생성형 AI 개인정보, 고객정보·계약서 입력 전 확인해야 할 사항
생성형 AI를 계약서 검토, 회의록 정리, 고객 상담, 문서 작성 등에 활용하는 기업이 늘고 있습니다.
그러나 업무 효율을 높이기 위해 입력한 자료에 고객이나 임직원의 개인정보가 포함되어 있다면, 단순한 AI 활용을 넘어 개인정보 처리와 내부정보 관리 문제가 발생할 수 있습니다.
기업은 생성형 AI 서비스가 입력정보를 어떻게 저장·이용하는지 확인하고, 실제 업무 방식에 맞는 내부 이용 기준을 마련해야 합니다.
생성형 AI에 입력한 정보는 어떻게 처리될까요?
생성형 AI를 이용하는 화면에서는 질문을 입력하고 답변을 받는 과정만 확인할 수 있습니다.
그러나 실제로는 입력한 내용과 첨부파일이 서비스 제공자의 시스템으로 전송되며, 서비스 정책과 계정 유형에 따라 일정 기간 기록이나 로그로 보관되거나 서비스 개선 등에 활용될 수 있습니다.
업무자료를 입력하기 전에는 다음 사항을 확인해야 합니다.
▪️ 입력 데이터가 AI 학습에 활용되는지
▪️ 대화와 첨부파일이 얼마나 보관되는지
▪️ 대화 기록과 입력자료를 삭제할 수 있는지
▪️ 데이터가 어느 국가와 서버에서 처리되는지
▪️ 외부 앱이나 사내 시스템에 어떤 접근 권한이 부여되는지
유료 또는 기업용 서비스를 이용한다는 사실만으로 개인정보 문제가 모두 해결되는 것은 아닙니다. 실제 계약조건과 데이터 처리 구조를 함께 검토해야 합니다.
이름만 삭제하면 개인정보가 아닐까요?
계약서에서 고객의 이름이나 연락처를 삭제했다고 해서 반드시 개인정보가 아닌 것은 아닙니다.
개인정보에는 성명처럼 그 자체로 개인을 알아볼 수 있는 정보뿐 아니라, 다른 정보와 쉽게 결합해 특정인을 알아볼 수 있는 정보도 포함됩니다.
예를 들어 다음 정보가 함께 포함되어 있다면 이름을 삭제했더라도 특정 개인이 추정될 수 있습니다.
▪️ 회사명과 구체적인 담당 직책
▪️ 계약 체결일과 거래금액
▪️ 근무 부서와 인사평가 내용
▪️ 구체적인 상담 경위와 가족관계
▪️ 사건번호와 분쟁 발생 지역
회사명 자체는 법인의 정보이지만, 구체적인 직책이나 거래내용 등과 결합해 담당자를 알아볼 수 있다면 개인정보 해당 가능성을 별도로 확인해야 합니다.
따라서 이름만 삭제하기보다 업무에 필요하지 않은 정보를 최대한 제거하고, 실제 성명·연락처·회사명 등은 임의의 명칭이나 가상 정보로 대체하는 것이 적절합니다.
고객정보를 입력하면 바로 개인정보 보호법 위반일까요?
고객정보를 생성형 AI에 입력했다고 해서 모든 경우가 곧바로 개인정보 보호법 위반이 되는 것은 아닙니다.
다만 기업이 보유한 개인정보는 당초 수집한 목적과 적법한 처리 근거의 범위에서 이용해야 합니다. 생성형 AI 활용이 기존 처리 목적과 관련되는지, 추가적인 동의나 별도의 처리 근거가 필요한지를 검토해야 합니다.
AI 서비스 제공자와의 관계도 확인해야 합니다.
서비스 제공자가 기업의 지시에 따라 정보를 처리하는지, 입력정보를 자신의 서비스 개선이나 학습 등 독자적인 목적으로도 이용하는지에 따라 처리위탁, 제3자 제공 등 검토해야 할 법적 구조가 달라질 수 있습니다.
개인정보가 해외 서버나 국외 사업자에게 전송된다면 국외 이전에 관한 요건도 함께 확인해야 합니다.
즉, 단순히 ‘AI에 고객정보를 입력했다’는 사실만으로 적용 규정을 판단하기는 어렵습니다. 다음과 같은 실제 처리 구조를 살펴봐야 합니다.
▪️ 개인정보를 AI 업무에 이용할 수 있는 처리 근거
▪️ 서비스 제공자의 입력정보 이용 목적
▪️ 학습 및 서비스 개선 활용 여부
▪️ 데이터 보관기간과 삭제 방식
▪️ 처리 서버와 국외 이전 국가
▪️ 재위탁 또는 하위 처리업체의 범위
▪️ 계약 종료 후 입력정보의 처리 방식
계약서와 상담자료는 개인정보만의 문제가 아닙니다
계약서와 고객 상담자료에는 개인정보 외에도 외부에 공개되지 않은 중요 정보가 포함될 수 있습니다.
예를 들면 다음과 같습니다.
