첫 번째 기준은 AI 회사가 아니다
"이 서비스는 데이터를 학습에 쓰나요?"
중요한 질문이다. 하지만 회사 업무에서는 그보다 먼저 물어야 한다.
"우리 회사가 이 자료를 외부 AI에 입력하도록 허용했는가?"
사내에서 허용하지 않는다면 서비스 제공자가 아무리 강력한 보안 기능을 제공해도 입력하면 안 된다.
제품마다 조건도 다르다
같은 회사의 AI라도 개인용과 기업용 서비스의 조건이 다를 수 있다.
- OpenAI: ChatGPT Business·Enterprise와 API 등 조직 데이터는 기본적으로 모델 학습에 사용하지 않는다고 밝히고 있다.
- Anthropic: 상용 제품의 입력과 출력을 기본적으로 모델 학습에 사용하지 않는다고 안내한다.
- Google Workspace: Workspace 데이터를 허가 없이 기반 모델 학습에 사용하지 않는다고 설명한다.
그렇다고 이것이 "회사 기밀을 넣어도 된다"는 뜻은 아니다. 보존 기간, 관리자 감사 권한, 연결된 외부 앱, 계약 조건, 회사 보안정책을 별도로 확인해야 한다.
일단 멈춰야 하는 자료
- 고객 개인정보 (주민등록번호, 연락처, 주소 등)
- 임직원 개인정보 (인사평가, 급여 등)
- 계약서 전문 및 단가·수수료 조건
- 공개 전 경영 자료 및 신규 사업 계획
- 계정 정보, 비밀번호, API 키, 인증 토큰
- 사내 보안 규정상 대외비·기밀로 분류된 자료
NIST의 생성형 AI 위험 지침에서도 개인정보와 민감정보의 유출·비인가 사용을 별도의 주요 위험으로 다룬다.
애매할 때 대처법
- 원문 전체를 넣지 않는다.
- 회사명, 인명, 고유 식별자, 금액 같은 부분을 가명 처리하거나 제거한 뒤 문장 구조와 템플릿만 다듬게 한다.
- 단, 익명화했다고 무조건 안전한 것은 아니므로 민감한 핵심 데이터는 격리한다.
그래서 무엇을 다르게 할 것인가
- AI 사용 가능 여부를 판단할 때 AI 기능보다 사내 정보 보안 등급을 먼저 확인한다.
- 기밀성·민감성이 있는 데이터는 입력창에 넣지 않는 습관을 들인다.