한국영업비밀보호협회는 생성형 AI를 쓰는 기업이 자신의 기술과 정보를 지킬 수 있도록 「10대 가이드라인」을 순차 공개하고 있습니다. 지금까지의 일곱 편은 모두 사고가 나기 전의 이야기였습니다. 오늘은 처음으로 사고 후 조치를 다룹니다.
1. 지난 회에서 이어 ― 준비해 둔 것으로 무엇을 할 것인가
중견 정밀가공업체 C사를 가정해 보겠습니다. 영업팀장이 산업전시회에 다녀와 이렇게 보고합니다. “경쟁사 부스에 걸린 신제품 사양표의 공차 수치가, 작년에 우리가 내부 검토만 하고 접었던 안과 거의 같습니다.”
이 시점에 확정된 것은 아무것도 없습니다. 우연의 일치일 수도 있고, 업계에 널리 알려진 수치일 수도 있으며, 실제로 자료가 나간 것일 수도 있습니다. 그런데 회사의 반응은 대개 정해져 있습니다. 그 프로젝트에 참여했다가 6개월 전 퇴사한 설계 담당자를 떠올리고, 반납 받아 창고에 둔 그의 노트북을 꺼내 전원을 켭니다. 그리고 파일을 하나씩 열어 봅니다.
이 마지막 한 문장이 이 글 전체의 문제의식입니다. 확인하려는 행위 자체가 증거의 무결성을 훼손합니다. 노트북의 전원을 켜는 순간 파일 접근 시각이 갱신되고, 운영체제는 수십 개의 임시파일을 쓰며, 어떤 경우에는 삭제 영역이 덮어써집니다. 6개월간 고스란히 보존돼 있던 상태가, 확인하려던 30분 만에 “회사가 만졌다”는 흔적이 붙은 상태로 바뀝니다.
2. 법적·기술적 쟁점
가. 회사가 스스로 할 수 있는 조사의 범위
회사가 반납받은 회사 소유 기기를 조사하는 것과, 개인 소유 기기나 개인 계정을 들여다보는 것은 법적 성격이 전혀 다릅니다.
회사 소유 기기라도 그 안에 근로자의 사적 정보가 섞여 있는 경우가 대부분이고, 조사의 근거·범위·절차를 미리 정해 두지 않은 상태에서 이루어진 조사는 그 자체로 다툼의 대상이 됩니다. 사고가 난 뒤에 동의를 받으려 하면 이미 늦습니다.
실무적으로는 이렇게 정리하는 것이 안전합니다. 회사가 할 수 있는 것은 “보존”이고, “분석”은 별개의 판단을 거쳐야 합니다. 회사 소유 기기를 원래 상태 그대로 격리해 두는 것은 조사가 아니라 보존이고, 분석에 비하면 다툼의 소지가 훨씬 작습니다. 다만 개인 소유 기기나 사적 정보가 섞인 저장매체를 회사가 점유하는 것은 보존이라 해도 별개의 문제이므로, 이 구별은 절차 문서에 미리 적어 두는 것이 좋습니다.
나. 증거보전 ― 민사소송법 제375조 이하
상대방이 가진 자료가 사라질 것이 우려된다면, 소송을 내기 전에도 법원의 절차를 이용할 수 있습니다.
「민사소송법」 제375조는 “법원은 미리 증거조사를 하지 아니하면 그 증거를 사용하기 곤란할 사정이 있다고 인정한 때에는 당사자의 신청에 따라 이 장의 규정에 따라 증거조사를 할 수 있다”고 규정합니다. 실무에서 활용되는 지점은 다음과 같습니다.
• 관할(제376조 제1항): 소를 제기하기 전에는 신문받을 사람이나 문서를 가진 사람의 거소, 또는 검증하려는 목적물이 있는 곳을 관할하는 지방법원에 신청합니다. 상대방 회사의 서버가 있는 곳이 기준이 될 수 있다는 뜻입니다.
• 기재사항(제377조 제1항): ① 상대방의 표시, ② 증명할 사실, ③ 보전하고자 하는 증거, ④ 증거보전의 사유를 밝혀야 하고, 같은 조 제2항에 따라 그 사유는 소명해야 합니다. 여기서 ②와 ③을 어느 정도로 소명할 수 있는지가 곧 뒤에서 다룰 ‘영업비밀의 특정’ 문제와 만납니다.
• 상대방을 특정하지 못해도 신청할 수 있습니다(제378조). 누가 가져갔는지 아직 모르는 단계에서도 길이 있다는 의미입니다.
