회사에서 ChatGPT 사용할 때 보안을 생각하지 않고 업무에 바로 활용하는 직원이 늘고 있습니다.
메일 문장을 다듬거나 보고서를 요약하고, 엑셀 수식을 만들고, 회의내용을 정리하는 데 생성형 AI를 사용하면 업무시간을 크게 줄일 수 있기 때문입니다.
문제는 편리함 때문에 회사 내부정보까지 그대로 입력하는 경우입니다.
예를 들어 거래처에서 받은 계약서를 통째로 붙여넣어 요약하거나, 고객 명단을 입력해 분석을 요청하거나, 개발 중인 프로그램의 소스코드를 그대로 올리는 상황을 생각해볼 수 있습니다.
직원 입장에서는 단순히 업무를 빨리 처리하려는 행동일 수 있습니다.
하지만 회사 입장에서는 어떤 정보가 외부 AI 서비스에 입력되고 있는지조차 파악하지 못하는 상황이 생길 수 있습니다.
따라서 ChatGPT를 무조건 사용하지 못하게 하는 것보다 무엇을 입력해도 되고 무엇은 입력하면 안 되는지 기준부터 만드는 것이 중요합니다.
회사에서 ChatGPT 사용이 늘어나는 이유
생성형 AI는 전문 개발자가 아니어도 바로 사용할 수 있다는 장점이 있습니다.
실제 회사에서는 다음과 같은 업무에 활용할 수 있습니다.
- 이메일 문장 작성
- 보고서 초안 작성
- 회의내용 요약
- 아이디어 정리
- 엑셀 함수 만들기
- 번역
- 코드 작성 보조
- 자료 분류
- 고객응대 문구 작성
이런 업무는 생성형 AI를 잘 활용하면 시간을 줄일 수 있습니다.
그래서 회사가 공식적으로 도입하지 않아도 직원 개인이 먼저 사용하는 경우가 생깁니다.
문제는 이때부터입니다.
회사가 사용 여부를 모르면 어떤 직원이 어떤 회사정보를 AI에 입력하는지도 관리하기 어려워집니다.
ChatGPT에 회사 정보를 입력하면 왜 주의해야 할까?
생성형 AI에 질문하기 위해서는 사용자가 내용을 입력해야 합니다.
업무용 질문을 자세하게 할수록 답변도 구체적으로 받을 수 있기 때문에 직원은 자연스럽게 실제 회사정보를 입력하게 될 수 있습니다.
예를 들어 다음과 같습니다.
이 고객 200명의 구매내역을 분석해서 VIP 고객을 골라줘.
분석 자체는 편리합니다.
하지만 고객 이름, 전화번호, 이메일, 구매내역 등이 그대로 포함되어 있다면 이야기가 달라집니다.
또 이런 상황도 있습니다.
이 계약서에서 우리 회사에 불리한 조항을 찾아줘.
계약서에는 거래조건뿐 아니라 회사명, 담당자, 가격, 기술정보가 들어 있을 수 있습니다.
즉, ChatGPT 보안에서 중요한 것은 AI 자체를 무조건 위험하다고 보는 것이 아니라 사용자가 어떤 데이터를 입력하는지를 관리하는 것입니다.
1. 고객 개인정보는 그대로 입력하지 않는 것이 좋다
가장 먼저 조심해야 할 것이 개인정보입니다.
다음 정보가 포함되어 있다면 특히 주의해야 합니다.
- 이름
- 전화번호
- 이메일
- 주소
- 주민등록번호
- 계좌번호
- 고객번호
- 구매내역
예를 들어 고객 불만 내용을 AI로 분류하고 싶다면 실제 이름이나 전화번호를 그대로 입력할 필요는 없습니다.
홍길동 / 010-1234-5678
대신
고객 A
처럼 식별할 수 없는 형태로 바꾼 뒤 작업할 수 있습니다.
AI를 사용할 때 가장 먼저 습관화하면 좋은 것이 바로 불필요한 개인정보 제거입니다.
2. 회사 비밀번호와 인증정보는 절대 입력하지 않는다
업무를 하다가 오류를 해결하기 위해 ChatGPT에 질문할 수 있습니다.
이때 실제 설정파일을 그대로 복사해 붙여넣으면 안에 중요한 인증정보가 포함될 수 있습니다.
대표적으로 다음과 같습니다.
- 아이디
- 비밀번호
- API Key
- Access Token
- Secret Key
- 인증서 비밀번호
- 서버 접속정보
- 데이터베이스 계정
예를 들어 프로그램 오류를 질문할 때 실제 API Key가 포함된 코드를 그대로 붙여넣기보다 해당 부분을 다음처럼 변경하는 것이 좋습니다.
