한국영업비밀보호협회는 생성형 AI를 쓰는 기업이 자신의 기술과 정보를 지킬 수 있도록 「10대 가이드라인」을 순차 공개해 왔습니다. 오늘은 그 마지막 편입니다.
1. 경영진 보고체계의 중요성
①화에서 ⑨화까지 쭉 보면서 만든 것은 결국 문서입니다. 분류표, 규정, 계약 조항, 점검표, 대응 순서표. 이 문서들이 실제로 작동하려면 사람과 예산과 결정 권한이 필요한데, 이것들은 실무자가 혼자 만들어서 집행할 수 없는 것들입니다.
결국 경영진에게 무엇을, 얼마나 자주, 어떤 형식으로 보고할 것인가? 그리고 그 보고 기록은 나중에 회사에게 어떤 영향을 미치는가? 경영진 보고 기록은 이 질문에 답하는 거의 유일한 자료입니다.
2. 법적 쟁점
가. 이사의 감시의무와 내부통제시스템 ― 제도가 있다고 되는 것이 아닙니다
대법원은 2008년 판결에서 이미 대규모 주식회사 이사에게 합리적인 정보·보고시스템과 내부통제시스템을 구축·운영할 의무가 있다고 밝혔고(대법원 2008. 9. 11. 선고 2006다68636 판결), 2021년 판결에서 그 시스템이 회계에 국한되지 않는다는 점을 분명히 했습니다.
“고도로 분업화되고 전문화된 대규모 회사에서 대표이사 및 업무담당이사들이 내부적인 사무분장에 따라 각자의 전문 분야를 전담하여 처리하는 것이 불가피한 경우라 할지라도 그러한 사정만으로 다른 이사들의 업무집행에 관한 감시의무를 면할 수는 없다.
그러한 경우 합리적인 정보 및 보고시스템과 내부통제시스템(이하 ‘내부통제시스템’이라고 한다)을 구축하고 그것이 제대로 작동되도록 하기 위한 노력을 전혀 하지 않거나 위와 같은 시스템이 구축되었다 하더라도 회사 업무 전반에 대한 감시·감독의무를 이행하는 것을 의도적으로 외면한 결과 다른 이사의 위법하거나 부적절한 업무집행 등 이사들의 주의를 요하는 위험이나 문제점을 알지 못하였다면, 이사의 감시의무 위반으로 인한 손해배상책임을 진다.
이러한 내부통제시스템은 비단 회계의 부정을 방지하기 위한 회계관리제도에 국한되는 것이 아니라, 회사가 사업운영상 준수해야 하는 제반 법규를 체계적으로 파악하여 그 준수 여부를 관리하고, 위반사실을 발견한 경우 즉시 신고 또는 보고하여 시정조치를 강구할 수 있는 형태로 구현되어야 한다.”(대법원 2021. 11. 11. 선고 2017다222368 판결)
이 판례에서 읽으셔야 할 것은, ‘파악 → 관리 → 신고·보고 → 시정조치’ 라는 네 단계가 판시 안에 들어 있다는 것입니다. 문제가 발견되었을 때 그것이 위로 올라가고 조치로 이어지는 경로를 만들라는 말입니다.
이듬해 대법원은 같은 법리를 사외이사에게도 확장하면서, 다만 그 범위를 좁혔습니다. “다만 회사의 업무집행을 담당하지 않는 사외이사 등은 내부통제시스템이 전혀 구축되어 있지 않는데도 내부통제시스템 구축을 촉구하는 등의 노력을 하지 않거나 내부통제시스템이 구축되어 있더라도 제대로 운영되고 있지 않다고 의심할 만한 사유가 있는데도 이를 외면하고 방치하는 등의 경우에 감시의무 위반으로 인정될 수 있다.”(대법원 2022. 5. 12. 선고 2021다279347 판결례)
나. 영업비밀 침해 양벌규정
「부정경쟁방지 및 영업비밀보호에 관한 법률」 제19조는 “법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제18조제1항부터 제5항까지의 어느 하나에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인에게는 해당 조문에 규정된 벌금형의 3배 이하의 벌금형을, 그 개인에게는 해당 조문의 벌금형을 과(科)한다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다.”라고 규정하고 있습니다.
