, 연락처, 특정할 수 있는 단서)
- 회사 밖으로 나가면 곤란한 정보인가(영업비밀, 코드, 인증 정보)
- 원본 그대로 넣을 필요가 있는가(삭제·치환·마스킹·범주화 먼저)
- 파일·스크린샷이라면, 보이는 것 외의 정보(다른 열, 다른 시트, 화면 구석)까지 확인했는가
- 지금 쓰는 계정이 회사가 승인한 계정인가
평소에
- 개인 계정의 학습 설정을 꺼두었는가
- 업무 정보가 들어간 오래된 대화를 정리했는가
- 판단이 안 설 때 물어볼 담당자를 알고 있는가
실수를 발견하면
- 혼자 수습하지 않고 즉시 보고했는가
- 삭제하기 전에 화면을 갈무리했는가
1.3 관리자용 체크리스트
팀장급 이상, 또는 정보보호 담당자를 위한 점검 항목입니다.
- 회사가 승인한 AI 도구와 계정 목록이 문서로 존재하는가
- 입력 금지·가공 후 입력·자유 입력의 3단 구분이 우리 회사 문서 이름으로 구체화되어 있는가
- 기업용 플랜 계약에 학습 미사용 조건이 들어 있는지 확인했는가
- 실수 신고 채널이 있고, 불이익 없음이 명시되어 있는가
- 유출 신고처(개인정보보호위원회, KISA)와 사고 보고 서식이 대응 문서에 미리 적혀 있는가
- 72시간 시간표에 따라 움직일 담당자(보호책임자, 법무, 홍보)가 지정되어 있는가
- 전 직원 교육을 언제 했고, 다음 교육이 언제인가
1.4 회사로 돌아가서 이번 주에 할 일
교육의 효과는 일주일 안에 행동으로 옮긴 것만 남습니다. 세 가지만 고르세요.
- 자기 계정 점검: 업무에 쓰는 AI 계정의 학습 설정을 확인하고, 개인 계정이라면 끕니다. 업무 정보가 들어간 과거 대화를 정리합니다. 오늘 당장 10분이면 됩니다.
- 팀에 3단 구분 공유: 우리 팀에서 자주 다루는 문서를 입력 금지·가공 후 입력·자유 입력으로 나눠 팀 채널에 공유합니다. 완벽하지 않아도 됩니다. 존재하는 목록이 완벽한 계획보다 낫습니다.
- 신고처 문서화: 사고 보고 서식(4부 2.4)과 신고처 연락처를 팀 위키나 공유 문서에 등록합니다. 쓸 일이 없기를 바라면서, 쓸 일이 생기면 1분 안에 찾을 수 있게 합니다.
1.5 참고 자료
- 개인정보보호위원회(www.pipc.go.kr): 개인정보보호법령, 생성형 AI 관련 안내서와 의결례를 확인할 수 있습니다.
- 개인정보 포털(privacy.go.kr): 유출 신고 접수와 사업자용 자료를 제공합니다.
- KISA 개인정보침해 신고센터(privacy.kisa.or.kr, 전화 118): 침해 신고와 상담 창구입니다.
- 각 AI 서비스의 데이터 정책은 해당 회사의 공식 문서에서 도입 시점마다 원문을 다시 확인하세요. 이 강의의 정책 설명은 2026년 상반기 기준입니다.