• 증거보전 결정에는 불복할 수 없습니다(제380조). 신청을 받아들인 결정에 대해 상대방이 그 결정 자체를 다투며 시간을 끌 수 없다는 뜻입니다(신청이 기각·각하된 경우에는 신청인이 다툴 수 있다는 것이 실무의 이해입니다).
• 다만 증거조사 기일은 신청인과 상대방에게 통지해야 합니다(제381조). 긴급한 경우는 예외입니다. 상대방이 절차의 진행을 알게 되는 것이 원칙이라는 점은, 기습적 확보를 전제로 계획을 세워서는 안 된다는 뜻이기도 합니다.
증거보전은 만능이 아닙니다. 무엇을 보전할지 특정하지 못하면 신청 자체가 서지 않고, 소명이 부족하면 기각됩니다. 그래서 이 제도는 준비가 되어 있는 회사에서만 실제로 작동합니다.
다. 영업비밀의 특정과 비밀관리성의 증명
“우리 기술이 통째로 넘어갔다”는 말로는 절차가 시작되지 않습니다. 어떤 정보가, 어떤 형태로 존재했고, 왜 공공연히 알려져 있지 않으며, 회사가 그것을 어떻게 비밀로 관리했는지를 특정해야 합니다.
평소의 관리 조치가 법원 앞에서 실제로 어떻게 평가되는지는 최근 대법원 판결에서 잘 드러납니다. 대법원 2024. 11. 14. 선고 2021다289399 판결의 사안에서, 원고는 문제된 기술정보(공동 작성한 도면 중 변경·추가된 부분)에 대해 다운로드 이력을 관리하고 접근자를 통제했으며 임직원에게 비밀유지서약서를 받고 거래업체와 비밀유지계약을 체결해 왔습니다. 대법원은 이 점을 근거로 해당 기술정보가 “원고를 통하지 않고서는 통상 입수할 수 없고 이를 사용하여 경쟁상의 이익을 얻을 수 있으며 원고가 합리적인 노력에 의해 비밀로 유지하여 온 것”이라며 원고의 영업비밀에 해당한다고 인정했습니다.
그런데 이 사건의 결론은 원고 패소였습니다. 대법원은 해당 기술정보가 원고와 피고에게 공동으로 귀속된다고 보았고, 사용 제한에 관한 별도 약정이 없었으며, 피고가 자기 거래업체에 비밀유지의무를 부과한 사정 등을 종합해 “부정한 이익을 얻거나 원고에게 손해를 입힐 목적”이 인정되지 않는다고 판단했습니다. 구 부정경쟁방지법 제2조 제3호 (라)목의 침해행위가 성립하지 않는다는 것입니다.
여기서 실무자가 가져가야 할 교훈은 두 가지입니다. 첫째, 자료가 나갔다는 사실과 법적으로 침해가 인정되는 것은 별개입니다. 둘째, 침해 여부를 가르는 것은 “누가 어떤 의무를 지고 있었는가”와 “어떤 경위로 사용했는가”인데, 이 두 가지는 사고가 난 뒤에 만들어 낼 수 없고 계약서와 이력에 이미 적혀 있어야 합니다. 특히 협력사와 공동으로 작성한 도면·데이터의 권리귀속을 약정해 두지 않으면, 나중에 “우리 것”이라는 주장 자체가 흔들립니다(⑤화에서 다룬 논점입니다).
라. 디지털 증거의 동일성·무결성
전자정보는 원본과 사본의 구별이 물리적으로 뚜렷하지 않기 때문에, “우리가 제출한 이 파일이 그때 그 파일과 같다”는 점을 별도로 증명해야 합니다. 실무에서 통용되는 기본 원칙은 세 가지입니다.
⑴ 원본은 건드리지 않습니다. 분석은 원본을 그대로 복제한 이미지에서 합니다.
⑵ 해시값을 산출해 둡니다. 확보 시점에 산출한 해시값과 이후 시점의 해시값이 같다면 그 사이에 변경이 없었다는 근거가 됩니다.
⑶ 누가·언제·무엇을 했는지 기록합니다. 확보부터 보관·분석까지의 연결이 끊기면 앞의 두 가지도 의미가 약해집니다.
