직원이 급한 마음에 고객 명단이나 미공개 설계도를 그대로 ChatGPT에 붙여넣는다면? 생성형 AI는 이제 거의 모든 사무실에서 쓰이지만, 무엇을 입력해도 되는지에 대한 회사의 기준이 없다면 영업비밀은 매일 조금씩 새어 나갈 수 있습니다.
더 큰 문제는 사고가 터진 뒤입니다. 회사에 아무런 규정도 없었다면, 법적으로 “이 정보를 비밀로 관리해 왔다(비밀관리성)”는 사실을 증명하기 어려워집니다. 규정의 부재가 오히려 회사에 불리한 자료가 되는 것입니다. 이 글에서는 한국영업비밀보호협회(KTSPA)의 「생성형 AI 사내 사용규정」 표준 템플릿(Word)을 무료로 배포하고, 규정의 4가지 뼈대와 작성법을 정리했습니다.
왜 ‘AI 사용규정’이 필요한가
영업비밀로 보호받으려면 회사가 그 정보를 비밀로 관리해 왔다는 사실이 인정되어야 하고, 이때 정보를 다루는 직원이 “이것은 비밀이고 이렇게 다뤄야 한다”는 점을 알고 있었는지가 중요하게 평가됩니다. 규정으로 알리고, 교육으로 반복하고, 서약으로 확인하는 과정은 바로 이 ‘인지(認知)’를 증명하는 자료가 됩니다. 규정이 있으면 회사는 관리 주체로 서고, 개별 사고는 ‘규정 위반’으로 좁혀집니다.
좋은 AI 사용규정의 4가지 뼈대
규정은 길 필요가 없습니다. 다음 네 가지만 명확하면 충분합니다.
| 뼈대 | 담아야 할 내용 |
|---|---|
| ① 허용 도구 | 업무에 쓸 수 있는 AI 서비스를 지정한다(조직이 승인한 것만 사용) |
| ② 입력금지 정보 | 무엇을 입력하면 안 되는지 특정한다(입력금지 분류표와 연결) |
| ③ 예외 승인 | 꼭 필요할 때 누구의 승인을 받아 어떤 조건으로 처리하는지 정한다 |
| ④ 위반 시 조치 | 어겼을 때 어떤 절차와 책임이 따르는지 사전에 고지한다 |
규정을 ‘살아 있게’ 유지하는 법
AI 모델과 서비스 약관은 몇 달 단위로 바뀝니다. 허용 도구 목록에 버전과 갱신일을 붙이고, 새 서비스를 도입할 때 거치는 검토 절차(약관·데이터 학습·보관·삭제 정책 확인)를 규정에 넣어 두세요. 만들어 두고 방치한 규정은 “있지만 지켜지지 않은 규정”이 되어 오히려 관리 부실의 근거가 됩니다. 일관된 집행 자체가 관리의 증거입니다.
교육·서약과 한 고리로 묶기
규정·교육·서약은 따로 있으면 힘이 약합니다. 교육은 ‘비밀을 지킵시다’ 같은 구호가 아니라 우리 회사에서 실제로 무엇이 입력금지인지를 사례로 보여 주고, 최소 연 1회 정기 + 도구 도입·규정 개정 시 수시로 반복하며, 일자·대상·내용·이수자를 기록해야 합니다. 서약은 입사 시 한 장으로 끝내지 말고 규정 개정·직무 변경·퇴직 시점마다 다시 받아 ‘생애주기’로 관리하세요. 교육 자리에서 규정을 펼쳐 보여 주고 그 자리에서 서약을 받으면, 세 문서가 서로를 뒷받침합니다.
반드시 남겨야 할 기록 6가지
규정 제·개정 이력과 승인권자 / 전사 공지·게시 이력 / 교육 실시 기록 / 서약서 원본과 갱신 이력 / 허용 도구 목록의 버전 관리 / 위반 적발과 조치 기록 — 분쟁에서 강한 것은 흩어진 문서 여러 장이 아니라 하나로 연결된 기록입니다.
표준 템플릿 무료 다운로드
KTSPA 「생성형 AI 사내 사용규정」 표준 템플릿입니다. 제1조~부칙까지의 조문과 [별표1] 허용 도구 목록 · [별표2] 입력금지 정보 분류표 · [별지] AI 사용 서약서 · [개정 이력]이 포함되어 있어, [ ] 부분만 회사 상황에 맞게 채우면 바로 쓸 수 있습니다.
※ 본 템플릿은 표준안이며, 개별 사정에 따라 수정·보완하여 활용하시기 바랍니다.
자주 나오는 질문
Q. 규정을 게시판에 올려 두었으면 충분한가요?
게시는 출발점이지 완성이 아닙니다. 올려 두기만 하고 아무도 열어 보지 않았다면 ‘인지’의 증거로는 약합니다. 교육과 서약으로 ‘알렸다’는 사실까지 남겨야 한 세트가 됩니다.
Q. 교육은 얼마나 자주 해야 하나요?
법정 주기는 없습니다. 실무적으로 최소 연 1회 정기 교육 + 새 서비스 도입·규정 개정 시 수시 교육을 권합니다. 핵심은 횟수가 아니라 ‘반복했다는 사실’과 ‘그 기록’입니다.
Q. 입사 때 포괄 비밀유지 서약을 이미 받았는데 또 받아야 하나요?
포괄 서약은 넓지만 얕습니다. 생성형 AI라는 구체적 위험을 특정하지 못하기 때문입니다. 기존 서약을 없애라는 뜻이 아니라, AI 사용에 관한 별도 서약을 더하시라는 뜻입니다.
이 다음으로 도움이 될 것들
새 칼럼·서식·법제도 개정 안내를 정기적으로 보내드립니다.
본 글은 일반적인 정보 제공을 목적으로 하며, 구체적 사안에 대한 법률 자문이 아닙니다. 개별 상황에 맞는 규정 수립·검토는 전문가 상담을 권장합니다.
한국영업비밀보호협회(KTSPA)는 영업비밀 보호를 통한 국가경쟁력 강화를 선도하는 전문 민간 협회입니다. 컨설팅·교육·정책연구의 세 축으로 기업의 핵심 자산을 지킵니다.
