고객자료를 생성형 AI에 넣어도 될까요? 개인정보·영업비밀 입력 전 점검

먼저 개인정보와 비밀정보를 구분합니다

한 파일에 여러 종류의 보호 대상이 함께 들어갈 수 있습니다. 견적서의 담당자 이름·직통번호는 개인정보 문제가 되고, 거래처별 할인율이나 미공개 기술사양은 영업비밀 또는 계약상 비밀정보 문제가 될 수 있습니다. 파일 제목이 “일반 업무자료”인지보다 실제 내용과 다른 자료와의 결합 가능성이 중요합니다.

개인정보 보호법 제2조는 살아 있는 개인을 알아볼 수 있는 정보뿐 아니라 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보도 대상으로 삼습니다. 이름을 A씨로 바꾸었어도 희귀한 직책, 상세한 주소, 사건 날짜와 거래 내역이 남아 있다면 식별 가능성이 사라졌다고 단정하기 어렵습니다. 법인명 자체와 그 법인 담당자의 개인 연락처도 구분해야 합니다.

수집한 목적과 AI에 맡길 업무가 연결되는지 봅니다

개인정보 보호법 제15조는 동의, 계약 이행에 필요한 처리 등 수집·이용의 근거를 정합니다. 고객과 계약을 체결하면서 받은 정보라고 해서 이후의 모든 분석에 사용할 수 있는 것은 아닙니다. 어떤 업무를 위해 어떤 항목이 필요한지, 당초 목적의 범위인지부터 설명할 수 있어야 합니다.

예를 들어 계약 조항의 의미를 묻는 작업은 실명·전화번호·계좌번호를 넣지 않고도 수행할 수 있는 경우가 많습니다. 반면 고객별 건강정보나 인사평가를 포함한 파일은 일반 계약서보다 별도 제한과 위험을 더 세밀하게 검토해야 합니다. 실제 업무 목적을 한 문장으로 적고, 그 목적에 꼭 필요한 자료와 편의를 위해 함께 올리는 자료를 나누는 방식이 유용합니다.

동의가 항상 유일한 근거인 것도 아니고, 업무에 도움이 된다는 사정만으로 정당한 이익이나 계약상 필요성이 인정되는 것도 아닙니다. 기존 목적과의 관련성에 따른 추가 이용·제공 규정에도 별도의 요건이 있습니다. 처리 근거가 불분명한 상태에서 넓은 문구의 동의서만 추가하거나 직원 개인 판단에 맡기는 방식은 피하는 것이 좋습니다.

AI 서비스와의 관계가 위탁인지 제3자 제공인지 확인합니다

서비스 제공자가 조직의 지시에 따라 정해진 업무만 수행하는지, 받은 정보를 자체적인 목적에도 사용하는지에 따라 검토할 법적 구조가 달라집니다. 개인정보 처리업무 위탁이라면 제26조에 따른 문서화, 위탁 내용과 수탁자 공개, 안전한 처리에 대한 감독 등 의무를 살펴야 합니다. 제3자 제공이라면 제17조·제18조에 따른 제공 근거와 목적 제한을 따로 검토해야 합니다.

“기업용”, “API”, “학습에 사용하지 않음”이라는 한 문장만으로 결론을 내릴 수는 없습니다. 적용 약관과 계약, 보관 기간, 서비스 개선 목적의 사용, 사람에 의한 열람 가능성, 재위탁 업체, 삭제·반환 절차를 함께 확인합니다. 같은 서비스도 계정 유형과 설정에 따라 조건이 달라질 수 있으므로 실제 사용하는 계정의 문서를 기준으로 관리합니다.

위탁 구조라고 판단하더라도 회사가 개인정보 보호 책임에서 벗어나는 것은 아닙니다. 반대로 외부 서비스를 사용한다는 이유만으로 모든 전송을 제3자 제공으로 단정할 수도 없습니다. 검토 결과와 적용 약관의 버전·확인일을 함께 보관하면 서비스 조건이 바뀌었을 때 재검토할 대상을 찾기 쉽습니다.

