생성형 AI에 문서나 질문을 입력하기 전 고객·직원·거래처를 식별할 수 있는 정보와 회사 기밀이 포함됐는지 확인하세요. 업무에는 조직이 승인한 서비스만 사용하고, 학습 활용 여부와 대화 보관기간, 외부 연동 권한을 점검해야 합니다. 꼭 필요한 정보만 가명·마스킹 처리해 입력하고, 개인정보가 포함된 답변을 발견하면 공유를 멈춘 뒤 화면과 시각을 기록하고 대화·업로드 파일·불필요한 연동을 삭제하며 담당자에게 알리세요.
편리한 입력창도 외부 정보처리 경로입니다
생성형 AI에 붙여 넣은 문장과 업로드한 파일은 단순한 메모가 아닙니다. 서비스의 처리방침과 계약, 계정 설정에 따라 저장·검토·학습 활용 범위가 달라질 수 있으므로 고객 명단, 상담 기록, 계약서, 소스코드를 입력하기 전에 조직 밖으로 보내도 되는 자료인지 먼저 판단해야 합니다.
개인정보보호위원회는 생성형 AI 이용자가 입력정보의 학습 활용 여부와 대화 기록의 보관·삭제 기능을 확인하고, 업무자료에는 조직 지침과 승인된 서비스를 이용하도록 안내합니다. 무료 계정인지 유료 계정인지보다 조직이 사용 조건과 책임 범위를 검토했는지가 우선입니다.
- 개인 계정이나 승인되지 않은 AI에 업무자료 입력 금지
- 입력·첨부·화면 캡처에 제3자 정보가 있는지 확인
- 학습 활용, 보관기간, 삭제 방법을 사용 전에 점검
입력 전에 식별정보와 기밀을 덜어냅니다
이름만 지웠다고 안전해지는 것은 아닙니다. 전화번호, 이메일, 주소, 고객번호처럼 직접 식별하는 값뿐 아니라 부서·직책·거래 시각·희귀한 사례가 결합돼 특정인을 알아볼 수 있는지도 살펴야 합니다. 분석 목적에 필요하지 않은 열과 문단은 아예 제외하세요.
문서 요약이 필요하다면 실제 고객명은 일관된 가명으로 바꾸고 계좌·인증번호·비밀번호는 입력하지 않습니다. 계약 금액이나 기술 구성처럼 회사 기밀에 해당하는 정보도 별도로 분류해 승인 여부를 확인하세요. 일부만 발췌해도 여러 번의 대화가 누적되면 맥락이 다시 연결될 수 있습니다.
- 목적에 필요 없는 행·열·첨부파일부터 제거
- 이름 외에도 연락처·고객번호·조합 식별 가능성 점검
- 비밀번호·인증코드·계좌정보·미공개 기술자료 입력 금지
승인 서비스와 계정 설정을 함께 관리합니다
조직은 허용 서비스와 금지 자료를 한 문장으로 끝내지 말고 계정 유형, 사용할 수 있는 기능, 검토 담당자와 예외 승인 절차까지 정해야 합니다. KISA는 기업이 내부 문서·소스코드·고객정보 같은 기밀 데이터를 입력하지 않도록 정책을 수립하고, 사용 기록과 접근통제를 적용하도록 권고합니다.
메일·드라이브·캘린더를 AI에 연결할 때는 기능에 필요한 최소 권한만 허용하세요. 팀을 옮기거나 서비스를 중단하면 공유 대화, 업로드 파일, API 키와 외부 연동을 함께 회수합니다. 기록은 직원 감시가 아니라 사고 발생 시 어떤 자료가 어느 계정과 서비스에 전달됐는지 확인할 수 있는 범위로 설계합니다.
- 승인된 서비스·계정·허용 업무를 목록으로 관리
- 외부 연동은 필요한 기능과 기간에만 최소 권한 부여
- 퇴직·직무변경·서비스 종료 시 대화와 연동 권한 회수
AI의 답변도 그대로 공유하지 않습니다
생성된 답변에는 사실 오류뿐 아니라 예상하지 못한 개인정보나 내부정보가 포함될 수 있습니다. 문서, 메일, 게시물로 옮기기 전에 근거와 개인정보 포함 여부를 사람이 검수하고, 원문에 없던 이름이나 연락처가 나타나면 출처를 추측해 재사용하지 마세요.
