AI에 회사 자료를 넣어도 될까? 업무용 AI 보안 기준과 안전한 사용법
업무 중 AI를 쓰다 보면 가장 애매한 순간이 온다. 회의록을 정리하고 싶지만 참석자 이름이 들어 있고, 계약서를 요약하고 싶지만 거래처 정보가 보인다. 고객 문의를 분류하고 싶지만 연락처와 주문 내역이 포함되어 있다. 이럴 때 기준 없이 자료를 그대로 붙여 넣으면 업무 효율은 올라갈 수 있어도 회사 정보, 고객 정보, 내부 전략이 밖으로 나갈 위험이 생긴다.
결론부터 말하면 회사 자료를 AI에 넣어도 되는지는 도구 이름이 아니라 자료의 민감도, 회사 계정 여부, 관리자 설정, 입력 방식으로 판단해야 한다. 무료 개인 계정에 회사 원문을 그대로 넣는 방식은 피하고, 필요한 목적만 남긴 뒤 식별 정보를 제거해서 질문하는 것이 기본이다.
AI에 회사 자료를 넣기 전에 확인할 3가지
업무용 AI 보안은 복잡한 기술 지식보다 판단 순서가 중요하다. 자료를 넣기 전에 아래 세 가지를 먼저 확인하면 대부분의 위험을 줄일 수 있다.
- 이 자료를 외부 사람에게 보여줘도 되는가? 외부 공개가 어려운 자료라면 AI 입력도 신중해야 한다.
- 회사에서 허용한 계정이나 서비스인가? 개인 무료 계정과 회사가 계약한 업무용 계정은 데이터 처리 조건이 다를 수 있다.
- 원문 전체가 필요한가? 대부분의 업무는 원문 전체가 아니라 목적, 형식, 일부 예시만으로도 처리할 수 있다.
예를 들어 “이 계약서를 요약해줘”라고 계약서 전문을 넣는 것보다 “아래처럼 비밀유지 조항, 위약금 조항, 자동 연장 조항을 확인하는 체크리스트를 만들어줘”라고 요청하는 편이 안전하다.
절대 그대로 입력하면 안 되는 회사 정보
아래 정보는 AI 도구에 그대로 넣지 않는 것이 원칙이다. 특히 개인 계정, 무료 계정, 출처가 불명확한 확장 프로그램, 외부 자동화 도구에 입력하면 안 된다.
| 자료 종류 | 위험한 이유 | 대체 방법 |
|---|---|---|
| 고객 이름, 연락처, 주소, 주민등록번호, 계좌번호 | 개인정보 유출 위험이 크다. | 고객 A, 지역 B, 금액 C처럼 익명 처리한다. |
| 계약서 원문, 견적서, 단가표 | 거래 조건과 가격 전략이 노출될 수 있다. | 검토하고 싶은 조항 유형만 설명한다. |
| 미공개 매출, 손익, 투자 계획 | 회사 내부 경영 정보에 해당할 수 있다. | 숫자는 범위로 바꾸고 구조 검토만 요청한다. |
| 신제품 기획서, 마케팅 전략, 출시 일정 | 경쟁사에 민감한 정보가 될 수 있다. | 업종과 목표만 일반화해서 아이디어를 받는다. |
| 사내 계정, 비밀번호, API 키, 인증 토큰 | 시스템 접근 권한이 탈취될 수 있다. | 절대 입력하지 않는다. 이미 입력했다면 즉시 폐기하고 재발급한다. |
위험한 입력과 안전한 입력 예시
AI를 안전하게 쓰려면 “자료를 숨긴다”보다 “업무 목적만 남긴다”는 관점이 필요하다. 같은 업무라도 입력 방식에 따라 위험도가 크게 달라진다.
예시 1. 고객 문의 정리
위험한 입력
김OO 고객, 010-1234-5678, 서울시 OO구 OO동 거주. 7월 10일 결제한 주문번호 20260710-12345가 배송 지연됐다고 항의함. 이 내용을 정리해줘.
안전한 입력
온라인 쇼핑몰 고객 문의를 유형별로 분류하려고 한다. 문의 내용은 “배송 지연에 대한 항의, 환불 가능 여부 문의, 재발 방지 요청”이다. 고객 응대 메일 초안을 정중한 톤으로 작성해줘. 개인정보와 주문번호는 포함하지 마라.
예시 2. 회의록 정리
위험한 입력
참석자 실명, 거래처명, 예상 계약 금액, 내부 결정 전 일정이 모두 들어 있는 회의 녹취록 전체를 붙여 넣는 방식.
안전한 입력
다음 회의 내용을 실행 과제로 정리하려고 한다. 참석자는 A팀, B팀으로 바꾸고 거래처명은 “외부 파트너”로 표시했다. 출력 형식은 결정 사항, 담당 부서, 다음 행동, 확인 필요 사항으로 나눠줘.
