AI 도입에서 가장 먼저 정해야 할 것은 AI의 기능이 아니라, 회사 자료가 어떻게 입력되고 보관되는지에 대한 기준입니다. 직원이 무심코 고객 정보나 계약서를 AI 도구에 입력하는 순간, 그 정보가 어디로 흐르는지 통제하기 어려워집니다. 이 글은 입력해도 되는 정보와 금지 정보를 구분하는 방법, 계정 권한과 사용 로그 관리, 결과물 검토 절차, 폐쇄망 AI와 외부 서비스 비교, 그리고 실제 위험 시나리오까지 AI 도입 전에 정해둘 기준을 정리합니다.

1장. AI 도입, 왜 '기능'보다 '데이터 기준'이 먼저인가요?

AI 도입의 출발점은 어떤 기능을 쓸지가 아니라, 어떤 데이터를 넣고 그 데이터가 어디에 보관되는지를 정하는 것입니다.

최근 이 문제의식은 산업 전반으로 확산되고 있습니다. 2026년 8월, 네이버클라우드와 LG CNS는 과학기술정보통신부와 정보통신산업진흥원(NIPA)이 추진하는 사이버보안 특화 AI 파운데이션 모델 개발 사업에 컨소시엄으로 참여한다고 밝혔습니다. 주목할 점은 이 모델이 외부 인터넷과 단절된 폐쇄망 환경에서도 작동하도록 개발된다는 것입니다. 국가 안보나 기업 보안 업무처럼 민감한 데이터를 외부로 보낼 수 없는 영역에서도 자체 환경에서 AI를 운영하겠다는 구상입니다.

이 사례가 시사하는 바는 분명합니다. AI를 잘 쓰는 것만큼, 민감한 데이터를 어디까지 AI에 맡길 것인가를 먼저 정하는 것이 중요하다는 점입니다. 기업이 AI를 도입할 때도 같은 질문에서 시작해야 합니다. 우리 회사의 어떤 자료를 AI에 넣어도 되고, 어떤 자료는 넣으면 안 되는가.

2장. AI에 입력해도 되는 정보와 금지 정보, 어떻게 구분하나요?

AI에 입력해도 되는 정보와 금지해야 할 정보는 '외부로 나가도 되는가'를 기준으로 구분합니다.

입력해도 비교적 안전한 정보는 이미 공개된 자료, 개인정보가 포함되지 않은 일반 업무 문서, 익명화·가명화된 데이터입니다. 예를 들어 공개된 보도자료를 요약하거나, 개인정보를 뺀 일반 보고서 초안을 잡는 작업은 위험이 낮습니다.

입력을 금지해야 할 정보는 명확합니다. 고객의 이름·연락처·주민등록번호 같은 개인정보, 계약서·견적서 같은 거래 기밀, 미공개 재무 정보, 임직원 인사 정보, 비밀번호·API 키 같은 인증 정보입니다. 이런 정보는 한 번 입력되면 회수가 어렵고, 서비스에 따라 학습 데이터로 활용되거나 로그에 남을 수 있습니다.

가장 확실한 방법은 입력 전에 "이 자료가 외부로 나가도 괜찮은가"를 자문하는 것입니다. 답이 '아니오'라면 그 자료는 AI에 넣지 않아야 합니다. 이 기준을 사내 규정으로 문서화하고, 직원 교육에 포함하면 무심코 발생하는 사고를 크게 줄일 수 있습니다.

3장. AI 계정 권한과 사용 로그, 어떻게 관리하나요?

AI 도구도 다른 업무 시스템과 마찬가지로 계정 권한과 사용 로그를 관리해야 합니다.

먼저 계정 권한입니다. 누가 어떤 AI 도구를 쓸 수 있는지, 어떤 등급의 정보에 접근할 수 있는지를 정합니다. 특히 회사 데이터와 연동되는 AI(문서·메일 연동형)는 접근 권한을 업무 범위에 맞게 제한해야 합니다. 퇴사자나 부서 이동자의 AI 계정 권한은 즉시 회수해야 합니다. 업무에서 벗어난 사람의 계정이 살아 있으면 그 자체가 유출 경로가 됩니다.

