사내 AI 도입 규정 체크리스트 7가지 총정리
사내에서 AI 도구를 쓰기 전에 확인할 것은 기능이 아니라 데이터가 어디로 가는지다. 입력한 자료가 모델 학습에 쓰이는지, 어디에 얼마나 보관되는지, 회사가 승인한 도구인지 세 가지가 출발점이다. 확인 없이 쓰기 시작하면 그동안의 산출물까지 문제가 된다.
목차
- 왜 규정 확인이 먼저인가?
- 체크리스트 7가지는 무엇인가?
- 1~3번: 데이터는 어디로 가나?
- 4번: 무엇을 넣으면 안 되나?
- 5~7번: 어떻게 운영하나?
- 규정이 없는 회사라면?
- 자주 묻는 질문
- 정리
왜 규정 확인이 먼저인가?
되돌리기 어렵기 때문이다. 도구는 바꿀 수 있지만 이미 외부로 나간 데이터는 회수할 수 없다.
문제가 드러나는 시점도 늦다. 사용 중에는 아무 일도 일어나지 않다가, 감사나 사고가 생긴 뒤에 소급해서 확인된다. 그때는 그 도구로 만든 문서 전체가 검토 대상이 된다.
그래서 순서가 중요하다. 쓰기 전에 확인하고, 확인한 내용을 기록으로 남긴다.
체크리스트 7가지는 무엇인가?
앞의 세 개가 데이터, 뒤의 네 개가 운영에 관한 것이다.
| # | 항목 | 확인 내용 |
|---|---|---|
| 1 | 학습 사용 여부 | 입력 데이터가 모델 학습에 쓰이는가 |
| 2 | 보관 위치·기간 | 어느 국가에 얼마나 저장되는가 |
| 3 | 승인 도구 목록 | 회사가 허용한 도구인가 |
| 4 | 입력 금지 범위 | 개인정보·기밀·고객 데이터 |
| 5 | 산출물 검증 | 누가 어떤 기준으로 확인하는가 |
| 6 | 되돌릴 수 없는 작업 | 발송·결제·삭제를 자동화하지 않는다 |
| 7 | 사용 기록 | 무엇에 썼는지 남기는가 |
1~3번: 데이터는 어디로 가나?
세 항목이 통과되지 않으면 나머지는 볼 필요가 없다. 도구의 성능과 무관하게 쓸 수 없는 상태이기 때문이다.
학습 사용 여부는 요금제에 따라 달라지는 경우가 많다. 개인용은 학습에 쓰이고 기업용은 제외되는 구조가 일반적이므로, 어떤 요금제로 쓰는지까지 확인해야 한다.
보관 위치는 국외 이전 문제와 연결된다. 개인정보가 포함되면 국외 이전 절차가 별도로 필요할 수 있다.
4번: 무엇을 넣으면 안 되나?
판단이 어려울 때는 밖으로 나가도 되는 자료인가를 기준으로 삼는다. 외부 이메일로 보낼 수 없는 자료라면 AI 도구에도 넣지 않는다.
전형적인 금지 대상은 세 가지다.
- 개인정보 — 이름, 연락처, 주민등록번호, 계좌
- 고객 데이터 — 계약 내용, 거래 내역
- 미공개 기밀 — 실적, 인사, 계약 조건
5~7번: 어떻게 운영하나?
산출물 검증 기준이 없으면 AI가 만든 오류가 그대로 문서에 남는다. 확인 책임자와 기준을 미리 정해두는 편이 낫다.
되돌릴 수 없는 작업은 자동화에서 제외한다. 초안 작성까지 자동, 발송은 사람이 하는 방식으로 나눈다. 판단 기준은 AI 도구 고르는 기준 5가지 실전 체크리스트에 정리했다.
사용 기록은 감사 대응에 쓰인다. 무엇에 어떤 도구를 썼는지 남겨두면 나중에 범위를 특정할 수 있다.
규정이 없는 회사라면?
없다고 자유로운 것이 아니다. 규정이 없으면 문제가 생겼을 때 판단 기준도 없다.
이 경우 개인이 할 수 있는 것은 두 가지다.
- 보수적으로 쓴다 — 외부로 나가도 되는 자료만 넣는다
- 기록을 남긴다 — 어떤 도구를 무엇에 썼는지 적어둔다
에이전트처럼 스스로 실행하는 도구는 기준이 더 엄격해야 한다. 권한을 갖고 움직이기 때문이다. 관련 내용은 구글 IO 2026 제미나이 스파크 AI 에이전트 정리에서 다뤘다.
업무를 자동화하는 구조는 AI 업무 자동화 워크플로우 4단계 만드는 법을 참고한다.
국내 규정은 개인정보보호위원회에서 확인한다.
자주 묻는 질문
무료 요금제도 학습에 쓰이나?
제공사와 요금제에 따라 다르다. 개인용 무료 요금제는 학습에 활용되는 경우가 있으므로 약관을 확인해야 한다.
개인 계정으로 쓰면 괜찮은가?
사내 자료를 넣는다면 계정 종류와 무관하게 규정 대상이다. 개인 계정이 오히려 회사 통제 밖이라 위험이 크다.
익명화하면 넣어도 되나?
이름을 지운다고 식별 가능성이 사라지지 않는 경우가 많다. 조합으로 특정될 수 있는 정보인지 함께 봐야 한다.
규정을 누가 정해야 하나?
정보보호와 법무 담당이 함께 정하는 것이 일반적이다. 실무 부서만으로 판단하기 어려운 항목이 포함된다.
정리
- 확인 순서는 기능이 아니라 데이터가 어디로 가는지부터다
- 학습 사용·보관 위치·승인 목록 세 가지가 통과 조건
- 판단 기준은 외부 이메일로 보낼 수 있는 자료인가
- 되돌릴 수 없는 작업은 자동화에서 뺀다
- 규정이 없는 회사라면 보수적으로 쓰고 기록을 남긴다
다음 행동은 사내 승인 도구 목록이 있는지 확인하는 것이다. 없다면 그 사실 자체를 기록해 둔다.
글쓴이 션잇 · IT 전문가. 업무 자동화와 AI 도구를 다룬다
댓글