예시 3. 보고서 초안 작성
위험한 입력
미공개 월별 매출표, 제품별 마진, 거래처별 계약 조건을 그대로 넣고 “경영진 보고서로 정리해줘”라고 요청하는 방식.
안전한 입력
월별 매출 추이를 설명하는 보고서 구조가 필요하다. 실제 숫자는 넣지 말고, 상승 요인, 하락 요인, 다음 달 확인 지표, 의사결정 필요 사항으로 구성된 보고서 목차와 문장 예시를 만들어줘.
입력해도 되는 정보와 바꿔서 넣어야 하는 정보
모든 회사 자료가 같은 위험도를 가진 것은 아니다. 공개 자료, 이미 배포된 보도자료, 제품 소개 페이지처럼 외부에 공개된 내용은 상대적으로 위험이 낮다. 반대로 내부 회의, 고객 데이터, 미공개 전략은 위험이 높다.
| 구분 | 입력 가능 여부 | 실무 기준 |
|---|---|---|
| 회사 홈페이지에 공개된 소개 문구 | 대체로 가능 | 공개 URL 기준으로 요약이나 문장 개선 요청 가능 |
| 이미 발행된 보도자료 | 대체로 가능 | 기사 요약, 카드뉴스 문구, FAQ 작성에 활용 가능 |
| 내부 회의 메모 | 익명 처리 후 제한적으로 가능 | 사람 이름, 거래처명, 금액, 일정은 제거 |
| 고객 문의 원문 | 그대로 입력 금지 | 개인정보 제거 후 유형과 감정 상태만 남김 |
| 계약서와 법률 문서 | 원문 입력 주의 | 조항 유형별 체크리스트를 만들고 최종 판단은 전문가 검토 |
| 비밀번호, API 키, 인증 코드 | 입력 금지 | 실수로 입력했다면 즉시 폐기, 재발급, 접근 로그 확인 |
ChatGPT, Gemini, Claude, Copilot을 업무에 쓸 때의 차이
업무용 AI를 고를 때는 모델 성능보다 먼저 데이터 처리 조건을 봐야 한다. 같은 이름의 AI라도 개인용 서비스와 기업용 서비스의 정책이 다를 수 있다.
- ChatGPT 개인용: OpenAI는 개인용 서비스에서 콘텐츠가 모델 학습에 사용될 수 있으며, 사용자가 학습 제외 설정을 할 수 있다고 안내한다. 반면 ChatGPT Business, Enterprise, API 같은 비즈니스 제품은 기본적으로 입력과 출력을 학습에 사용하지 않는다고 설명한다.
- Google Workspace with Gemini: Google은 Workspace용 Gemini에서 기업용 데이터 보호와 관리자 제어를 강조한다. Workspace 환경에서는 조직 설정, 사용 권한, 관리 정책을 함께 확인해야 한다.
- Claude 개인용: Anthropic은 Free, Pro, Max 계정에서 사용자가 허용한 경우 새 대화와 재개된 대화가 모델 개선에 사용될 수 있다고 안내했다. Claude for Work, API, 정부, 교육용 등 상업 조건의 서비스는 별도 조건이 적용된다.
- Microsoft 365 Copilot: Microsoft는 Microsoft Graph를 통해 접근한 조직 데이터, 프롬프트, 응답이 기반 LLM 학습에 사용되지 않는다고 설명한다. 다만 사용자가 접근 권한을 가진 문서가 Copilot 답변에 활용될 수 있으므로 SharePoint, Teams, OneDrive 권한 관리가 중요하다.
따라서 “어떤 AI가 안전한가”보다 “지금 내가 쓰는 계정이 개인용인가, 회사 계약 계정인가, 관리자가 어떤 설정을 해두었는가”를 먼저 봐야 한다.
회사에서 정하면 좋은 AI 사용 규칙
개인이 조심하는 것만으로는 한계가 있다. 팀이나 회사 단위로 아래 기준을 정해두면 실수를 줄일 수 있다.
- 사용 가능한 AI 도구 목록을 정한다. 개인이 임의로 설치한 확장 프로그램이나 출처가 불명확한 자동화 도구는 제한한다.
- 입력 금지 정보를 명확히 적는다. 개인정보, 비밀번호, API 키, 계약서 원문, 미공개 재무 정보처럼 금지 항목을 예시로 보여준다.
- 익명 처리 기준을 만든다. 고객명은 고객 A, 거래처명은 외부 파트너, 금액은 범위, 날짜는 분기 단위로 바꾸는 식이다.
- AI 결과물 검토 책임자를 정한다. AI가 만든 보고서, 메일, 안내문은 담당자가 사실 확인 후 사용해야 한다.
- 기록을 남긴다. 중요한 업무에 AI를 썼다면 어떤 자료를 넣었고 어떤 결과를 받았는지 간단히 기록한다.
- 사고 대응 절차를 둔다. 민감 정보를 잘못 입력했을 때 누구에게 알리고 무엇을 폐기하거나 재발급할지 정한다.