▪️ 거래조건과 공급단가
▪️ 영업전략과 사업계획
▪️ 기술자료와 개발정보
▪️ 고객사와 체결한 비밀유지약정
▪️ 소송·수사 또는 분쟁 대응방안
▪️ 미공개 재무정보와 내부 의사결정 자료
이러한 정보를 외부 생성형 AI에 입력하면 개인정보 보호법과 별도로 계약상 비밀유지의무, 영업비밀 보호, 고객사 보안약정 및 회사 내부 규정 문제가 발생할 수 있습니다.
따라서 기업의 생성형 AI 이용지침은 개인정보만을 대상으로 하기보다 영업비밀, 계약정보, 기술자료와 분쟁 대응자료까지 함께 관리하도록 설계해야 합니다.
기업이 마련해야 할 생성형 AI 이용 기준
생성형 AI 사용을 직원 개인의 판단에 맡기면 회사는 어떤 자료가 어느 서비스에 입력되었는지 파악하기 어렵습니다.
단순히 “개인정보를 입력하지 말라”고 공지하는 것보다 실제 업무에서 적용할 수 있는 구체적인 기준을 마련해야 합니다.
1. 승인된 서비스와 계정
회사에서 이용할 수 있는 생성형 AI 서비스와 계정 유형을 지정하고, 개인 계정이나 승인되지 않은 서비스에 업무자료를 입력하지 않도록 해야 합니다.
2. 입력 금지 정보
주민등록번호, 계좌정보, 건강정보 등 민감하거나 위험도가 높은 개인정보뿐 아니라 영업비밀, 미공개 계약조건과 소송·수사 대응자료 등 입력이 금지되는 정보의 범위를 구체적으로 정해야 합니다.
3. 고위험 문서 승인 절차
계약서, 인사자료, 고객 상담기록 등 위험도가 높은 문서는 담당 부서의 검토나 사전 승인을 거친 후 이용하도록 절차를 마련할 수 있습니다.
4. 식별정보 제거·대체 기준
실제 성명, 연락처, 회사명과 거래금액 등 개인이나 거래 당사자를 추정할 수 있는 정보의 제거·대체 기준을 정해야 합니다.
계약서 전체를 입력하기보다 검토가 필요한 조항만 분리하고, 실제 고객정보는 임의의 명칭이나 가상 정보로 변경하는 방식도 고려할 수 있습니다.
5. 기록과 학습 설정
입력정보의 학습 활용을 제한할 수 있는지, 대화 기록을 저장하지 않도록 설정할 수 있는지, 삭제 기능이 어떻게 운영되는지를 점검해야 합니다.
6. 내부 보고와 사고 대응
개인정보나 내부자료를 잘못 입력한 경우 담당 부서에 즉시 보고하고, 기록 삭제와 외부 연동 해제 등 필요한 조치를 진행할 수 있도록 대응 절차를 마련해야 합니다.
이미 고객정보나 내부자료를 입력했다면
직원이 고객정보나 내부 문서를 생성형 AI에 잘못 입력했다면 추가적인 공유와 결과물 사용을 우선 중단해야 합니다.
이후 다음 사항을 확인할 필요가 있습니다.
▪️ 어떤 계정과 서비스에 입력했는지
▪️ 입력한 개인정보와 내부정보의 범위
▪️ 대화 및 첨부파일 삭제 가능 여부
▪️ 외부 서비스와의 연동 여부
▪️ 학습이나 서비스 개선에 활용됐는지
▪️ 제3자가 해당 정보에 접근할 가능성이 있는지
필요한 경우 대화 기록과 첨부파일을 삭제하고, 외부 연동 권한을 해제하며, 서비스 제공자에게 처리 중단이나 삭제를 요청해야 합니다.
개인정보 유출 신고 또는 정보주체 통지가 필요한지는 입력정보의 종류와 규모, 제3자의 접근 가능성, 삭제 여부와 예상 피해 등을 종합적으로 검토해 판단해야 합니다.
생성형 AI 활용, 금지보다 관리체계가 중요합니다
생성형 AI는 계약 검토와 문서 작성, 고객 대응 등 다양한 업무의 효율을 높일 수 있습니다.
그러나 임직원 개인의 판단에만 맡기면 기업은 고객정보와 내부자료가 어디로 전송되고 어떻게 이용되는지 관리하기 어렵습니다.
기업은 실제 AI 활용 방식과 처리하는 정보의 유형을 바탕으로 승인된 서비스, 입력 금지 정보, 식별정보 제거·대체 기준, 고위험 문서 승인 및 사고 대응 절차를 구체적으로 마련해야 합니다.
디센트 법률사무소는 기업의 생성형 AI 이용 구조를 기준으로 개인정보 처리의 적법성, 서비스 약관과 데이터 처리계약, 국외 이전, 영업비밀 보호 및 사내 AI 이용지침을 종합적으로 검토합니다.
본 콘텐츠는 일반적인 법률 정보 제공을 목적으로 하며, 개별 사건이나 사업에 대한 법률 자문을 구성하지 않습니다.