• 입력 자료·출력 결과·오류 로그에 대해 제공자가 허용받는 이용 목적
• 데이터 보관 기간, 삭제 방식, 계약 종료 시 반환·파기 조건
• 재위탁 및 접근 주체, 서비스 운영자가 내용을 열람할 수 있는 조건
• 사고 통보, 점검 협조, 권리행사 요청과 삭제 요청을 처리하는 절차

가명처리와 익명화는 같은 말이 아닙니다

개인을 알아볼 수 없도록 일부를 가렸다는 이유만으로 법 적용이 없어지는 것은 아닙니다. 추가 정보를 사용하거나 결합하면 개인을 알아볼 수 있는 가명정보도 개인정보입니다. 제28조의2가 정한 통계작성·과학적 연구·공익적 기록보존 등의 특례를 일반적인 고객 대응이나 영업 문서 요약에 당연히 적용해서는 안 됩니다.

실무에서는 파일 전체를 올리기 전에 필요한 문단만 추출하고, 당사자 정보와 고유 번호를 지운 뒤에도 남는 식별 가능성을 다시 보는 순서가 도움이 됩니다. 스프레드시트의 숨겨진 시트, 문서의 메모·수정 이력, 첨부 이미지에도 정보가 남아 있을 수 있습니다. 가공한 사본을 따로 만들되 원본의 보존 의무와 접근권한은 유지해야 합니다.

정보를 삭제하는 과정에서 의미가 달라져 잘못된 답을 얻는 문제도 있습니다. 사실관계를 훼손하지 않으면서 어느 부분을 추상화했는지 내부적으로 기록하고, 중요한 법률·의료·인사 판단을 AI 출력만으로 확정하지 않는 검토 절차를 둡니다. 자료 최소화는 정확성과 보안을 함께 고려해 설계해야 합니다.

저장·열람이 이루어지는 국가와 안전조치를 살핍니다

개인정보 보호법 제28조의8은 국외 제공뿐 아니라 국외 처리위탁과 보관에도 적용될 수 있으며, 조회되는 경우도 고려합니다. 외국 브랜드이므로 항상 국외 이전이라고 보거나 국내 브랜드이므로 국내 처리라고 단정해서는 안 됩니다. 실제 저장 위치, 운영·지원 인력의 접근, 재위탁 구조를 확인해야 합니다.

국외 이전에는 별도의 동의 외에도 법률·조약, 정보주체와의 계약 이행을 위한 필요성과 공개·통지 요건 등 법에서 정한 근거가 있습니다. 특히 계약 이행 관련 근거는 필요한 처리위탁·보관 등의 요건을 충족하는지를 보아야 하며, 처리방침에 적기만 하면 모든 이전이 허용되는 것은 아닙니다. 해당 근거에 맞는 고지사항과 보호조치를 함께 갖추어야 합니다.

제29조에 따른 안전조치도 별도로 검토합니다. 담당자별 접근권한, 계정 관리, 접속기록, 승인된 저장 위치 등은 조직의 기존 정보보호 체계와 연결하는 것이 좋습니다. 외부 AI에 전송하는 단계뿐 아니라 생성된 결과를 팀 채팅이나 공유폴더에 배포하는 단계에서도 개인정보가 불필요하게 퍼지지 않도록 범위를 정합니다.

영업비밀 지위와 비밀유지약정은 따로 점검합니다

부정경쟁방지법상 영업비밀은 공개되지 않았고 독립된 경제적 가치를 가지며 비밀로 관리된 유용한 기술상·경영상 정보라는 요건을 갖추어야 합니다. AI에 한 번 입력했다는 사정만으로 곧바로 영업비밀 지위를 잃는다고 단정할 수는 없습니다. 실제 제공 범위, 서비스의 보관·재사용 조건, 회사가 취해 온 비밀관리 조치 등을 구체적으로 보아야 합니다.

동시에 영업비밀로 인정되는지와 별개로 비밀유지약정 위반이 문제될 수 있습니다. 고객 계약이 외부 처리업체 이용에 사전 동의를 요구하거나 특정 자료의 제공을 제한한다면 그 문구와 예외를 확인해야 합니다. 회사의 자료라고 생각해도 고객이나 협력사가 권리를 가진 내용이 섞여 있을 수 있습니다.

