한국영업비밀보호협회는 기업이 생성형 AI를 쓰면서도 자기 기술과 정보를 지킬 수 있도록 「10대 가이드라인」을 순차 공개하고 있습니다. 오늘은 그 세 번째 항목으로, 회사가 업무에 쓸 AI를 무엇을 보고 골라야 하는지를 다룹니다.
1. 지난 회에서 이어 ― 규정에 넣을 ‘허용 도구’는 어떻게 정할까?
지난 번 10대 가이드라인의 ②번째인 “임직원 AI 사용규정과 교육체계”에서는 AI 사용규정의 뼈대 네 가지를 말씀드렸고, 그 첫 번째가 ‘허용 도구’였습니다. 무엇을 기준으로 허용할 것인가.
직원 300명 규모의 자동차부품 제조사를 가정해 보겠습니다. 공정기술팀 과장이 열처리 공정의 불량 원인을 분석하려고 온도 이력과 불량률 데이터를 AI에 넣습니다. 개인 신용카드로 결제한 유료 구독이었습니다. 석 달 뒤 그 과장이 경쟁사로 옮겼을 때, 회사는 무슨 자료가 나갔는지, 지금 어디에 얼마나 남아 있는지, 삭제를 요구할 수 있는지, 그 계정에 대해 무슨 권리를 갖는지 어느 것에도 답할 수 없었습니다.
이 회사의 문제는 AI를 썼다는 데 있지 않고, 도구를 고르는 절차가 없었다는 데 있습니다.
2. 왜 ‘도구 선택’이 영업비밀 문제인가?
첫째, 도구를 고르는 순간 정보의 운명이 결정됩니다. 어떤 계약 조건으로 AI 모델을 사용하느냐에 따라 우리 회사 자료가 학습에 쓰이는지, 며칠 남는지, 삭제를 요구할 수 있는지, 어느 나라 서버에 있는지가 달라집니다. 직원 각자가 고른 도구는 회사가 이 중 어느 하나에도 답할 수 없는 상태를 만듭니다.
둘째, 비밀관리성은 ‘어디에 보관하였는가’를 함께 봅니다. 대법원은 비밀관리성을 접근 대상자나 접근 방법을 제한하거나 접근한 자에게 비밀준수의무를 부과하는 등의 조치를 통해 객관적으로 그 정보가 비밀로 유지·관리되고 있다는 사실이 인식 가능한 상태로 보아 왔습니다(대법원 2022. 6. 16. 선고 2018도51 판결 등). 회사가 통제하지 못하는 외부 계정에 자료가 올라가 있다면 접근 방법을 제한했다고 설명하기가 그만큼 어려워집니다.
셋째, 정부 문서가 이미 같은 확인 항목을 권고하고 있습니다. 국가정보원의 「챗GPT 등 생성형 AI 활용 보안 가이드라인」은 이용약관 숙지, 데이터 보관·삭제 정책 숙지, 데이터 제어 설정을 통한 학습 비활성화, 업무용과 개인용 계정 분리를 듭니다. 개인정보보호위원회의 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」는 상용 AI를 API로 활용하는 유형에 대해 기업용 약관과 데이터 처리 부속서(DPA)로 데이터 보호 요구사항을 계약상 확보하고 국외 이전 여부를 검토할 것을 제시합니다. 국가핵심기술이나 산업기술을 보유한 기업이라면 「산업기술의 유출방지 및 보호에 관한 법률」상 보호조치와 국외 이전 규율이 함께 적용되는지도 별도로 검토해야 합니다.
3. 실무에서 갈라 보아야 할 세 가지 오해
가. “학습에 쓰지 않는다”와 “보관하지 않는다”는 다른 약속이다
이 둘을 같은 말로 읽는 것이 가장 흔한 오해입니다. 학습 미사용을 약속한 서비스도 대개 오남용 탐지와 안전 점검을 위해 일정 기간 입력과 출력을 보관합니다. 학습에는 쓰이지 않지만 서버에는 남아 있고, 그 기간 동안 법적 절차의 대상이 될 수 있습니다. ‘무보관’ 옵션(zero data retention)을 승인받은 경우에도 자동 안전 시스템이 이상 징후로 표시한 대화는 상당 기간 보관될 수 있고, 특정 기능이나 모델은 아예 그 특례에서 빠져 있기도 합니다. 어느 기능·어느 모델에 적용되며 예외가 무엇인지를 물어야 합니다.
나. ‘저장 위치’와 ‘처리 위치’는 다르다
“국내 지역을 지원한다”는 답변을 받았다면, 그것이 저장에 관한 것인지 실제 연산이 이뤄지는 추론까지 포함하는지 물어야 합니다. 저장은 국내, 추론은 해외인 구성도 있을 수 있기 때문입니다. 입력 자료에 개인정보가 섞여 있다면 이는 도구 선택의 문제를 넘어, 개인정보 보호법상 처리위탁 또는 국외이전에 해당하는지를 따로 판단해야 하는 문제가 됩니다.