이 셋은 특별한 장비가 있어야만 가능한 일은 아닙니다. 다만 사고 당일에 이 원칙을 아는 사람이 사내에 있어야 하고, 없다면 외부의 도움을 받을 연락처가 미리 있어야 합니다. 공적 창구로는 영업비밀보호센터(한국지식재산보호원)의 「영업비밀 유출분쟁 법률자문」 지원사업이 있고, 디지털 포렌식 지원은 중소벤처기업부의 ‘중소기업 기술보호울타리’를 통해 별도로 운영되고 있습니다.
또 하나, 「부정경쟁방지 및 영업비밀보호에 관한 법률」 제9조의2의 영업비밀 원본증명제도가 있습니다. 전자문서에서 추출한 전자지문을 원본증명기관에 등록해 두고 나중에 원본증명서를 발급받는 방식이며, 2015년 개정으로 원본증명서를 발급받은 자는 등록 당시에 그 문서의 내용대로 정보를 보유한 것으로 추정하는 규정이 신설되었습니다. 사고 이후에 소급해서 쓸 수 있는 제도가 아니라는 점이 중요합니다. 평소에 등록해 둔 회사만 쓸 수 있습니다.
마. 구제수단의 선택
무엇을 얻고자 하는지에 따라 첫날의 순서가 달라집니다.
• 금지·예방청구(제10조 제1항): 영업비밀의 보유자는 침해행위를 하거나 하려는 자에 대하여, 그 행위로 영업상의 이익이 침해되거나 침해될 우려가 있는 경우에 법원에 그 행위의 금지 또는 예방을 청구할 수 있습니다. 같은 조 제2항에 따라 침해행위를 조성한 물건의 폐기, 침해행위에 제공된 설비의 제거 등을 함께 청구할 수 있습니다. 급한 사안에서는 본안 전에 가처분으로 다투는 것이 일반적입니다.
• 손해배상: 손해액 산정이 어렵다는 점을 보완하기 위해 제14조의2가 추정 규정을 두고 있고, 같은 조 제6항은 침해행위가 고의적인 것으로 인정되는 경우 손해로 인정된 금액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있도록 하고 있습니다. 제7항은 그 배상액을 판단할 때 침해자의 우월적 지위, 고의 또는 손해 발생의 우려를 인식한 정도, 피해규모, 침해자가 얻은 경제적 이익, 침해행위의 기간·횟수, 침해행위에 따른 벌금, 침해자의 재산상태, 피해구제 노력의 정도 여덟 가지를 고려하도록 정합니다.
• 형사고소: 제18조 제1항은 영업비밀을 외국에서 사용하거나 외국에서 사용될 것임을 알면서 취득·사용·누설한 경우 등에 15년 이하의 징역 또는 15억 원 이하의 벌금을, 제2항은 국내 사안에 대해 10년 이하의 징역 또는 5억 원 이하의 벌금을 정하고 있습니다. 2024년 개정으로 제3항이 신설되어, 부정한 이익을 얻거나 영업비밀 보유자에게 손해를 입힐 목적으로 제9조의8을 위반해 타인의 영업비밀을 훼손·멸실·변경한 행위도 처벌 대상이 되었습니다. 같은 개정에서 법인 벌금형 강화와 침해품·제조설비 몰수 근거도 마련되었습니다.
형사절차를 이용하면 회사가 스스로 확보할 수 없는 자료에 접근할 가능성이 생기지만, 수사가 시작되면 회사가 절차의 속도를 통제할 수 없게 되고 영업비밀의 특정을 수사기관에 설명해야 하는 부담이 새로 생깁니다. 민사 가처분과 형사고소 중 무엇을 먼저 할지, 병행할지는 사안마다 다르며 첫날에 결정할 일이 아닙니다. 첫날에 할 일은 어느 쪽을 택하든 필요한 자료를 잃지 않게 하는 것입니다.
한 가지 덧붙이면, 2026년 8월 20일 국회 본회의에서 영업비밀 침해행위의 소개·알선·유인 행위를 새로운 침해행위 유형으로 규정하고, 부정취득 방법에 ‘해킹’을 명시하며, 부정한 방법으로 취득한 자가 이를 사용·누설한 경우 별도의 부정한 목적 입증 없이 처벌할 수 있도록 하는 부정경쟁방지법 개정안이 통과되었습니다. 시행일은 2027년 3월 16일입니다.
바. AI 환경에서 새로 생긴 확인 항목
이 시리즈의 주제와 직결되는 부분입니다. 사고 당일 확인 목록에 다음이 들어가 있어야 합니다.
