한국영업비밀보호협회는 2026년 핵심 활동 방향에서 「생성형 AI 사용과 기업 영업비밀 보호를 위한 10대 가이드라인」을 협회의 첫 대표 문서로 예고한 바 있습니다. 오늘부터 그 항목을 하나씩 공개합니다.
먼저 말씀드릴 것은 이 시리즈가 생성형 AI 사용을 금지하자는 취지가 아니라는 점입니다. 어떻게 써야 기업이 자기 영업비밀을 잃지 않는가, 더 정확히는 어떻게 써야 나중에 “우리는 비밀로 관리했다”고 증명할 수 있는가를 정리하는 문서입니다.
각 항목은 다음 세 단계로 서술합니다.
· 왜 필요한가?
· 무엇을 갖춰야 하는가?
· 무엇을 기록으로 남겨야 하는가?
1. 왜 ‘입력금지 정보 분류’가 첫 번째인가?
첫째, 분류가 없으면 나머지 아홉 개가 작동하지 않기 때문입니다. 사용규정도, 교육도, 로그 관리도 결국 “무엇을 지킬 것인가”가 정해져 있어야 성립합니다. 지킬 대상이 특정되지 않은 규정은 문장으로만 존재하고, 지킬 대상을 모르는 교육은 기억에 남지 않습니다. 분류는 나머지 항목이 딛고 설 바닥입니다.
둘째, 법이 요구하는 요건이 바로 이 지점에서 갈리기 때문입니다. 「부정경쟁방지 및 영업비밀보호에 관한 법률」은 비공지성·경제적 유용성·비밀관리성을 갖춘 정보만을 영업비밀로 보호합니다. 이 중에 기업이 가장 자주 무너지는 요건이 ‘비밀관리성’입니다. 정보가 아무리 값진 것이어도, 그것을 비밀로 관리해 왔다는 사실이 드러나지 않으면 보호받지 못합니다. 그리고 ‘비밀로 관리했다’는 주장의 출발점은 언제나 “우리는 이 정보를 비밀로 구분해 두었다”입니다.
셋째, 생성형 AI 환경에서 반출의 문턱이 사라졌기 때문입니다. 과거의 유출은 대개 출력, 복사, 외부 저장매체, 대용량 메일 등 물리적 흔적을 남겼습니다. 하지만 지금은 붙여 넣기 한 번으로 끝납니다. 악의도 없이, 오히려 일을 잘하려는 마음에서 일어납니다. 통로는 넓어졌는데 기준은 과거에 머물러 있는 상태. 지금 많은 기업들이 처한 상황입니다.
2. 무엇을 갖춰야 하는가?
가. 정보 등급 체계를 정의한다
모든 정보를 똑같이 다루면 관리는 불가능해집니다. 먼저 회사의 정보를 등급으로 나눕니다. 공개 / 내부용 / 비밀 / 극비와 같은 4단계 구분이 실무에서 널리 쓰입니다. 그리고 각 등급에 해당하는 문서가 실제로 무엇인지 예시로 특정하는 것이 무엇보다 중요합니다.
나. 등급별로 ‘외부 AI 입력 가능 여부’를 명시한다
기존 정보 등급표에 열을 하나 더 붙이는 일이라고 보시면 됩니다. 등급별로 외부 AI 서비스 입력이 가능한지, 조건부로 가능한지, 금지인지를 표시합니다. 기존 보안 체계를 새로 만드는 것이 아니라 확장하는 것이므로, 부담은 크지 않고 효과는 즉각적입니다.
다. 입력금지 목록은 짧고 구체적으로 만든다
가이드라인이 실패하는 가장 흔한 이유는 목록이 너무 길고 추상적이기 때문입니다. “중요 정보 입력 금지”라는 문장은 아무것도 금지하지 못합니다. 실무자가 자기 손에 든 파일을 딱 보고 5초 안에 판단할 수 있어야 합니다.
일반적으로 다음 항목은 외부 AI 입력금지로 분류할 것을 권합니다.
· 미공개 기술자료 ― 설계도면, 소스코드, 실험 데이터, 미출원 발명 내용
· 고객·임직원 개인정보 ― 이름, 연락처, 식별번호가 포함된 일체의 자료
· 원가·단가·수익 구조 자료
· 미공개 계약 조건 및 협상 진행 자료
· 인수합병·투자 등 미공시 경영 정보
· 협력사로부터 비밀유지 조건으로 받은 자료
마지막 항목은 특히 유의해야 합니다. 남의 비밀을 우리 직원이 AI에 넣는 순간, 문제는 우리 정보의 유출이 아니라 계약 위반과 손해배상의 문제가 됩니다.