다. ‘삭제 요청’과 ‘파기 완료’는 다르다
개별 대화를 지웠다고 사업자 서버에서 사라진 것은 아닙니다. 확인해야 할 것은 네 가지입니다. ➀개별 건 삭제가 되는지, ➁백업본과 로그까지 포함하여 삭제되는지, ➂계약이 종료 후 파기 기한이 정해져 있는지, ➃그리고 파기 사실을 확인해 주는 문서를 받을 수 있는지입니다. 인적 검토를 거친 자료나 비식별 처리된 자료는 삭제 대상에서 빠져 있는 경우가 적지 않습니다.
4. 기업은 무엇을 갖춰야 하는가
가. 먼저 지금 사용하고 있는 것부터 파악한다
승인 절차를 만들기 전에 현황부터 확인하십시오. 법인카드와 경비 정산 내역의 AI 서비스 결제 건, 회사 계정으로 가입된 SaaS 목록, 업무용 브라우저 확장과 회의 녹취 도구를 한 주 안에 취합할 수 있습니다. 목록이 나온 뒤에야 무엇을 승인하고 무엇을 정리할지 정해집니다.
나. 도구 승인 기준을 질문 목록으로 만든다
“회사가 승인한 AI만 사용한다”는 규정은 승인 기준이 없으면 공전합니다.
다. 규정 문안을 고쳐 쓴다
| (현재 흔히 쓰이는 예) 제○조 임직원은 회사가 승인한 생성형 AI 서비스만 업무에 사용한다. (보완 예시 ― 회사 사정에 맞게 조정하십시오) 제○조 ① 생성형 AI 서비스는 회사 명의 계약으로만 도입하며, 개인 명의 계정의 업무 사용을 금지한다. ② 신규 도입 시 별표의 「업무용 AI 도입 검토서」를 작성하고 정보보호책임자의 승인을 받는다. ③ 승인된 도구는 서비스명·계약 계층·확인일자를 함께 기재하여 허용 도구 목록에 등재한다. ④ 허용 도구 목록은 반기 1회 이상 약관 개정 여부를 확인하여 갱신한다. |
차이는 하나입니다. 보완안에는 누가 무엇을 확인해서 언제 승인했는지가 기록으로 남습니다.
라. 계정을 회사 자산으로 만들고, 사람에 대한 고지를 함께 준비한다
개인 명의 계정은 회사가 로그를 확보할 수도, 설정을 강제할 수도, 퇴직 시 회수할 수도 없습니다. 계정 관리 권한을 회사가 갖지 못하면 뒤의 어떤 조치도 강제할 수단이 없습니다.
그리고 프롬프트에는 회사 자료만이 아니라 개인정보와 개인의 노하우도 함께 들어갑니다. 처리 목적과 보관 기간을 별도로 안내하시고, 숙련자에게 자기 노하우를 정리해 입력하도록 요청할 때에는 그 결과물의 귀속과 활용 범위를 미리 정해 두십시오. 표출된 노하우가 곧바로 회사의 영업비밀이 되는 것은 아닙니다. 이 쟁점은 암묵지 자산화를 다루는 후속 시리즈에서 본격적으로 다루겠습니다.
5. 실무에서 자주 나오는 질문
Q. 국내 사업자 서비스를 쓰거나 사내에 직접 구축하면 이 검토를 건너뛰어도 됩니까?
①에서 다룬 사내 접근권한 분리 문제는 그대로 남고, 여기에 몇 가지가 더해집니다. 국외이전 쟁점은 줄어들지만 학습 이용 여부, 보관기간, 삭제 절차, 하위처리자에 관한 질문은 국내 사업자에게도 똑같이 해야 합니다. 사내 구축의 경우에도 모델을 외부에서 들여왔다면 그 라이선스와 사용 정보 수집 설정을, 클라우드 위에 구축했다면 어떤 구성요소가 사업자 영역에 남는지를 확인해야 합니다. 공개된 문서로 확인되지 않는 사항은 계약서와 서면 답변으로 받아 두십시오.
Q. 협력사가 우리 자료를 자기 AI에 넣는 것은 어떻게 막습니까?
우리가 아무리 도구를 잘 골라도 자료를 넘겨받은 쪽에서 통제가 무너지면 결과는 같습니다. 협력사에 제공하는 기술자료에는 AI 입력 제한과 재위탁 통제 조항을 넣고 제공 이력을 남기십시오. 이 문제는 ⑤회에서 따로 다루겠습니다.
6. 맺으며
업무용 AI를 고르는 일은 성능 비교가 아니라 위험 배분의 문제입니다. 어떤 계약으로 쓸 것인가를 정하는 순간, 우리 정보가 얼마나 오래 어디에 남고 누구의 손이 닿을 수 있는지가 함께 정해집니다. 그렇게 정한 내용을 날짜와 함께 기록해 두는 일까지가 도구 선택입니다. 동시에 계약의 한계는 정직하게 인정할 필요가 있습니다. 아무리 잘 받아낸 약속도 사업자가 통제할 수 있는 범위에서만 유효합니다. ①의 입력금지 분류가 여전히 첫 번째 방어선이고, 오늘의 도구 선택은 그 위에 세우는 두 번째 방어선입니다.
다음 회에서는 사람이 아니라 AI가 직접 회사 시스템에 접속하기 시작할 때의 문제, 「④ AI 에이전트의 접근권한, 프롬프트·출력 로그와 반출통제」를 다루겠습니다.
