직원용 생성형 AI 사용 지침에는 무엇을 담아야 합니까?

금지보다 승인된 경로를 먼저 만듭니다

생성형 AI를 전면 금지한 회사에서도 직원들이 개인 계정으로 계속 쓰는 경우가 많습니다. 금지는 사용을 없애지 못하고 보이지 않게 만듭니다. 회사가 파악하지 못한 채 쓰이는 AI를 흔히 섀도 AI라고 부르는데, 지침의 첫 목표는 이 사용을 승인된 경로로 옮기는 것입니다.

개인정보보호위원회가 2026년 5월 펴낸 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」도 업무 자료를 입력하기 전에 소속 조직의 지침과 승인된 도구를 먼저 확인하라고 안내합니다. 그리고 업무 목적이라면 입력 내용이 학습이나 다른 목적에 쓰이지 않도록 계약·정책으로 통제되는 기업용 라이선스를 쓰는 것이 바람직하다고 권합니다.

서비스마다 조건이 다르므로 「기업용이니 안전하다」고 단정하지 않습니다. 실제 약관과 데이터 처리 부속서(DPA)에서 학습 활용·보관 기간·파기 조건을 확인한 뒤 승인 목록에 올립니다.

입력 기준은 세 단계로 나눕니다

지침에서 가장 자주 질문이 나오는 부분이 「무엇을 넣어도 되는가」입니다. 정보 종류를 길게 나열하기보다 세 단계로 나누면 직원이 판단하기 쉽습니다.

개인정보위 가이드는 두 가지를 분명히 합니다. 주민등록번호·여권번호·계좌번호·비밀번호·인증코드 같은 중요한 정보는 아예 입력하지 않을 것, 그리고 조직 내부 정보는 개인정보가 아니라는 이유만으로 자유롭게 입력해서는 안 된다는 것입니다. 고객 정보를 AI로 처리하는 업무가 꼭 필요하다면 개인 판단에 맡기지 말고 적법 근거와 처리 구조를 따로 검토해야 합니다. 판단이 애매한 자료는 「승인 도구에서만」으로 분류하고 담당 부서에 묻게 하는 기본값을 두면 현장의 망설임이 줄어듭니다.

결과물의 책임은 사람에게 둡니다

AI가 만든 문장·수치·요약은 그럴듯하지만 틀릴 수 있습니다. 지침에는 다음 세 가지를 명시합니다.

• AI 결과물을 고객·거래처에 보내거나 공식 문서에 넣을 때는 사용한 직원이 사실·수치·인용을 확인하고 책임진다.
• 계약·법률·인사·재무 판단은 AI 결과를 참고자료로만 쓰고 최종 판단은 담당자가 한다.
• 출처가 필요한 문서는 AI가 제시한 출처를 원문에서 다시 확인한다.

특히 수치, 고유명사, 법령 조문 번호, 날짜는 그럴듯하게 틀리기 쉬운 항목이므로 지침에 확인 대상으로 명시해 둡니다. 고객에게 AI 기능 자체를 제공하는 경우에는 인공지능기본법상 사전 고지·결과물 표시 의무가 따로 생길 수 있으므로, 직원 지침과 별도로 검토합니다.

외부 연동과 에이전트 기능은 따로 승인합니다

최근 생성형 AI 서비스는 메일·캘린더·문서 저장소와 연결해 직원 대신 일을 처리하는 기능을 제공합니다. 개인정보위 가이드는 연동 기능을 쓰면 AI에 입력한 정보가 외부 서비스로 전달되고, 연동을 해제해도 외부 서비스의 정책에 따라 일정 기간 보관될 수 있다고 설명합니다. 그리고 필요한 범위 안에서만 연결하고, 과도한 권한을 요구하면 연동이 정말 필요한지 다시 확인하라고 권합니다.

지침에는 연동과 에이전트 기능은 개인이 켜지 않고 IT 담당이 승인한 목록에 있는 것만 쓴다는 한 줄을 넣는 것이 실효적입니다. 문서 전체나 메일함 전체에 대한 접근을 요구하는 연동은 특히 신중하게 봅니다. 개인 계정에 회사 메일이나 문서 저장소를 연결하는 것은 막아야 합니다. 회사 자료가 개인 계정 쪽 정책을 따르게 되고, 퇴사 뒤에는 회수할 방법이 없기 때문입니다.

이미 개인 계정에 넣은 정보는 이렇게 다룹니다

지침을 만드는 시점에는 이미 개인 계정으로 업무 자료가 입력된 경우가 많습니다. 개인정보위 가이드는 대화 기록을 삭제해도 시스템 전반에서 즉시 완전히 지워지기보다 여러 단계에 걸쳐 관리·삭제될 수 있다고 설명합니다. 화면에서 보이지 않게 되는 것이 첫 단계이고, 서비스 운영·보안·법적 의무 때문에 일정 기간 서버나 백업에 보관될 수 있으며, 삭제 전에 서비스 정책에 따라 모델 개선에 쓰였을 가능성도 있다는 것입니다. 그래서 가이드는 민감한 정보일수록 사후 삭제에 기대기보다 처음부터 입력을 줄이라고 권합니다.

실무에서는 세 가지를 합니다. 직원에게 개인 계정의 학습 활용 설정과 대화 기록 저장 설정을 확인하도록 안내합니다. 중요한 정보를 넣은 사실이 확인되면 해당 대화를 삭제하고, 서비스에 삭제 요청 절차가 있으면 따릅니다. 그 정보가 고객 개인정보라면 개인정보 보호책임자에게 보고해 추가 대응이 필요한지 판단받습니다. 이때 문책에 초점을 두면 다음 실수가 보고되지 않습니다.

지침을 살아 있게 운영하는 순서

지침은 배포한 날부터 낡기 시작합니다. 새 서비스와 새 기능이 계속 나오기 때문에, 한 번 정하고 끝내기보다 다음 순서를 정기적으로 반복하는 편이 실효적입니다.

1. 사용 현황 파악부서별로 어떤 서비스를 어떤 업무에 쓰는지 문책 없이 조사합니다
2. 승인 도구 지정약관과 DPA를 확인한 서비스와 계정 유형을 정합니다
3. 한 장짜리 지침 배포입력 3단계, 결과물 책임, 연동 승인을 한 장에 담아 교육합니다
4. 실수 보고 경로잘못 입력했을 때 바로 알릴 창구를 두고, 보고를 문책보다 앞에 둡니다
5. 정기 개정새 서비스와 기능이 나올 때 승인 목록과 지침을 고칩니다

참고 자료

• 개인정보보호위원회 — 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」 발간(2026.5.)
• 개인정보보호위원회 — 생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서(2025.8.)
• NIST AI 600-1 — Generative AI Profile