라. 문서 단계에서 식별 표시를 남긴다
분류는 문서에 표시로 드러나야 합니다. 파일명 규칙, 문서 머리말의 비밀등급 표기, 문서관리시스템의 등급 속성 어느 방식이든 좋습니다. 표시가 없으면 실무자는 알 수 없고, 분쟁에서는 “구분해 두었다”는 사실을 보여줄 수단이 없습니다.
마. 예외 승인 절차를 함께 만든다
금지만 있고 길이 없으면 직원들은 규정을 우회하게 됩니다. 업무상 꼭 필요한 경우에 누구의 승인을 받아 어떤 조건으로 처리할 수 있는지를 함께 정해야 합니다. 예를 들어 식별정보를 지운 형태로만 입력하도록 하거나, 회사가 계약한 기업용 환경에서만 다루도록 하는 방식입니다. 예외 절차가 있어야 규정이 살아 있게 됩니다.
3. 무엇을 기록으로 남겨야 하는가?
분류 작업의 목적은 결국 증명입니다. 다음 항목은 문서로 남기실 것을 권합니다.
· 정보 등급표와 입력금지 목록 ― 제정일과 개정 이력을 함께 남깁니다
· 승인권자와 제정 근거 ― 누가 정했는가가 규정의 효력을 뒷받침합니다
· 전사 공지 이력 ― 언제, 어떤 방식으로 알렸는지가 인지 여부를 뒷받침합니다
· 예외 승인 기록 ― 신청자, 대상 정보, 승인 조건, 승인 일자
· 개정 이력 ― AI 환경은 빠르게 바뀌므로 갱신 자체가 관리의 증거가 됩니다
특히 개정 이력에 주목해 주시기 바랍니다. 한 번 만들고 방치한 규정보다, 환경 변화에 따라 갱신해 온 규정이 훨씬 강한 관리의 근거가 됩니다.
4. 실무에서 자주 나오는 질문
Q. 이미 직원들이 몇 달째 AI를 쓰고 있습니다. 지금 분류를 만들어도 늦은 것 아닙니까?
늦지 않았습니다. 비밀관리성은 사고 시점 이후로도 계속 평가받는 상태이고, 지금부터의 관리 이력은 지금부터 쌓입니다. 다만 소급해서 만들어 낸 문서로 과거를 덮으려는 시도는 하지 마시기 바랍니다. 제정일을 정직하게 남기는 편이 훨씬 안전합니다.
Q. 회사에 보안 조직이 없습니다. 어디서부터 시작해야 합니까?
입력금지 목록 한 장부터 만드시면 됩니다. 등급 체계 전체를 완성한 뒤에 시작하려 하면 대개 착수하지 못합니다. 절대 넣으면 안 되는 항목 대여섯 줄을 정해 전사에 공지하고 그 사실을 남기는 것만으로도, 아무것도 없는 상태와는 전혀 다른 위치에 서게 됩니다.
Q. 사내에 설치한 AI라면 자유롭게 넣어도 됩니까?
외부 유출 위험은 줄지만 비밀관리성 문제는 남습니다. 사내 환경이라도 접근권한은 구분하시는 게 좋습니다. 그렇지 않으면 권한 없는 직원이 핵심 자료를 열람할 수 있는 상태로 될 수 있습니다. 그 상태 자체가 관리의 부실로 평가될 수 있습니다.
5. 자가진단 체크리스트
· 회사의 정보 등급 체계가 문서로 존재하는가?
· 등급별 외부 AI 입력 가능 여부가 표시되어 있는가?
· 입력금지 목록이 실무자가 5초 안에 판단할 수 있을 만큼 구체적인가?
· 문서·파일에 비밀등급 식별 표시가 남아 있는가?
· 예외 승인 절차와 승인권자가 정해져 있는가?
· 제정·공지·개정 이력이 기록으로 보관되고 있는가?
여섯 항목 중 빈칸이 많을수록 사고가 난 뒤 “비밀로 관리했다”고 말할 근거가 줄어듭니다.
■ 맺으며
입력금지 정보 분류는 거창한 보안 투자가 아닙니다. 회사가 지킬 것을 스스로 지목하는 일이고, 그 지목을 ‘기록’으로 남기는 일입니다.
개인정보는 시민의 권리, 영업비밀은 기업의 생명, 기술주권은 국가의 미래입니다. 기업이 무엇을 지킬지 스스로 정하는 일에서 그 셋은 함께 시작됩니다. 다음 회에서는 이 분류를 실제로 작동시키는 장치, 「② 임직원 AI 사용규정과 교육체계」를 다루겠습니다.
