보안과 컴플라이언스 가이드라인 세우기

보안 기준은 속도를 늦추는 장치가 아니다

AI 도입에서 팀장이 자주 듣는 말이 있다. "보안 때문에 못 하는 것 아닌가요?" 그러나 실제로는 반대다. 보안 기준이 없을 때 팀은 더 느려진다. 누구는 무료 도구에 내부 자료를 넣고, 누구는 불안해서 아무것도 시도하지 않는다. 관리자는 매번 "이건 괜찮을까?"를 판단하느라 병목이 된다.

작은 조직에 필요한 것은 두꺼운 보안 규정집이 아니다. 팀원이 바로 판단할 수 있는 간단한 기준이다. 어떤 정보는 넣어도 되는지, 어떤 정보는 승인 후 써야 하는지, 어떤 정보는 절대 넣으면 안 되는지를 정하면 된다. AI 위험관리는 대기업만의 일이 아니다. NIST의 AI Risk Management Framework도 자발적 사용을 전제로, 조직이 AI 제품·서비스·시스템을 설계하고 사용하고 평가할 때 신뢰성과 위험을 함께 고려하도록 돕는 프레임워크로 제시된다¹. 핵심은 거창한 인증이 아니라 반복 가능한 판단 기준이다.

팀장이 만들어야 할 보안 가이드라인은 세 가지 질문에 답해야 한다.

1. 어떤 정보를 AI에 입력할 수 있는가?

2. 어떤 도구와 계정으로 사용할 수 있는가?

3. AI 산출물을 업무에 쓰기 전 무엇을 검토해야 하는가?

이 세 가지가 정리되면 팀원은 더 안전하게, 더 빠르게 움직일 수 있다.

AI 생성 이미지

먼저 정보 민감도를 네 단계로 나눈다

AI 보안의 출발점은 "중요한 정보 조심"이 아니다. 그 말은 너무 넓어서 현장에서 작동하지 않는다. 팀원에게 필요한 것은 구체적인 분류표다.

여기서 중요한 것은 완벽한 분류가 아니라 팀원이 헷갈리지 않는 것이다. 예를 들어 "고객 정보"라고만 쓰면 부족하다. 고객사명도 고객 정보인지, 담당자 이메일도 포함되는지, 상담 내용은 어떤지 논쟁이 생긴다. 따라서 가이드라인에는 반드시 예시를 넣어야 한다.

작은 조직이라면 처음부터 네 단계를 모두 정교하게 운영하지 않아도 된다. 다만 3등급과 4등급은 반드시 구분해야 한다. 3등급은 원문을 그대로 넣지는 않지만, 비식별화하거나 구조만 남겨 사용할 여지가 있는 정보다. 4등급은 업무 편의와 관계없이 넣지 않는 정보다.

예를 들어 계약서 검토가 필요하다면 계약서 원문을 그대로 AI에 넣지 않는다. 대신 민감한 당사자명, 금액, 특약 조건을 제거하고 "B2B 서비스 계약서에서 일반적으로 확인해야 할 리스크 항목을 체크리스트로 만들어줘"처럼 요청할 수 있다. AI가 계약 판단을 대신하는 것이 아니라 사람이 검토할 틀을 얻는 방식이다.

입력 가능, 승인 필요, 입력 금지를 구분한다

팀원이 매번 팀장에게 묻지 않게 하려면 정보별 입력 규칙을 세 문장으로 줄여야 한다.

첫째, 공개 정보와 비식별화된 일반 업무 정보는 승인된 AI 도구에 입력할 수 있다. 예를 들어 공개된 경쟁사 홈페이지 문구, 이미 배포된 보도자료, 고객명이 제거된 회의록 요약은 상대적으로 위험이 낮다.

둘째, 고객사 자료, 계약서, 재무 정보, 내부 전략 문서는 원문 입력을 금지한다. 꼭 AI를 활용해야 한다면 민감한 값과 고유명사를 제거하고, 사용 목적과 입력 내용을 기록한 뒤 팀장 또는 지정 승인자의 확인을 받는다. 특히 내부 전략 문서의 원문 문장은 일부라도 외부 도구에 넣지 않는 편이 안전하다. 전략의 구조나 검토 관점이 필요하다면 실제 문장을 옮기지 말고, 익명화한 상황 설명이나 일반 질문으로 바꾼다.

셋째, 개인정보와 인사 정보는 입력하지 않는다. 이름, 전화번호, 이메일, 주소, 계좌번호, 신분증 정보, 건강 정보, 급여, 평가 의견은 작은 실수도 조직에 큰 부담이 된다. "잠깐 요약만 하려고 했다"는 이유로 예외를 만들지 않는 편이 안전하다.

현장에서 바로 쓸 수 있는 입력 규칙은 다음과 같다.

• 고객명, 담당자명, 연락처가 있으면 먼저 삭제한다.