API_KEY="실제키"
가 아니라
API_KEY="YOUR_API_KEY"
처럼 바꿔서 질문합니다.
비밀번호와 인증키는 AI뿐 아니라 이메일, 메신저 등 어떤 외부 서비스에도 불필요하게 공유하지 않는 것이 기본입니다.
3. 계약서와 견적서를 통째로 올리지 않는다
ChatGPT를 이용해 계약서를 요약하면 편리합니다.
하지만 계약서에는 생각보다 많은 회사정보가 들어갑니다.
- 계약금액
- 납품조건
- 고객사명
- 담당자
- 기술조건
- 위약조건
- 내부 협상내용
견적서 역시 마찬가지입니다.
제품 원가, 할인율, 공급가격과 같은 정보가 경쟁사에 알려지면 곤란할 수 있습니다.
AI를 이용해 문장을 검토해야 한다면 실제 회사명과 금액 등 민감한 부분을 제거하거나 가상의 값으로 변경한 뒤 사용하는 방법을 생각할 수 있습니다.
예를 들어,
A기업에 7억 8천만원으로 납품한다
대신
고객사 A에 ○억원 규모로 납품한다
처럼 바꾸는 것입니다.
4. 개발 중인 소스코드를 그대로 입력하지 않는다
개발자에게 ChatGPT와 같은 생성형 AI는 상당히 유용한 도구입니다.
오류를 찾거나 코드를 개선하고 새로운 함수를 작성하는 데 활용할 수 있습니다.
하지만 회사의 전체 소스코드를 그대로 입력하는 것은 별개의 문제입니다.
특히 다음 내용이 포함되어 있는지 확인해야 합니다.
- 회사만의 핵심 알고리즘
- 데이터베이스 구조
- 서버 주소
- 인증키
- 고객정보
- 내부 API
- 미공개 제품 기능
질문에 필요한 최소한의 코드만 떼어서 사용하고 회사 고유정보는 제거하는 것이 좋습니다.
개발업무에서는 문제 해결에 필요한 코드와 회사의 핵심 기술을 구분하는 습관이 중요합니다.
5. 출시 전 제품정보와 사업계획을 입력할 때 주의한다
아직 공개하지 않은 정보도 회사에서는 중요한 자산입니다.
예를 들어 다음과 같습니다.
- 신제품 출시일
- 신규 서비스 기획
- 연구개발 계획
- 투자계획
- 정부지원사업 제안서
- 기술개발 로드맵
- 특허 출원 전 아이디어
이런 내용을 AI에게 그대로 입력해 사업계획서를 작성하게 하는 것은 신중하게 판단해야 합니다.
특히 외부 공개 전인 기술 아이디어나 사업전략이라면 필요한 부분만 일반화해서 질문하는 방법이 좋습니다.
예를 들어,
우리 회사가 개발 중인 ○○ 제품의 2027년 출시전략을 만들어줘.
보다는
중소 제조기업이 새로운 산업용 장비를 출시할 때 필요한 시장진입 전략을 알려줘.
처럼 구체적인 회사정보 없이도 도움을 받을 수 있습니다.
6. 직원 인사정보를 그대로 입력하지 않는다
인사담당자도 AI를 활용하기 좋은 업무가 많습니다.
평가문구 작성, 채용공고 작성, 교육계획 수립 등이 대표적입니다.
하지만 실제 직원의 정보를 그대로 입력해 평가를 요청하는 것은 주의할 필요가 있습니다.
예를 들어,
김○○ 과장은 올해 실적이 이렇고 연봉은 얼마인데 승진시켜야 할까?
처럼 실제 인사정보를 입력하기보다 개인을 특정할 수 없도록 내용을 바꾸는 편이 좋습니다.
특히 다음 정보는 조심해야 합니다.
- 연봉
- 인사평가
- 징계내용
- 주민번호
- 연락처
- 건강 관련 정보
- 개인 상담내용
AI를 활용하더라도 사람을 특정할 필요가 없는 업무라면 익명화부터 하는 것이 안전합니다.
7. 고객사에서 받은 비공개 자료도 우리 마음대로 입력하면 안 된다
우리 회사 자료가 아니라고 해서 자유롭게 입력해도 되는 것은 아닙니다.
거래처로부터 받은 자료에는 NDA나 비밀유지 의무가 적용될 수 있습니다.
예를 들어 다음과 같은 자료입니다.
- 고객 요구사항
- 설계도면
- 제품사양서
- 입찰자료
- 미공개 견적
- 기술문서
- 시스템 구성도
직원이 편의를 위해 이런 자료를 생성형 AI에 올릴 경우 계약상 문제가 될 가능성도 생각해야 합니다.
