실제 사고는 대부분 입력에서 난다
AI 관련 보안 사고를 떠올릴 때 외부 공격을 상상하지만, 실제로 자주 벌어지는 것은 직원이 고객 정보나 미공개 자료를 외부 서비스에 그대로 붙여 넣는 일입니다.
악의가 없고 업무를 빨리 끝내려는 선의에서 나오기 때문에, 처벌 중심 접근보다 기준을 명확히 알려주는 편이 효과적입니다.
한 장으로 끝내는 입력 기준
지침이 길면 읽지 않습니다. 입력 금지 항목을 짧게 정하고, 애매한 경우 어디에 물어보면 되는지 창구를 함께 안내하는 구성이 실효적입니다.
- 개인정보(이름·연락처·주민번호·계좌) 입력 금지
- 미공개 계약·재무·인사 자료 입력 금지
- 고객사 식별 가능 정보는 가명 처리 후 사용
- 애매하면 사용 전 담당 부서에 문의
도구 선택 시 확인할 것
외부 AI 서비스를 도입할 때는 입력 데이터가 모델 학습에 사용되는지, 데이터가 어느 지역에 저장되는지, 보관 기간이 어떻게 되는지를 계약 단계에서 확인해야 합니다.
무료 요금제와 기업용 요금제의 데이터 취급 정책이 다른 경우가 많으므로, 실제 사용할 요금제 기준으로 확인해야 합니다.
- 입력 데이터의 학습 사용 여부
- 데이터 저장 위치와 보관 기간
- 사용 기록·감사 로그 제공 여부
- 요금제별 정책 차이
접근 권한과 기록
사내 문서를 AI에 연동하는 단계부터는 누가 어떤 문서에 접근할 수 있는지가 문제가 됩니다. 부서별 열람 권한이 검색 결과에도 그대로 반영되어야 합니다.
에이전트가 시스템을 조작하는 단계라면 실행 기록을 남기고, 되돌리기 어려운 행위에는 사람 승인을 두는 것이 표준적인 통제 방식입니다.
기준은 교육과 함께 가야 한다
지침을 배포하는 것만으로는 바뀌지 않습니다. 왜 위험한지 사례로 설명하고, 대신 어떻게 하면 되는지 대안을 함께 주어야 실제 행동이 달라집니다.
자주 묻는 질문
AI 사용을 아예 금지하는 게 안전하지 않나요?
금지하면 개인 계정으로 몰래 쓰는 상황이 생겨 오히려 통제가 어려워집니다. 허용 범위를 정하고 관리하는 편이 실질적으로 더 안전합니다.
사내에 자체 구축하면 안전한가요?
외부 전송 위험은 줄지만 접근 권한 관리 문제는 그대로 남습니다. 구축 방식과 무관하게 권한 설계는 필요합니다.
기준은 누가 만들어야 하나요?
보안 담당만으로는 현업 실태를 반영하기 어렵습니다. 실제 사용 부서와 함께 만들어야 지켜지는 기준이 나옵니다.