채팅창 앞에서 멈춰야 할 데이터 (03/08)

AI 거버넌스 구축 가이드 · Ep.03

번역을 시켰을 뿐이다.
유출이 되었을 뿐이다.

채팅창 앞에서 멈춰야 할 데이터 · HFC Consulting

---

해외 파트너에게 보낼 요약본이 필요했다. 담당자가 경영 회의록 전문을 AI 채팅창에 붙여넣고 번역을 요청한다. 결과물은 훌륭했고, 업무는 10분 만에 끝났다. 회의록 안에 미공개 신규 사업 계획과 임원 인사안이 들어 있었다는 사실을, 그 10분 동안 아무도 생각하지 않았다. 번역을 시켰을 뿐이라고 모두가 말할 것이다. 그 말이 맞다. 그래서 규정이 필요하다.

2기 7화에서 수급인의 데이터 입력을 계약으로 통제하는 법을 다뤘다. 이번 편은 방향이 안쪽이다. 우리 조직 구성원의 손가락 끝에서 무엇을 멈춰 세울 것인가.

규정이 실패하는 이유 — 판단을 사람에게 미룬다

"중요한 정보는 입력하지 마십시오"라는 공지는 규정이 아니다. 중요한지 아닌지를 매번 개인이 판단해야 하기 때문이다. 판단을 미루는 규정은 바쁜 오후에 반드시 진다. 실효적인 기준은 데이터의 등급과 도구의 등급을 미리 짝지어 두는 것이다. 판단은 규정을 만들 때 한 번 하고, 사용 시점에는 대조만 하게 만든다.

데이터 등급 × 도구 매트릭스

데이터 등급	예시	입력 가능 범위
공개	공시 자료, 홈페이지 게시물	승인 도구 전체
내부	업무 문서, 소스코드(비밀 제외)	학습 미활용 설정의 승인 도구만
비밀·개인정보	미공개 사업 정보, 고객 개인정보	원칙 금지 — 마스킹·가명처리 후 별도 승인 시에만
운영 데이터	운영 DB의 실데이터	금지 — 합성·표본 데이터로 대체

이 매트릭스의 전제는 두 가지다. 조직에 정보 등급 체계가 이미 있다면 그것을 그대로 쓰고(새 등급을 만들면 혼란만 는다), 등급 판단이 서지 않는 데이터는 한 단계 높은 등급으로 취급한다는 기본값 원칙을 함께 둔다. 1기 8화에서 본 것처럼, AI 시대의 유출은 결재 문서가 아니라 채팅창에서 일어난다. 기본값이 안전한 쪽을 향해야 하는 이유다.

규정에 넣을 문구

① 등급 연동 조항
"AI 도구에 입력 가능한 데이터의 범위는 조직의 정보 등급 체계에 따라 별표의 매트릭스로 정하며, 등급 판단이 불분명한 데이터는 상위 등급으로 취급한다."

② 금지 대상 조항
"개인정보, 미공개 경영 정보, 운영 데이터베이스의 실데이터는 형태를 불문하고 AI 도구에 입력할 수 없다. 업무상 불가피한 경우 가명처리·마스킹·합성 데이터로 대체하고 [담당 조직]의 사전 승인을 받는다."

③ 자진 신고 조항
"본 기준 위반을 인지한 구성원은 지체 없이 [담당 조직]에 신고하며, 자진 신고된 건은 징계보다 재발 방지 조치를 우선한다."

예상 반론과 대응

반론 1. "마스킹하고 대체 데이터 만들 시간이면 그냥 일하는 게 빠릅니다."
대응. 맞는 말이고, 그래서 이 비용은 개인이 아니라 조직이 부담해야 한다. 자주 쓰는 데이터 유형에 대해 마스킹 도구와 합성 데이터 셋을 미리 마련해 두는 것까지가 거버넌스의 일이다. 규정만 주고 도구를 안 주면, 구성원은 규정을 우회한다.

반론 2. "자진 신고 조항은 위반을 봐주자는 것입니까."
대응. 반대다. 신고가 두려운 조직에서 위반은 숨겨지고, 숨겨진 위반은 커진 뒤에 발견된다. 유출 대응의 성패는 인지 시점이 결정한다. 자진 신고 우대는 관용이 아니라 조기 경보 체계의 가격이다.

기술적 차단 장치(DLP, 프록시 필터링 등)를 함께 검토하는 조직도 있다. 유효한 보조 수단이지만 순서를 유의해야 한다. 기준 없이 차단부터 하면 구성원은 차단을 우회하는 법부터 배우고, 기준이 서 있는 조직에서 차단은 기준의 집행 장치가 된다. 규정이 먼저고 기술은 그다음이다. 그리고 어느 쪽이든, 매트릭스 한 장을 모든 구성원의 자리에서 한 번의 클릭으로 볼 수 있게 하는 것이 가장 값싸고 효과적인 집행이다.

데이터 기준 체크포인트 — 기존 정보 등급 체계에 연동 / 불분명하면 상위 등급 취급 원칙 / 금지 데이터를 유형으로 명시 / 마스킹·합성 데이터 등 대체 수단을 조직이 제공 / 자진 신고 우대 명문화

들어가는 것을 정했으니, 이제 나오는 것을 볼 차례다. AI가 만든 산출물이 조직의 자산이 되기 전에 거쳐야 할 관문 — 다음 편이다.

※ 본 연재의 규정·양식 템플릿은 일반적 참고용이며, 조직의 규모·규제 환경에 맞는 조정이 필요합니다.

📎 더 읽을거리
· 생성형 AI 개발·활용을 위한 개인정보 처리 안내서 (개인정보보호위원회) — 본문 매트릭스의 규제 측 근거
· NIST AI Risk Management Framework — 데이터 리스크 관리의 국제 참조 틀

HFC Consulting의 관점

금융·공공처럼 정보 등급 체계가 이미 작동하는 조직일수록 이 매트릭스는 빠르게 도입됩니다. 현재 등급 체계를 보내 주시면 AI 입력 기준과의 연동안을 만들어 드립니다.

✉ changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 연재 · AI 거버넌스 구축 가이드
◀ 이전 편 (02/08) 어떤 AI 도구를, 누가 쓸 수 있는가
다음 편 ▶ (04/08) AI 산출물이 조직에 들어오는 관문
연재 전체 보기 →