내부 이용정책은 “기밀 입력 금지” 한 줄보다 허용 자료·금지 자료·사전 승인 자료를 나누고 예외 승인을 누가 하는지 정하는 편이 실행하기 쉽습니다. 업무용 계정의 접근권한, 직원 교육, 자료 등급 표시와 실제 통제 기록도 함께 갖춥니다. 이는 모든 분쟁의 결론을 보장하는 장치가 아니라 관리 상태를 설명하고 위험을 줄이는 수단입니다.

입력 전 검토는 네 단계로 운영할 수 있습니다

소규모 사업장도 반복적으로 사용하는 자료부터 승인 절차를 만들 수 있습니다. 각 팀이 같은 파일을 여러 개인 계정에 올리는 상황을 줄이고, 담당자가 판단하기 어려운 항목은 개인정보 보호책임자나 계약 담당자에게 연결하는 방식입니다. 다음 순서는 실무 관리를 위한 예시이며 모든 조직에 동일한 서식을 요구하는 법정 절차는 아닙니다.

1. 업무와 자료 범위 정하기

   어떤 결과가 필요한지 적고 자료의 소유·관리 주체, 개인정보 항목, 비밀유지약정을 확인합니다. 필요 없는 원본 첨부는 제외합니다.

2. 처리 구조 확인하기

   수집·이용 근거, 위탁·제공 관계, 저장·접근 국가를 확인하고 승인된 서비스·계정·설정인지 검토합니다.

3. 가공한 자료로 최소 입력하기

   식별자와 불필요한 기밀을 제거한 사본을 만들고 숨겨진 정보도 확인합니다. 민감하거나 해석이 어려운 자료는 별도 검토를 거칩니다.

4. 출력과 기록 관리하기

   결과의 사실관계를 검토하고 공유 대상을 제한합니다. 적용 약관, 승인 범위, 처리 기록과 삭제·보존 기준을 관리합니다.

가정한 예시: 시설의 구매계약 비교를 맡기려는 경우

다음은 설명을 위한 가정이며 로반의 실제 수행 사건이 아닙니다. 한 시설의 구매 담당자가 여러 공급업체 계약서의 해지 조건을 비교하려 합니다. 원본에는 담당자 연락처, 거래은행 계좌, 업체별 협상 할인율이 들어 있습니다. 해지 조항 비교에 필요하지 않은 정보까지 통째로 전송할 이유가 있는지 먼저 검토합니다.

담당자는 검토 대상 조항만 추출한 뒤 업체명을 임시 기호로 바꾸고 연락처·계좌 등 불필요한 항목을 제외할 수 있습니다. 다만 기호로 바꾼 뒤에도 개인이나 거래가 식별되는지, 할인 조건과 계약 조항이 비밀유지약정의 대상인지, 외부 처리에 별도 승인이 필요한지는 계속 확인해야 합니다. 약관과 처리 구조를 확인하지 않은 상태라면 실제 계약서 대신 일반적인 검토 항목을 묻는 방식부터 사용할 수 있습니다.

최종 비교표는 원본과 대조하고 누락된 예외 조항이 없는지 사람이 확인합니다. AI가 만든 해지 가능일이나 책임 범위를 그대로 거래처에 통보하면 별도의 계약 분쟁이 생길 수 있습니다. 입력 허용 여부와 출력 내용의 정확성 검토는 서로 다른 단계입니다.

• 검토 자료: 실제 사용 계정의 약관·개인정보 처리 문서·데이터 처리 계약
• 계약 자료: 고객·협력사 계약, 비밀유지약정, 외부 제공 승인 여부
• 운영 자료: 입력 대상 항목표, 처리 목적, 승인 기록, 권한·보관·삭제 기준
• 문제 발생 시: 전송 시점과 범위, 계정 설정, 수신·접근 가능 주체, 삭제 요청 내역을 정리

자주 묻는 질문