• 계약 금액, 할인율, 특약 조건은 입력하지 않는다.

• 매출, 원가, 투자 계획, 채용 계획은 원문 입력하지 않는다.

• 인사평가, 징계, 급여, 면담 기록은 입력하지 않는다.

• 내부 전략 문서의 원문 문장은 외부 도구에 넣지 않는다.

• AI에 입력한 내용이 외부에 공개되어도 괜찮은지 스스로 물어본다. 괜찮지 않다면 입력하지 않는다.

이 규칙은 팀원의 판단을 돕기 위한 최소 기준이다. 중요한 것은 "AI 사용 금지"가 아니라 "안전한 형태로 바꾸어 사용"하는 것이다. 원문을 넣을 수 없다면, 익명화된 구조·항목·목적만 넣어도 충분한 경우가 많다.

도구보다 계정과 데이터 저장 방식을 확인한다

AI 도구의 위험은 기능만으로 결정되지 않는다. 같은 도구라도 개인 계정으로 쓰는지, 회사 승인 계정으로 쓰는지, 입력 데이터가 서비스 개선이나 학습에 사용될 수 있는지, 관리자 통제가 가능한지에 따라 위험이 달라진다.

팀장은 도구를 평가할 때 "요즘 많이 쓰는가?"보다 다음 질문을 먼저 확인해야 한다.

• 업무용 계정으로 가입하고 퇴사자 접근을 차단할 수 있는가?

• 입력 데이터가 모델 학습이나 서비스 개선에 사용되는지 설정을 확인할 수 있는가?

• 관리자 콘솔이나 사용 로그를 확인할 수 있는가?

• 파일 업로드 기능이 있는 경우 저장 기간과 삭제 방법이 명확한가?

• 외부 앱, 메신저, 드라이브와 연동될 때 접근 범위를 제한할 수 있는가?

• 유료 플랜과 무료 플랜의 데이터 보호 조건이 다른가?

작은 조직이라도 최소한 "업무용 AI는 회사 승인 계정으로만 사용한다"는 원칙을 세우는 것이 좋다. 개인 계정은 편하지만 통제가 어렵다. 특히 팀원이 퇴사하거나 역할이 바뀌었을 때 접근 권한을 회수하기 어렵다. 보안은 해킹 같은 큰 사건만 뜻하지 않는다. 누가 어떤 자료를 어디에 넣었는지 조직이 모르는 상태도 보안 리스크다.

승인 체계는 짧고 명확해야 한다

보안 승인이 복잡하면 팀원은 두 가지 행동을 한다. 사용을 포기하거나, 몰래 사용한다. 둘 다 좋지 않다. 따라서 작은 조직의 승인 체계는 가볍게 설계해야 한다.

추천하는 방식은 세 단계다.

승인 요청 양식은 길 필요가 없다. 다음 네 가지만 있으면 충분하다.

1. 어떤 업무에 사용할 것인가?

2. 어떤 정보를 입력할 것인가?

3. 민감 정보는 어떻게 제거했는가?

4. AI 산출물은 누가 검토하고 최종 승인할 것인가?

여기서 말하는 승인은 AI 사용 자체를 어렵게 만들기 위한 절차가 아니다. 팀원이 선의로 시도했다가 위험한 정보를 입력하는 일을 막아주는 보호 장치다. 또한 나중에 문제가 생겼을 때 "누가 임의로 했다"가 아니라 "어떤 기준으로 판단했다"를 설명할 수 있게 한다.

AI 산출물도 보안 검토 대상이다

많은 팀이 입력 보안만 신경 쓴다. 그러나 AI가 만든 결과물에도 위험이 있다. 그럴듯하지만 틀린 정보, 출처 없는 주장, 차별적 표현, 저작권 문제가 있는 문구, 내부 정보가 섞인 요약이 그대로 외부에 나갈 수 있다.

AI 산출물은 다음 네 가지 관점으로 검토한다.

첫째, 사실 검토. 숫자, 일정, 법률, 정책, 가격, 기능 설명은 반드시 원자료와 대조한다. AI가 "일반적으로 그렇다"고 말한 내용은 회사의 실제 조건과 다를 수 있다.

둘째, 권리 검토. 외부에 공개할 글, 광고 문구, 이미지, 제안서에는 저작권과 상표권 문제가 생길 수 있다. AI가 만든 문장이라도 특정 브랜드의 표현을 과도하게 흉내 내거나 출처가 불분명한 이미지를 포함하면 위험하다.

셋째, 공정성 검토. 채용, 평가, 고객 응대, 금융성 판단처럼 사람에게 영향을 주는 업무에서는 차별적 표현이 들어가지 않았는지 확인한다. 성별, 나이, 출신, 장애, 가족 형태 등에 대한 고정관념이 문장에 섞일 수 있다.