개인정보위는 답변에 개인정보가 포함됐다면 전송·게시를 중단하고 증빙을 확보한 뒤 대화와 파일을 삭제하고 사업자 신고 채널을 이용하도록 안내합니다. 신고 화면을 만들기 위해 민감정보 전체를 또 다른 채널에 복사하지 말고 필요한 범위만 보존해야 합니다.
- 외부 공유 전 사실·개인정보·기밀정보 검수
- 예상하지 못한 개인정보가 나오면 즉시 공유 중단
- 필요 최소한의 화면·시각·계정 정보만 증거로 보존
잘못 입력했다면 삭제와 보고를 동시에 진행합니다
민감한 자료를 잘못 입력한 사실을 알게 되면 창을 닫는 데서 끝내지 마세요. 서비스명, 계정, 입력 시각, 자료 종류, 공유·연동 여부를 기록하고 추가 사용을 멈춘 뒤 내부 보안·개인정보 담당자에게 알립니다. 담당자는 처리방침과 계약상 삭제·지원 절차를 확인해 대화, 업로드 파일과 공유 링크를 삭제하고 외부 연동 권한을 해제합니다.
삭제 버튼이 보인다고 모든 사본이 즉시 없어졌다고 단정할 수는 없습니다. 서비스 사업자에게 삭제 범위와 처리 결과를 문의하고, 입력된 개인정보의 유형과 규모, 추가 노출 가능성을 조사해 조직의 유출 대응 절차와 관계기관 안내에 따라 후속 조치를 판단하세요. 이후 같은 실수가 반복되지 않도록 금지 정보 예시와 승인 절차를 보완합니다.
- 서비스·계정·시각·자료 종류·공유 여부 기록
- 대화·파일·공유 링크 삭제와 외부 연동 해제
- 담당자 보고 후 노출 범위와 추가 조치 판단
이 주제로 함께 많이 찾는 안내
상담 전에 많이 묻는 내용
Q. 이름만 지우면 고객자료를 AI에 입력해도 되나요?
항상 그렇지는 않습니다. 연락처, 고객번호, 직책, 거래 시각처럼 다른 정보의 조합으로 개인을 알아볼 수 있고 회사 기밀도 남을 수 있습니다. 목적에 불필요한 정보를 제거하고 조직이 승인한 서비스와 절차를 따르세요.
Q. 유료 기업용 AI라면 내부 문서를 모두 올려도 되나요?
아닙니다. 계약과 설정에 따라 보호 범위가 달라지고, 조직의 정보 분류와 반출 기준도 적용됩니다. 승인된 계정인지, 학습 활용·보관·삭제·연동 조건은 무엇인지 확인하고 허용된 자료만 최소한으로 입력하세요.
Q. 개인정보를 실수로 입력했다면 대화만 삭제하면 되나요?
먼저 추가 공유를 중단하고 서비스·계정·입력 시각과 자료 종류를 기록해 담당자에게 알리세요. 대화와 업로드 파일, 공유 링크, 외부 연동을 함께 정리하고 사업자의 삭제 절차와 조직의 유출 대응 기준에 따라 노출 범위를 확인해야 합니다.
참고 출처 및 업데이트
개인정보보호위원회 정책홍보, AI는 똑똑하게, 개인정보는 안전하게!, 작성기관 개인정보보호위원회, 작성자 이람규, 작성일 2026-07-09, 수집일 2026-08-22KISA 보호나라 보고서·가이드, 2026 정보보호 인식제고 캠페인 정보보호 실천수칙(개인·기업편), 작성기관 한국인터넷진흥원, 작성자 미표기, 등록일 2026-06-11, 수집일 2026-08-22개인정보보호위원회 안내서, 생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서, 작성기관 개인정보보호위원회 개인정보보호정책과, 작성자 김지영, 작성일 2025-08-22, 수집일 2026-08-22KISA 보호나라 보안공지, 생성형 AI 사용 관련 주의 보안권고, 작성기관 한국인터넷진흥원, 작성자 위협대응단 상황관제팀, 작성일 2025-02-07, 수집일 2026-08-22최초 작성 2026-08-22 · 최종 수정 2026-08-22