따라서 회사 AI 사용규칙에는 우리 회사 정보뿐 아니라 고객과 협력사 정보도 포함시키는 것이 좋습니다.
그러면 회사에서 ChatGPT를 사용하면 안 될까?
그렇지는 않습니다.
업무에 활용할 수 있는 정보와 입력하면 안 되는 정보를 구분하면 됩니다.
예를 들면 다음과 같습니다.
| 활용하기 비교적 쉬운 업무 | 주의가 필요한 업무 |
|---|---|
| 일반적인 이메일 초안 | 실제 고객정보 입력 |
| 공개자료 요약 | 비공개 계약서 전체 입력 |
| 아이디어 브레인스토밍 | 미공개 사업계획 입력 |
| 일반적인 엑셀 함수 | 고객 데이터 업로드 |
| 공개된 코드 설명 | 핵심 소스코드 전체 입력 |
| 일반 번역 | 개인정보 포함 문서 번역 |
핵심은 AI 사용 여부가 아니라 입력 데이터의 민감도입니다.
중소기업용 ChatGPT 보안수칙 7가지
규정이 전혀 없는 회사라면 어렵게 만들 필요가 없습니다.
우선 다음 7가지만 직원들과 공유해도 좋습니다.
1. 개인정보 입력 금지
고객과 직원의 이름, 전화번호, 주소 등 개인을 식별할 수 있는 정보는 입력하지 않습니다.
2. 비밀번호와 인증키 입력 금지
ID, 비밀번호, API Key, Token 등 인증정보를 입력하지 않습니다.
3. 고객사 비공개 자료 입력 금지
NDA나 비밀유지 대상 자료는 외부 AI 서비스에 입력하지 않습니다.
4. 핵심 기술정보 입력 금지
소스코드, 설계도면, 연구자료 등 회사의 핵심 기술정보는 별도로 관리합니다.
5. 필요한 부분만 입력
문서 전체를 올리기보다 질문에 필요한 부분만 사용합니다.
6. 개인정보와 회사명을 제거
AI 사용 전에 실제 이름과 회사명을 고객 A, 업체 B처럼 바꿉니다.
7. AI 답변은 다시 확인
생성형 AI가 작성한 내용이 항상 정확한 것은 아니므로 계약, 법률, 기술, 재무처럼 중요한 내용은 담당자가 다시 검토합니다.
ChatGPT에 넣기 전에 10초만 확인해보자
직원들에게 복잡한 보안규정을 외우게 하는 것보다 하나의 질문을 습관화하는 것도 좋은 방법입니다.
“이 내용을 회사 밖 사람에게 이메일로 보내도 괜찮은가?”
괜찮다면 AI 입력도 상대적으로 부담이 적을 수 있습니다.
반대로 이메일로 외부 사람에게 보내기 곤란한 자료라면 AI에 그대로 입력하는 것도 다시 생각해봐야 합니다.
추가로 다음 네 가지를 확인해볼 수 있습니다.
- 개인정보가 있는가?
- 회사 기밀이 있는가?
- 고객사의 비공개 정보가 있는가?
- 로그인이나 인증정보가 있는가?
하나라도 해당된다면 그대로 입력하기보다 내용을 제거하거나 익명화하는 편이 좋습니다.
직원이 이미 ChatGPT를 사용하고 있다면 어떻게 해야 할까?
많은 회사에서 AI 도입을 결정하기 전에 직원들이 먼저 사용합니다.
이 상황에서 무조건 금지부터 하면 개인 계정으로 몰래 사용하는 이른바 Shadow AI 문제가 생길 수도 있습니다.
차라리 어떤 업무에 사용하고 있는지 파악하는 것이 먼저입니다.
1단계. 실제 사용현황 확인
직원들이 ChatGPT나 다른 생성형 AI를 어떤 업무에 사용하는지 조사합니다.
2단계. 입력 금지정보 결정
개인정보, 계약정보, 소스코드처럼 회사에서 보호할 자료를 정합니다.
3단계. 허용 업무 제시
메일 작성, 공개자료 요약, 아이디어 정리처럼 사용 가능한 업무도 알려줍니다.
4단계. 익명화 방법 안내
고객명과 직원명을 제거한 뒤 사용하는 방법을 교육합니다.
5단계. 정기적으로 규칙 업데이트
AI 서비스와 회사의 업무환경이 바뀌기 때문에 규칙도 한 번 만들고 끝내기보다 필요할 때 수정합니다.