• 사내 AI 어시스턴트·에이전트의 프롬프트·출력 로그(④). 대상자가 어떤 자료를 어떤 형태로 다루었는지가 여기에 남아 있는 경우가 많습니다. 보관기간이 지나기 전에 해당 구간을 별도 보존해야 합니다.
• AI 에이전트의 접근권한 이력(④화 참조). 사람이 직접 열어 본 기록이 없어도, 그가 설정한 에이전트가 접근한 기록은 남아 있을 수 있습니다.
• 외부 AI 서비스 사용 이력(③화 참조). 회사 계정으로 쓴 것인지 직원 개인 계정으로 쓴 것인지에 따라 회사가 확보할 수 있는 범위가 완전히 달라집니다(⑦화 참조).
• 협력사·외주사에 제공한 자료의 이력과 그쪽의 AI 사용 이력(⑤화 참조). 우리 쪽에서 나간 경로가 아니라 협력사 쪽에서 나간 경로일 가능성을 초기에 배제하지 마십시오.
• 학습·색인에 반영되었을 가능성. 자료가 외부 서비스의 학습이나 사내 검색 색인에 들어갔다면, 파일 하나를 회수하는 것으로 상황이 끝나지 않습니다.
3. 기업은 무엇을 갖춰야 하는가 ― 사고 대응 조직과 판단 권한
가. 첫날에 판단할 사람을 미리 정합니다
가장 흔한 실패는 절차가 없어서가 아니라 판단할 사람이 정해져 있지 않아서 생깁니다. 영업팀장이 법무팀에 알리고, 법무팀이 정보보안팀에 묻고, 정보보안팀이 인사팀에 확인하는 사이에 이틀이 지나갑니다.
최소한 다음 세 가지는 문서에 이름으로 적혀 있어야 합니다.
⑴ 최초 보고를 받는 사람과 그 대리인(휴가·출장 시)
⑵ 보존 조치를 지시할 권한을 가진 사람 ― 계정 로그 보존기간 연장, 기기 격리 등은 시간이 걸리면 의미가 없습니다
⑶ 외부에 연락할지 결정하는 사람 ― 외부 법률사무소, 포렌식 업체, 수사기관, 규제기관
나. 잘못된 첫 조치와 대안
| 흔한 첫 조치 | 무엇이 문제인가 | 대안 |
| 반납 노트북을 켜서 파일을 열어 본다 | 접근시각 갱신, 임시파일 생성으로 원본 상태가 바뀐다 | 전원을 켜지 말고 봉인·격리한 뒤 기록만 남긴다 |
| 의심 직원을 즉시 불러 추궁한다 | 상대에게 대비할 시간을 주고, 절차 없이 이루어진 면담은 나중에 이의 제기를 당한다 | 보존 조치를 마친 뒤, 절차와 기록을 갖춰 면담한다 |
| 계정을 전면 차단한다 | 시스템 구성에 따라 로그 수집 경로까지 함께 끊길 수 있고, 상대가 사태를 인지한다 | 권한만 축소하고 로그 수집은 유지하는 방식을 우선 검토한다 |
| 사내 공지로 사실을 알린다 | 관련자가 자료를 정리하고 대비할 시간이 생긴다 | 알아야 할 사람의 범위를 최소로 정해 문서로 관리한다 |
| 확인될 때까지 아무것도 하지 않는다 | 로그 보관기간이 지나 되돌릴 수 없게 된다 | 침해 여부 판단과 무관하게 ‘보존’은 즉시 실시한다 |
이 표의 다섯 행 모두 판단(침해인가 아닌가)과 보존(자료를 남길 것인가)을 분리하지 않아서 생기는 문제입니다. 보존은 침해가 확정되지 않아도 할 수 있고, 분석이나 추궁에 비하면 되돌리기 어려운 결과를 남기지 않습니다.
4. 무엇을 기록과 증거로 남겨야 하는가 ― 대응 과정 자체의 기록
사고 대응에서 남겨야 할 기록은 두 층입니다. 하나는 유출과 관련된 증거이고, 다른 하나는 회사가 어떻게 대응했는지에 관한 기록입니다. 후자를 빠뜨리는 회사가 많습니다.
후자가 필요한 이유는 세 가지입니다. 첫째, 비밀관리성의 증명 자료가 됩니다. 사고를 인지하고 즉시 조치했다는 기록은 “이 회사는 이 정보를 비밀로 관리해 왔다”는 주장을 뒷받침합니다. 둘째, 증거의 무결성 주장을 뒷받침합니다. 셋째, 개인정보 유출이 함께 발생한 경우 규제기관에 대한 소명 자료가 됩니다.
