사내 생성형 AI 사용 가이드라인 작성법 — 보안·저작권·책임소재 3대 리스크와 승인 워크플로우

금요일 오후, 마케팅팀 김 대리가 이탈 고객 분석을 빨리 끝내려고 고객 명단이 담긴 엑셀을 통째로 복사해 ChatGPT에 붙여넣습니다. "이거 요약 좀." 5초 만에 깔끔한 표가 나오죠. 편리해요. 그런데 그 순간 수천 명의 이름·연락처·구매 이력이 회사 통제 밖 서버로 넘어갔습니다.

사내 생성형 AI 사용 가이드라인 작성법: 보안·저작권·책임소재 3대 리스크 정리 커버

사내 생성형 AI 가이드라인의 핵심은 한 줄이에요. 보안·저작권·책임소재 세 리스크를, 개인의 양심이 아니라 승인 워크플로우로 관리하는 것입니다. 금지어 목록을 늘리는 일이 아니라, "누가·어떤 도구에·어떤 데이터까지" 쓸지 미리 정해두는 일이죠.

핵심만 먼저 요약하면 이렇습니다.

보안 — 무엇을 입력해도 되는지 데이터 등급으로 먼저 정합니다.
저작권 — 대외 산출물은 사람이 창작적으로 검수해야 회사 저작물이 됩니다.
책임소재 — AI는 책임지지 않습니다. 사용자와 승인 조직이 집니다.
AX Lab 3-게이트 — 도구·데이터·기록, 세 관문으로 위 셋을 한 번에 통제합니다.

사내 생성형 AI 가이드라인이 왜 지금 시급한가요

이미 직원 대다수가 쓰는데 규칙만 없는 상태이기 때문입니다. 맥킨지 『The state of AI』(2024)에서 조사 대상 조직의 65%가 업무에 생성형 AI를 정기적으로 쓴다고 답했어요. 10개월 만에 거의 두 배로 뛴 수치입니다¹. 문제는 도입 속도만큼 안전장치가 못 따라온 점이에요. 같은 조사에서 부정확한 답변이나 지식재산 침해 같은 위험을 실제로 관리한다고 답한 곳은 소수에 그쳤습니다.

간극이 사고로 터진 대표 사례가 삼성전자예요. 2023년 반도체 부문 직원들이 소스코드와 회의 내용을 ChatGPT에 입력한 정황이 드러났고, 회사는 곧바로 사내 생성형 AI 사용을 제한했습니다. 여러 매체가 함께 보도한 사건이었죠².

보충. 문제의 본질은 "직원이 나빠서"가 아니에요. 붙여넣기 한 번이 곧 유출이 된다는 걸 아무도 일러주지 않았을 뿐입니다. 가이드라인은 처벌 문서가 아니라 안전 매뉴얼이라고 봐야 해요.

보안 리스크: 기밀·개인정보는 어디서 새나요

가장 먼저 답할 질문은 "무엇을 넣으면 안 되는가"입니다. 외부 생성형 AI에 입력한 데이터는 저장·학습·재현될 수 있고, 한 번 나간 정보는 회수가 안 돼요. 그래서 가이드라인의 1장은 언제나 데이터 등급 분류여야 합니다.

데이터 등급	예시	외부 생성형 AI 입력 기준
공개	보도자료, 홈페이지 문구	자유롭게 사용
내부용	회의록, 초안 보고서	비식별화 후 제한 허용
기밀	소스코드, 미공개 재무·전략	입력 금지
개인정보	고객 명단, 주민번호, 건강정보	입력 금지(법적 책임 수반)

핵심은 등급 자체가 아니라, 각 등급을 "어떤 도구에서" 다룰 수 있는지 짝지어 두는 거예요. 기밀·개인정보는 외부 공개 서비스 대신, 데이터가 학습에 쓰이지 않는 기업용(엔터프라이즈) 계약 도구로만 처리하도록 통로를 좁혀야 새는 지점이 사라집니다.

저작권 리스크: AI가 만든 산출물은 누구 것인가요

짧게 답하면, 인간의 창작적 기여가 없는 순수 AI 생성물은 저작권 보호를 못 받습니다. 미국 저작권청은 2023년 AI 가이던스에서 저작권은 인간 저작자의 창작물에만 인정되며, 사람이 창작적으로 통제하지 못한 AI 단독 생성물은 등록 대상이 아니라고 명시했어요³.

이 원칙은 회사에 양날의 칼입니다. 한쪽에서는, 사내에서 AI로 만든 로고·카피·코드가 저작권으로 보호되지 않아 경쟁사가 가져다 써도 막기 어려워요. 다른 쪽에서는, AI가 학습한 타인의 저작물을 산출물에 그대로 재현하면 이번엔 우리 회사가 침해 주체가 됩니다. 여기에 도구별 약관까지 갈려요. 어떤 서비스는 입력·출력의 권리를 사용자에게 주고, 어떤 서비스는 산출물 사용에 조건을 답니다.

그래서 가이드라인에는 "대외로 나가는 산출물은 사람이 창작적으로 편집·검수한 뒤에만 회사 저작물로 취급한다"는 한 문장을 반드시 넣어야 합니다. AI가 초안을 뽑고, 사람이 관점과 표현을 더해 완성하는 구조. 이게 저작권과 품질을 동시에 지키는 실무 원칙이에요.

책임소재 리스크: 오류나 사고가 나면 누가 책임지나요

AI는 책임을 지지 않습니다. 검토 없이 산출물을 쓴 사람과, 그 사용을 승인한 조직이 져요. EU AI Act가 위험 기반으로 AI를 분류하고 고위험 시스템에 사람의 최종 감독(human oversight) 의무를 지운 것도 같은 논리입니다. 판단의 책임은 끝까지 사람에게 남아요⁴.