넷째, 기밀 검토. 산출물 안에 내부 프로젝트명, 고객사명, 가격 조건, 미공개 계획이 남아 있지 않은지 확인한다. 특히 AI로 회의록이나 보고서를 요약할 때 민감한 문장이 자연스럽게 포함될 수 있다.

외부 발송 전에는 다음 문장으로 확인하면 된다.

• 이 내용은 원자료로 확인했는가?

• 회사가 책임질 수 있는 표현인가?

• 고객이나 구성원에게 불리하거나 차별적인 표현은 없는가?

• 내부 정보가 남아 있지 않은가?

• 사람이 최종 검토했다는 기록이 있는가?

검토 기록은 복잡한 시스템이 아니어도 된다. 문서 상단에 "AI 사용: 예 / 검토자: 김OO / 검토일: 2026-07-21 / 확인 항목: 사실·기밀·표현" 정도만 남겨도 팀의 책임 수준은 크게 올라간다.

팀 단위 AI 사용 가이드라인 1페이지 초안

다음 초안은 그대로 복사해 팀 문서로 사용할 수 있다. 처음부터 완벽하게 만들기보다 2주 운영 후 수정하는 것을 전제로 한다.

AI 사용 목적

우리 팀은 AI를 반복 업무의 초안 작성, 요약, 분류, 아이디어 정리, 문서 형식 변환에 사용한다. AI는 최종 판단자가 아니며, 모든 업무 결과물의 책임은 담당자와 승인자에게 있다.

허용 도구와 계정

• 업무용 AI는 회사가 승인한 도구와 회사 계정으로 사용한다.

• 개인 계정에는 회사 자료를 입력하지 않는다.

• 무료 도구는 공개 정보 실험과 학습 목적으로만 사용한다.

• 새로운 AI 도구를 업무에 사용하려면 팀장에게 사전 확인을 받는다.

입력 가능 정보

• 공개된 자료

• 고객명과 개인정보가 제거된 업무 메모

• 내부 기준을 설명하기 위한 일반 프로세스

• 민감 정보가 제거된 예시 문장

입력 금지 정보

• 이름, 연락처, 이메일, 주소, 계좌번호 등 개인정보

• 급여, 평가, 징계, 면담 기록 등 인사 정보

• 계약서 원문, 특약 조건, 가격 협상 내용

• 고객사 자료 원문과 비공개 제안서 원문

• 매출, 원가, 투자 계획, 내부 전략 문서 원문

• 법무, 세무, 노무 검토가 필요한 원문 자료

승인 필요 업무

다음 업무는 AI 사용 전 팀장 또는 업무 책임자의 확인을 받는다. 단, 위의 입력 금지 정보는 원문으로 넣지 않고 비식별 예시나 일반 질문으로 바꾸어 사용한다.

• 고객 자료를 요약하거나 재가공하는 업무

• 계약·견적·제안 관련 문서 작성

• 외부 발송용 공식 문서 작성

• 채용, 평가, 보상, 징계와 관련된 문서 작성

• 재무 수치나 경영 계획을 포함한 보고서 작성

산출물 검토 기준

AI 산출물은 초안이다. 외부 발송, 경영진 보고, 고객 전달 전에는 사람이 다음 항목을 확인한다.

• 사실과 숫자가 원자료와 일치하는가?

• 회사 정책과 다른 표현은 없는가?

• 차별적이거나 부적절한 표현은 없는가?

• 내부 정보나 고객 정보가 남아 있지 않은가?

• 최종 책임자 또는 검토자가 확인했는가?

사용 기록

중요 업무에 AI를 사용한 경우 문서 또는 업무관리 도구에 다음 항목을 남긴다.

• 사용 일자

• 사용 업무

• 사용 도구

• 입력 정보의 민감도

• 검토자

• 발견된 오류 또는 개선점

이번 장의 실행 과제

팀장은 이번 장을 읽고 세 가지 문서를 만들면 된다.

첫째, 우리 팀 정보 민감도 표를 만든다. 고객 정보, 계약 정보, 재무 정보, 인사 정보, 전략 문서를 실제 예시로 적는다.

둘째, 승인된 도구 목록을 만든다. 허용 도구, 승인 필요 도구, 금지 도구를 구분하고 개인 계정 사용 원칙을 명확히 한다.

셋째, 1페이지 AI 사용 가이드라인을 팀 회의에서 공유한다. 회의에서는 "무엇을 금지할 것인가"보다 "어떤 조건이면 안전하게 쓸 수 있는가"를 중심으로 논의한다.

보안 기준은 AI 활용을 막는 벽이 아니다. 팀원이 안심하고 움직일 수 있게 하는 난간이다. 난간이 있어야 더 빠르게 걸을 수 있다. 다음 단계에서는 이렇게 안전하게 운영한 AI 활용이 실제로 시간을 줄였는지, 품질을 높였는지, 경영진에게 어떤 숫자로 보고할 수 있는지 살펴본다.

참고

¹NIST AI Risk Management Framework