단서의 ‘상당한 주의와 감독’에 관하여 대법원은 이렇게 설명한 바 있습니다. “형벌의 자기책임원칙에 비추어 보면 위반행위가 발생한 그 업무와 관련하여 법인이 상당한 주의 또는 관리감독 의무를 게을리한 때에 한하여 위 양벌조항이 적용된다고 봄이 상당하며, …(중략)… 법인의 영업 규모 및 행위자에 대한 감독가능성 또는 구체적인 지휘감독 관계, 법인이 위반행위 방지를 위하여 실제 행한 조치 등을 전체적으로 종합하여 판단하여야 한다.”(대법원 2010. 2. 25. 선고 2009도5824 판결)
이 판결은 헌법재판소의 양벌규정 위헌결정(2009. 7. 30. 선고 2008헌가16, 2008헌가17)을 이어받아 자기책임원칙에서 주의·감독 해태를 적용요건으로 끌어낸 것입니다. 실무적으로 기억하실 것은 마지막 항목, “실제 행한 조치” 입니다. 규정을 만드는 것에 그치지 않고 실제 그 규정에 따라 무엇을 실행했는지를 본다는 것입니다. ①화~⑨화에서 만든 서식들이 여기에 쓰이고, 그것이 ‘언제 누구에게 보고되었는지’가 함께 있어야 실제 조치를 취했다고 인정받을 수 있습니다.
3. 기업 보고의 3주기와 지표 설계
이 장부터는 법적 의무가 아니고 권고입니다. 회사 규모에 맞게 덜어내고 쓰시면 됩니다.
가. 즉시 보고(에스컬레이션) ― 기준선을 문서로 못박기
판단을 담당자에게 맡기지 말고 기준선을 사실과 숫자로 기록하시기 바랍니다.
| 유형 | 즉시 보고 기준선 | 보고 대상 |
| 유출 의심 | 1급 자료가 외부로 나간 정황을 인지한 때 | 대표이사·법무 |
| AI 입력 | 1급 자료가 미승인된 AI 서비스에 입력된 정황 | 대표이사·CISO |
| 협력사 | 기술자료 제공이력 제출 거부 or 2회 연속 누락 | 담당 임원 |
| 퇴직 | 핵심인력이 경쟁사로 이직 & 반출점검에 불응 | 대표이사·인사 |
| 외부 | 수사기관·규제기관의 자료 제출 요구 수령 | 대표이사·법무 |
나. 분기 보고
이사회가 있는 회사라면 상법 제393조 제4항의 분기 보고에 기술보호 항목을 넣습니다. 준법지원인을 둔 상장회사라면 제542조의13 제3항의 이사회 보고에 얹습니다. 감사위원회가 있다면 그 보고 라인도 함께 설계하십시오. 소규모회사라면 대표이사에게 직접 보고하는 분기 정례 자리를 새로 정하는 정도로 하면 됩니다.
분량은 한 장이면 충분합니다.
| [고정 항목(권고)] 1. 분기 중 즉시 보고 대상 사건 발생 건수와 처리 결과 2. AI 사용규정 위반 확인 건수와 조치 결과(⑨의 조치 기준표 단계별) 3. 승인 AI 도구 목록의 변경 사항과 신규 검토 요청 건수 4. 협력사 기술자료 제공·회수 이력 제출률 5. 퇴직자 반출 점검 실시율 6. 확인하지 못한 영역과 그 사유 7. 전 분기 지적사항의 이행 여부 |
다. 연간 보고
연 1회 예산과 인력을 결정하는 자리를 만듭니다. 여기서 실무자가 반드시 해야 할 일은 요청한 것과 그 결과를 함께 적는 것입니다. 거부된 것도 기록해야 합니다. 거부 기록은 담당자를 보호하는 자료이기도 합니다.
4. 무엇을 기록과 증거로 남겨야 하는가
1. 이사회·경영회의 회의록의 안건명 : 회의록에 안건명이 남도록 정식 안건으로 올릴 것.
2. 보고서 원본과 보고 사실 : 보고서 파일과 언제 누구에게 전달되었는지를 남길 것.
3. 예산·인력 요청과 그 결정 : 요청 문서, 승인 또는 거부의 결과, 거부된 경우 그 사유
4. 경영진의 지시와 이행 결과 : 보고를 받고 무엇을 지시했는지, 그것이 어떻게 처리되었는지
5. 미결 항목의 이월 기록
6. 보존기간
이 기록들의 보존 자체는 대부분 법적 의무가 아닙니다. 그러나 증명이 필요한 순간 큰 도움이 될 자료입니다.
5. 맺으며
본 가이드라인을 연재하면서 제가 가장 자주 만난 오해는 “AI가 영업비밀을 위험하게 만들었다”는 것이었습니다. 정확히는 조금 다릅니다. 분류되지 않은 정보, 정해지지 않은 권한, 남지 않는 기록. 이 세 가지 빈틈은 생성형 AI가 등장하기 전에도 있었습니다. 달라진 것은 그 빈틈으로 자료가 빠져나가는 속도와 규모, 그리고 흔적이 남지 않는 정도입니다.
마지막으로 말씀드립니다. 본 가이드라인의 결론은 단순합니다. 정하고, 지키고, 남기고, 위로 올리세요.