사내 생성형 AI 사용 체크리스트
직원이 ChatGPT를 사용하기 전 다음 항목을 확인하도록 할 수 있습니다.
- 고객 개인정보가 포함되어 있지 않은가?
- 직원 개인정보가 포함되어 있지 않은가?
- 비밀번호나 API Key가 없는가?
- 비공개 계약정보가 없는가?
- 고객사 기밀자료가 아닌가?
- 미공개 사업계획이 포함되지 않았는가?
- 회사 핵심 기술정보가 없는가?
- 필요한 정보만 입력했는가?
- 회사명과 개인명을 제거할 수 없는가?
- AI 결과를 사람이 다시 확인했는가?
10개 가운데 하나라도 확신하기 어렵다면 자료를 그대로 입력하기 전에 담당자에게 확인하는 구조가 좋습니다.
생성형 AI 보안도 결국 계정과 데이터 관리다
앞서 살펴본 제로트러스트나 공급망 보안과 생성형 AI 보안은 완전히 별개의 문제처럼 보일 수 있습니다.
하지만 실제로는 공통점이 있습니다.
누가 어떤 데이터에 접근하고 어디로 전달할 수 있는지를 관리하는 것입니다.
ChatGPT를 사용한다고 갑자기 새로운 보안 원칙이 필요한 것은 아닙니다.
기존에 회사가 중요하게 관리하던 개인정보, 영업비밀, 인증정보, 고객사 비밀자료를 AI 환경에서도 동일하게 관리하면 됩니다.
새로운 것은 도구이고, 지켜야 하는 정보는 대부분 기존과 같습니다.
회사에서 ChatGPT 사용할 때 가장 먼저 정할 것
회사에서 ChatGPT 사용할 때 보안을 어렵게 시작할 필요는 없습니다.
수십 페이지짜리 AI 보안규정부터 만드는 것보다 직원들이 바로 이해할 수 있는 기준을 만드는 것이 현실적입니다.
가장 먼저 아래 네 가지만 정해도 좋습니다.
어떤 AI 서비스를 사용할 수 있는가?
어떤 업무에 사용할 수 있는가?
어떤 정보는 절대 입력하면 안 되는가?
애매할 때 누구에게 물어볼 것인가?
생성형 AI를 무조건 막는다고 보안이 완성되는 것은 아닙니다.
반대로 편리하다는 이유로 모든 정보를 자유롭게 입력하는 것도 좋은 방법은 아닙니다.
중소기업이라면 AI를 못 쓰게 하는 규칙보다 안전하게 사용할 수 있는 간단하고 명확한 규칙을 만드는 것부터 시작하는 편이 현실적입니다.
자주 묻는 질문
회사에서 ChatGPT를 사용해도 되나요?
회사 정책과 사용하는 서비스에 따라 달라질 수 있습니다. 개인적으로 판단하기보다 회사가 허용한 서비스와 사용범위를 확인하고 개인정보와 기밀정보는 입력하지 않는 것이 좋습니다.
계약서를 ChatGPT로 요약해도 되나요?
계약서에는 거래조건, 금액, 개인정보와 비공개 정보가 포함될 수 있습니다. 회사의 보안정책과 계약상 비밀유지 의무를 먼저 확인하고 민감한 내용을 제거한 뒤 사용하는 것이 좋습니다.
소스코드를 ChatGPT에 입력해도 되나요?
일반적인 예제 코드는 활용할 수 있지만 회사의 핵심 알고리즘, 인증키, 서버정보, 고객정보 등이 포함된 실제 코드는 주의해야 합니다. 필요한 최소 부분만 사용하고 민감정보를 제거하는 것이 좋습니다.
직원이 개인 ChatGPT 계정을 업무에 사용하면 어떻게 해야 하나요?
무조건 금지하기보다 실제 사용현황부터 파악한 뒤 허용 서비스, 허용 업무, 입력 금지정보를 정하는 것이 좋습니다. 회사가 모르는 상태에서 개인 AI 서비스가 업무에 사용되는 상황을 줄이는 것이 중요합니다.
ChatGPT 사용 시 가장 입력하면 안 되는 정보는 무엇인가요?
비밀번호와 API Key 같은 인증정보, 고객·직원의 개인정보, 회사 핵심기술, 미공개 사업정보, 고객사 비밀자료 등을 우선적으로 주의해야 합니다.
사내 AI 보안규정은 어떻게 시작하면 되나요?
복잡하게 시작할 필요가 없습니다. 사용할 수 있는 AI 서비스, 허용 업무, 입력 금지정보, 문의 담당자를 먼저 정하고 직원들이 쉽게 확인할 수 있는 1페이지 기준으로 만드는 방법이 좋습니다.