다음은 사용 로그입니다. 누가 언제 어떤 AI에 접근했는지 기록을 남기면, 문제가 생겼을 때 원인을 추적할 수 있습니다. 기업용 AI 플랜은 관리자용 사용 로그와 감사 기능을 제공하는 경우가 많으므로, 도입 시 이 기능을 활성화하는 것이 좋습니다.

4장. AI 결과물, 사람이 검토하는 절차를 어떻게 만드나요?

AI 결과물은 그대로 쓰는 것이 아니라, 사람이 검토하는 절차를 반드시 거쳐야 합니다.

AI는 그럴듯하지만 틀린 내용을 만들어내기도 하고(할루시네이션), 출처가 불분명한 정보를 사실처럼 제시하기도 합니다. 따라서 AI가 만든 문서·분석·코드는 사람이 최종 확인하는 단계를 두어야 합니다.

검토 절차는 세 가지를 확인하는 것이 좋습니다. 

첫째, 사실 정확성입니다. 숫자·날짜·인용이 실제와 맞는지 확인합니다. 

둘째, 정보 포함 여부입니다. 결과물에 내부 기밀이나 개인정보가 의도치 않게 포함되지 않았는지 봅니다. 

셋째, 최종 책임자 지정입니다. 누가 그 결과물을 확인하고 승인했는지 기록으로 남깁니다. 

이 절차가 있으면 AI를 쓰면서도 결과물에 대한 책임 소재가 명확해집니다.

5장. 폐쇄망 AI와 외부 서비스, 무엇이 다른가요?

폐쇄망·사내 구축형 AI와 외부 서비스형 AI는 데이터가 외부로 나가는지 여부에서 근본적으로 다릅니다.

외부 서비스형 AI(ChatGPT, Gemini 등 클라우드 서비스)는 입력한 데이터가 외부 서버로 전송됩니다. 도입이 쉽고 최신 기능을 빠르게 쓸 수 있지만, 민감정보를 다룰 때는 데이터 처리 정책과 위탁 계약을 확인해야 합니다.

폐쇄망·사내 구축형 AI는 외부 인터넷과 단절된 자체 환경에서 AI를 운영합니다. 데이터가 회사 밖으로 나가지 않아 보안 규제가 높은 분야에 적합합니다. 앞서 언급한 네이버클라우드·LG CNS의 보안 특화 AI도 원자력·금융처럼 민감한 데이터를 외부로 보낼 수 없는 영역을 겨냥해 폐쇄망·온프레미스 환경을 강조합니다. 다만 구축 비용과 운영 부담이 크다는 점은 고려해야 합니다.

선택 기준은 명확합니다. 다루는 데이터의 민감도가 높고 외부 유출이 치명적이라면 폐쇄망·사내 구축형을, 일반적인 업무 효율이 목적이고 민감정보를 배제할 수 있다면 외부 서비스형을 검토하는 것이 합리적입니다.

6장. 실제 사고로 보는 위험 시나리오

시나리오 1 — 직원이 계약서를 AI에 넣는 경우

한 직원이 계약서 검토를 빠르게 끝내려고 거래처 계약서 전문을 외부 AI 챗봇에 붙여넣고 "핵심 조항을 요약해줘"라고 요청합니다. 계약서에는 거래처의 사업자 정보, 단가, 담당자 연락처가 담겨 있습니다. 이 정보는 외부 서버로 전송됐고, 서비스 정책에 따라 학습에 활용되거나 로그에 남을 수 있습니다. 직원에게 악의는 없었지만, 회사 기밀이 통제 밖으로 나간 것입니다.

시나리오 2 — 고객 명단을 AI로 정리하는 경우

마케팅 담당자가 고객 명단을 AI에 넣어 "연령대별로 분류해줘"라고 요청합니다. 명단에는 실명과 연락처가 그대로 담겨 있습니다. 개인정보가 외부 AI로 전송된 이 순간, 개인정보 보호법상 문제가 될 수 있습니다. 정보주체 동의 없이 개인정보가 제3자 서비스로 넘어간 것이기 때문입니다.

시나리오 3 — 예방책

두 시나리오 모두 입력 전 점검 절차 하나로 막을 수 있었습니다. 계약서는 개인정보·거래 정보를 지운 뒤 넣거나, 사내 구축형 AI를 쓰거나, 애초에 입력하지 않는 것이 답입니다. 이런 사고는 대부분 악의가 아니라 "이 정도는 괜찮겠지"라는 판단에서 시작되므로, 명확한 기준과 교육이 가장 효과적인 예방책입니다.