시나리오	1차 책임	조직 차원 책임
AI 초안을 검수 없이 대외 발송	사용 담당자	검수 프로세스 부재
미승인 도구로 기밀 처리	담당자·승인 팀장	도구 통제 실패
편향·차별적 산출물 채택	의사결정자	가이드라인 미비

표의 오른쪽 칸을 보면 답이 나와요. 개인을 탓하기 전에, 애초에 검수 단계와 승인 통로를 만들어두지 않은 조직의 몫이 늘 함께 있습니다. 책임을 명확히 하려면, 책임을 물을 절차부터 있어야 하거든요.

승인 워크플로우는 어떻게 설계하나요 — AX Lab 3-게이트

세 개의 관문(gate)을 통과하도록 설계하면 됩니다. 미국 NIST의 AI 리스크관리 프레임워크(AI RMF 1.0)는 통제(Govern)·매핑(Map)·측정(Measure)·관리(Manage) 네 기능으로 AI 위험을 다루라고 권고하는데⁵, 이를 중견기업이 바로 쓸 수 있게 압축한 것이 AX Lab 3-게이트예요.

1번 도구 게이트 — 아무 서비스나 열어두지 않고, 보안 검토를 통과한 승인 도구 목록만 허용합니다. 신규 도구는 신청·검토를 거쳐 목록에 올라야 쓸 수 있어요.

2번 데이터 게이트 — 앞의 등급표를 그대로 연결합니다. 기밀·개인정보는 학습 비사용이 계약으로 보장된 도구에서만, 그 외 등급은 비식별화 규칙에 따라 처리하도록 통로를 나눠요.

3번 기록 게이트 — 누가 어떤 목적으로 무엇을 넣었는지 남깁니다. 로그가 있어야 사고 원인을 추적하고, 반대로 잘 쓴 사례를 찾아 교육에 재활용해요. 감시가 아니라 학습이 목적입니다.

세 관문을 한 장짜리 표로 붙여두면, 직원은 "이건 몇 번 게이트?"만 떠올리면 돼요. 규칙은 외우기 쉬워야 지켜지거든요.

가이드라인은 누가 만들고 얼마나 자주 고쳐야 하나요

한 부서가 만들면 반드시 구멍이 납니다. 법무·IT보안·HR이 함께 소유해야 해요.

주체	맡는 역할
법무	저작권·개인정보·도구 약관 검토
IT/보안	승인 도구 선정, 로그·접근 통제
HR·교육	리터러시 교육, 위반 대응, 개정 공지

개정 주기는 분기 1회를 기본으로, 새 도구 도입이나 규제 변화가 있으면 수시로 손보세요. 규칙보다 도구가 빨리 바뀌는 영역이라, 한 번 만들고 캐비닛에 넣어두면 반년 만에 낡아버립니다.

AX Lab이 비개발자 대상 클로드 바이브 코딩 원데이 클래스를 운영하며 거듭 확인하는 것도 이 지점이에요. 리스크는 대개 악의가 아니라 리터러시 격차에서 옵니다. "이 정도는 넣어도 되나?"를 판단할 기준선을 쥐여주면 사고의 대부분이 사라져요. 그래서 가이드라인과 교육은 한 세트로 굴러가야 합니다.

가이드라인 초안이 있다면, 오늘 3-게이트에 하나씩 대입해 빈칸을 찾아보세요. 도구·데이터·기록 중 어디가 비어 있는지가 곧 다음에 메울 리스크입니다. 🙂

FAQ

Q. 무료 ChatGPT를 업무에 쓰면 안 되나요? A. 공개 정보 처리라면 괜찮습니다. 다만 기밀·개인정보는 데이터가 학습에 쓰이지 않도록 계약된 기업용 도구에서만 다루세요. 등급과 도구를 짝지어 관리하는 게 핵심입니다.

Q. 산출물 오류로 문제가 생기면 담당자가 다 책임지나요? A. 아닙니다. 검수 없이 쓴 담당자 책임과, 검수·승인 절차를 갖추지 않은 조직 책임이 함께 발생해요. 그래서 승인 워크플로우 설계 자체가 리스크 방어입니다.

출처

McKinsey, "The state of AI in early 2024: Gen AI adoption spikes and starts to generate value" (2024) — 조직의 65%가 생성형 AI를 정기적으로 사용, 도입 대비 리스크 관리 미비 지적. https://www.mckinsey.com/capabilities/quantumblack/our-insights/the-state-of-ai ↩
삼성전자 반도체 부문의 사내 데이터 ChatGPT 입력 정황 이후 생성형 AI 사용 제한(2023) — Bloomberg·TechCrunch 등 다수 매체 보도. https://techcrunch.com/2023/05/02/samsung-bans-use-of-generative-ai-tools-like-chatgpt-after-april-internal-data-leak/ ↩
U.S. Copyright Office, "Copyright and Artificial Intelligence" 및 2023년 AI 등록 가이던스 — 인간 저작자의 창작물만 보호, AI 단독 생성물은 등록 대상 아님. https://www.copyright.gov/ai/ ↩
European Commission, "Regulatory framework for AI (EU AI Act)" — 위험 기반 분류와 고위험 시스템의 사람 감독 의무. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai ↩
NIST, "AI Risk Management Framework (AI RMF 1.0)" (2023) — Govern·Map·Measure·Manage 4대 기능. https://www.nist.gov/itl/ai-risk-management-framework ↩

사내 생성형 AI 사용 가이드라인 작성법: 보안·저작권·책임소재 3대 리스크 정리