우리 회사 데이터, AI에 넣어도 될까?
사내 AI 사용에서 데이터 3등급 분류와 학습 옵트아웃 확인법, 한 장짜리 규칙 만드는 법.
요즘 작은 팀에서 가장 자주 나오는 질문은 "어떤 모델이 제일 좋냐"가 아닙니다.
"이거 붙여넣어도 되나요?"입니다.
마케터는 고객 문의 목록을 통째로 붙여넣어 답변 초안을 만들고, 개발자는 에러 로그와 함께 접속 정보가 담긴 설정 파일을 올립니다.
대표는 투자 미팅용 재무 요약을 챗봇에 넣고 문장을 다듬습니다.
나쁜 의도는 하나도 없습니다.
그냥 빠르니까요.
2026년의 현실은 이렇습니다.
AI 도구는 이미 팀 안에 들어와 있고, 금지 공지 한 줄로는 막히지 않습니다.
필요한 건 '쓰지 마'가 아니라 무엇을 어디에 어떻게 넣을지 정해주는 한 장짜리 규칙입니다.
아래 순서대로 30분이면 만들 수 있습니다.
어떤 데이터부터 걸러야 할까?
전부 막을 필요는 없습니다.
데이터를 빨강·노랑·초록 세 등급으로 나누고, 빨강만 확실히 차단하면 실무 위험의 대부분이 사라집니다.
등급을 나누는 기준은 '유출됐을 때 우리가 사과문을 써야 하는가'입니다.
- 빨강(절대 금지): 주민등록번호·카드번호, 고객 이름·연락처·주소 원본, API 키와 비밀번호, 서명된 계약서, 인사 평가와 급여 자료
- 노랑(승인된 도구에서만): 미공개 매출 수치, 출시 전 로드맵, 핵심 소스코드, 파트너사와 주고받은 메일 본문
- 초록(자유롭게): 이미 공개된 제품 소개, 블로그 초안, 공개 문서, 익명화된 요약
실무에서는 '마스킹'이 가장 현실적인 해법입니다.
예를 들어 쇼핑몰 CS 담당자가 반품 문의 답변을 만들 때, 이름·전화번호·주문번호를 지우고 "고객 A, 주문 X"로 바꾸면 됩니다.
답변 품질은 그대로고 걸리는 시간은 5초입니다.
개발자라면 로그를 붙여넣기 전 키 값을 REDACTED 대신 텍스트로 바꾸는 습관 하나면 충분합니다.
학습에 쓰이지 않게 하려면 어디를 봐야 할까?
확인할 곳은 세 군데뿐입니다.
계정 유형(요금제), 설정 안의 데이터 활용 옵션, 그리고 데이터 보존 기간입니다.
같은 회사 제품이라도 개인용 앱과 팀·비즈니스 플랜, 개발자용 API는 정책이 서로 다릅니다.
- 계정 유형: 개인이 각자 결제한 계정으로 회사 일을 하고 있다면 그것부터 정리합니다.
팀·비즈니스 플랜으로 묶으면 관리자가 설정을 일괄로 잡을 수 있습니다. - 설정 화면: '모델 개선을 위한 데이터 사용' 같은 토글이 어디에 있는지 확인하고, 팀 전원의 상태를 캡처해 사내 문서에 남깁니다.
- 보존 기간과 지역: 대화가 얼마나 저장되는지, 데이터가 어느 리전에 남는지 확인합니다.
고객사 계약에 데이터 처리 조항이 있다면 이 부분이 근거가 됩니다. - 그림자 도구: 브라우저 확장 프로그램, 자동 회의록 앱, 메일 요약 플러그인이 가장 조용히 데이터를 가져갑니다.
허용 목록을 만들어 두세요.
중요한 건 정책이 자주 바뀐다는 점입니다.
OpenAI, Anthropic, Google 모두 지난 몇 년간 데이터 사용 정책과 설정 위치를 여러 번 손봤습니다.
그래서 '한 번 확인하고 끝'이 아니라 분기에 한 번, 공식 문서 링크를 열어 다시 보는 일정을 캘린더에 넣는 편이 안전합니다.
규칙을 한 장으로 만들면 무엇이 들어가야 할까?
A4 한 장, 다섯 줄이면 충분합니다.
길면 아무도 안 읽고, 안 읽으면 없는 것과 같습니다.
아래 다섯 항목만 채워 사내 위키 첫 페이지에 올려두세요.
- 허용 도구 목록과 각 도구에 쓸 계정 유형(개인 계정 사용 금지 여부 포함)
- 데이터 3등급표와 마스킹 규칙 예시 한 줄
- 새 도구 도입 승인 경로: 판단하는 사람을 한 명만 정합니다.
5인 팀이면 대표, 20인 팀이면 팀장 - 결과물 검수 규칙: 외부로 나가는 문서·코드·답변은 사람이 한 번 읽고 보낸다
- 사고 대응: 빨강 데이터를 넣었다면 즉시 대화 삭제, 키 교체, 담당자에게 공유. 혼내지 않는다는 문장을 꼭 넣으세요
마지막 항목이 의외로 핵심입니다.
실수를 신고하면 혼난다는 분위기면 사고가 숨겨지고, 숨겨진 사고는 몇 달 뒤 훨씬 비싼 형태로 돌아옵니다.
정리하면, 사내 AI 규칙은 통제 문서가 아니라 속도를 지키기 위한 장치입니다.
금지 목록만 있는 정책은 실패합니다.
"이 데이터는 이 도구에서 이렇게 쓰세요"까지 적어야 사람들이 따릅니다.
사내 문서 기반 챗봇이나 고객 응대 자동화를 붙일 계획이라면, 무엇을 학습·색인시킬지 이 등급표부터 정한 뒤 시작하는 편이 나중에 훨씬 편합니다.