7장. AI 활용의 마지막 단계 — 데이터와 저장매체 파기

AI 활용은 데이터를 입력하는 것에서 끝나지 않고, 그 데이터를 안전하게 폐기하는 것까지 이어져야 합니다.

AI 학습이나 분석에 쓴 데이터, 그 데이터가 담긴 서버와 저장매체는 목적을 다하면 복원 불가능한 방법으로 파기해야 합니다. 특히 사내 구축형 AI를 운영하다 서버를 교체하거나 폐기할 때, 그 안에 학습·처리했던 대량의 민감 데이터가 남아 있을 수 있습니다. 이 서버를 단순 포맷만 하고 폐기하면 데이터가 복원될 위험이 있습니다.

개인정보 보호법 제21조는 불필요해진 개인정보를 복원이 불가능한 방법으로 파기하도록 규정합니다. 단순 삭제나 포맷은 이 요건을 충족하지 못합니다. 저장매체 특성에 맞는 파기가 필요합니다. 자성 매체인 HDD는 디가우징과 물리적 파쇄를, 플래시 매체인 SSD는 인증 소프트웨어 영구삭제나 물리적 파쇄를 적용합니다. 그리고 파기 결과는 장비 식별 정보, 처리 방식, 처리 일시, 확인자를 포함한 증빙으로 남겨야 합니다.

자주 묻는 질문 (FAQ)

Q. 직원이 AI에 회사 자료를 넣지 못하게 하려면 어떻게 하나요?

입력 금지 정보를 사내 규정으로 명문화하고 교육하는 것이 기본입니다. "외부로 나가도 되는 자료인가"를 판단 기준으로 삼게 하고, 민감정보는 사내 구축형 AI를 쓰거나 아예 입력하지 않도록 안내합니다.

Q. AI에 개인정보를 넣으면 법적으로 문제가 되나요?

될 수 있습니다. 고객 개인정보를 동의 없이 외부 AI 서비스로 전송하면 개인정보 보호법 위반 소지가 있습니다. 개인정보는 익명화하거나, 사내 구축형 환경에서 처리하는 것이 안전합니다.

Q. 폐쇄망 AI와 외부 서비스 중 무엇을 선택해야 하나요?

다루는 데이터의 민감도로 판단합니다. 민감정보가 많고 외부 유출이 치명적이면 폐쇄망·사내 구축형을, 일반 업무 효율이 목적이면 외부 서비스형을 검토합니다.

Q. AI 서버를 폐기할 때 주의할 점은 무엇인가요?

서버에 학습·처리했던 데이터가 남아 있으므로, 단순 포맷이 아니라 복원 불가능한 방법으로 파기해야 합니다. 매체 특성에 맞는 파기 방식을 적용하고 파기 확인서를 남기는 것이 안전합니다.

AI 도입의 안전은 기준을 먼저 세우는 데서 시작됩니다

AI 도입에서 가장 중요한 것은 기능을 빠르게 쓰는 것이 아니라, 데이터를 어떻게 다룰지 기준을 먼저 세우는 것입니다. 입력해도 되는 정보와 금지 정보를 구분하고, 계정 권한과 로그를 관리하고, 결과물을 사람이 검토하고, 환경(폐쇄망·외부)을 데이터 민감도에 맞게 고르는 것. 이 기준이 갖춰지면 AI는 위험이 아니라 자산이 됩니다.

그리고 그 마지막은 데이터의 안전한 파기입니다. AI가 다룬 데이터가 담긴 서버와 저장매체를 목적을 다한 뒤 복원 불가능한 방법으로 파기하는 것까지 이어져야 AI 활용의 보안이 완성됩니다. 데이터의 시작(입력)과 끝(파기)을 모두 통제할 수 있어야 합니다.

알테크코리아는 AI 서버를 포함한 저장매체의 완전 파기와 증적 자료 확보를 지원해, 기업이 AI 활용의 마지막 단계를 안전하게 마무리할 수 있도록 돕습니다.

알테크코리아가 함께합니다.