구체적으로는 다음을 남깁니다.
• 인지 경위와 시각 ― “언제, 누구로부터, 어떤 내용으로 알게 되었는가.”
• 보존 조치 내역 ― 어떤 기기·계정·로그를 언제 누구의 지시로 보존했는지. 해시값을 산출했다면 그 값과 산출 시각.
• 접근·조사 기록 ― 누가 무엇을 열람했는지. 조사를 최소화했다는 사실 자체가 기록되어야 합니다.
• 판단 근거 ― 왜 계정을 즉시 차단하지 않았는지, 왜 형사고소를 보류했는지. 나중에 “왜 그때 안 했느냐”는 질문을 받게 됩니다.
• 외부 연락 이력 ― 언제 누구에게 자문을 구했는지.
형식은 중요하지 않습니다. 날짜와 시각이 들어간 문서 한 장이면 충분하고, 사후에 작성하지 않는 것이 그 문서의 유일한 요건입니다.
5. 실무에서 자주 나오는 질문
Q1. 확실하지 않은데 보존 조치를 하면 직원을 의심하는 것처럼 보이지 않을까요?
보존과 조사를 나누면 이 문제는 상당 부분 해소됩니다. 반납 기기를 원래 상태로 격리해 두는 것, 로그 보관기간을 연장하는 것은 개인을 겨냥한 조치가 아니라 상태를 유지하는 조치입니다. 오히려 이런 절차를 상시 운영 규칙으로 정해 두면(예: 퇴직자 반납 기기는 일정 기간 원상 보관), 특정 사건에서만 예외적으로 이루어진 조치라는 인상 자체가 생기지 않습니다.
Q2. 퇴직자가 개인 계정으로 자료를 보냈다고 의심되는데, 그 계정을 확인할 방법이 있습니까?
회사가 직접 확인할 방법은 사실상 없고, 시도해서도 안 됩니다. 회사가 볼 수 있는 것은 회사 쪽에 남은 흔적입니다. 사내 메일 서버의 발신 기록, 파일 서버의 다운로드 이력, 단말의 외부 저장장치 연결 기록, AI 에이전트의 접근 로그 등입니다. 이것으로 부족하다면 증거보전이나 형사절차를 통해 접근하는 것이 정식 경로입니다. 이 지점에서 회사가 무리하면, 확보한 자료의 증거능력과 회사의 법적 지위가 함께 흔들립니다.
Q3. 사고가 나면 무조건 형사고소부터 하는 것이 유리하지 않습니까?
유리한 경우도 있고 그렇지 않은 경우도 있습니다. 형사절차는 회사가 접근할 수 없는 자료에 닿을 수 있다는 큰 장점이 있지만, 절차의 속도와 범위를 회사가 통제할 수 없고, 영업비밀의 내용을 수사기관에 설명하는 과정에서 정보가 더 넓게 알려질 위험도 있습니다. 또 형사 처분이 민사 재판을 법적으로 구속하지는 않지만, 무혐의 처분이 난 뒤 같은 사실관계로 민사에서 다투는 것이 실무적으로 더 어려워지는 것은 사실입니다. 어떤 결과를 원하는지(중단인가, 배상인가, 처벌인가)를 먼저 정하고 수단을 고르는 것이 순서입니다. 다만 어떤 수단을 택하든 첫날의 보존 조치는 동일하므로, 수단 선택을 이유로 보존을 미룰 이유는 없습니다.
6. 맺으며
기술유출 사건의 상담에서 제가 가장 자주 듣는 말은 “우리 기술이 확실히 넘어갔다”이고, 가장 자주 하는 질문은 “그것을 무엇으로 증명할 수 있습니까?”입니다. 이 두 문장 사이의 거리가 사건의 결과를 결정합니다.
한 가지만 덧붙이겠습니다. 앞의 대법원 판결에서 원고는 자기 정보의 영업비밀성을 인정받고도 졌습니다. 공동으로 만든 도면의 권리귀속과 사용범위를 약정해 두지 않은 것이 그 배경에 있었습니다. 자기 회사의 무엇이 자기 것인지 스스로 설명하지 못하는 회사는, 그것을 지킬 수도 없고 다음 세대에 물려줄 수도 없습니다. 이 문제는 사람의 손과 눈에 남아 있는 지식으로 넘어가면 훨씬 더 어려워집니다. 이 시리즈가 끝나면 그 이야기를 하겠습니다.