업무용 AI 보안 체크리스트
AI에 회사 자료를 넣기 전 아래 항목을 빠르게 확인하자. 하나라도 애매하면 원문 입력을 멈추고 자료를 줄이거나 익명 처리하는 편이 안전하다.
- 이 자료가 외부 공개 가능한 정보인가?
- 개인정보, 연락처, 주소, 계좌번호, 주문번호가 들어 있지 않은가?
- 회사 내부 전략, 가격, 계약 조건, 미공개 일정이 포함되어 있지 않은가?
- 개인 무료 계정이 아니라 회사가 허용한 업무용 계정인가?
- 관리자 설정에서 데이터 사용, 기록 보관, 외부 공유 조건을 확인했는가?
- 원문 전체 대신 요약된 상황 설명으로 질문할 수 없는가?
- AI 답변을 그대로 보내지 않고 사람이 사실 확인할 계획이 있는가?
- 민감 정보를 실수로 입력했을 때 보고할 담당자가 정해져 있는가?
바로 쓸 수 있는 안전한 요청문
회사 자료를 직접 넣기 어렵다면 아래처럼 요청하면 된다. 핵심은 “실제 데이터 대신 구조와 판단 기준을 요청하는 것”이다.
나는 회사 내부 자료를 외부 AI에 그대로 입력할 수 없다. 대신 업무 목적만 설명하겠다. 아래 상황을 기준으로 보고서 목차, 확인해야 할 항목, 누락되기 쉬운 위험 요소를 정리해줘. 실제 고객명, 거래처명, 금액, 계약 조건은 포함하지 말고 일반적인 예시로 작성해줘.
다음 내용을 고객 응대 메일로 바꾸고 싶다. 개인정보와 주문번호는 모두 제거했다. 답변은 정중하지만 책임을 단정하지 않는 표현으로 작성하고, 확인이 필요한 항목은 별도 목록으로 정리해줘.
회의록을 실행 과제로 정리하려고 한다. 참석자 이름은 부서명으로 바꾸고, 거래처명과 금액은 삭제했다. 결정 사항, 담당 부서, 다음 행동, 확인 필요 사항으로 나눠줘.
AI를 쓰지 않는 것이 답은 아니다
업무용 AI 보안의 목적은 AI 사용을 막는 것이 아니다. 위험한 자료를 그대로 넘기지 않으면서도 글쓰기, 요약, 분류, 검토, 보고서 구조화 같은 도움을 받는 기준을 만드는 것이다. 회사 자료는 원문 그대로 넣기보다 목적, 형식, 예시, 판단 기준만 남기는 방식으로 바꿔야 한다.
특히 팀 단위로 AI를 쓴다면 “각자 알아서 조심하자”로 끝내면 안 된다. 어떤 도구를 쓸지, 어떤 정보는 금지할지, 어떤 경우에 기록을 남길지 정해야 한다. AI를 잘 쓰는 회사는 더 많은 자료를 넣는 회사가 아니라, 넣어도 되는 자료와 넣으면 안 되는 자료를 구분하는 회사다.
공식 자료로 확인할 곳
AI 서비스의 데이터 처리 정책은 바뀔 수 있다. 실제 업무에 적용하기 전에는 사용 중인 서비스의 공식 문서를 확인해야 한다.
- Google Workspace with Gemini 안내
- Microsoft 365 Copilot 데이터, 개인정보, 보안
- Anthropic Consumer Terms and Privacy Policy updates
자주 묻는 질문
회사 메일 내용을 AI에 넣어도 되나?
공개 가능한 안내문 수준이면 가능할 수 있지만, 고객명, 거래처명, 계약 조건, 내부 결정 사항이 들어 있다면 그대로 넣지 않는 것이 좋다. 메일의 목적과 원하는 답변 톤만 설명하고 실제 정보는 제거하자.
회의 녹취록을 AI로 요약해도 되나?
회의 내용에 민감 정보가 없다면 활용할 수 있다. 다만 참석자 실명, 거래처명, 금액, 미공개 일정, 인사 정보가 포함되어 있다면 익명 처리 후 넣는 것이 안전하다.
AI가 회사 자료를 학습하지 않는다고 하면 안심해도 되나?
학습 여부만 보면 안 된다. 저장 기간, 관리자 열람 가능성, 외부 도구 연동, 사용 권한, 로그 보관 여부도 함께 봐야 한다. 회사가 허용한 업무용 계정인지 확인하는 것이 먼저다.
고객 정보를 모두 지우면 AI에 넣어도 되나?
이름과 연락처만 지웠다고 충분한 것은 아니다. 주문번호, 주소 일부, 희귀한 사건 설명, 담당자명처럼 다시 식별될 수 있는 정보도 제거해야 한다.
AI에 비밀번호나 API 키를 실수로 넣었다면 어떻게 해야 하나?
즉시 해당 비밀번호나 키를 폐기하고 새로 발급해야 한다. 관련 계정의 접근 기록을 확인하고, 회사 보안 담당자나 관리자에게 알려 재발 방지 조치를 해야 한다.