회사 자료 ChatGPT에 붙여넣어도 괜찮을까? 실제 보안 문제 정리
마케터가 새벽 마감 앞에서 클라이언트 제안서를 ChatGPT에 붙여넣어요. 보안 정책 같은 건 그 순간 뒷전이 되죠. 그런데 그 순간 실제로 어떤 일이 벌어지는지 아는 사람은 많지 않아요.
따지기 전에, 가장 많이 오해하는 것부터 짚을게요. “내 데이터는 학습에 안 쓰인다"는 말과 “내 데이터가 외부 서버로 안 나간다"는 말은 완전히 다른 말이에요. 이 차이가 핵심이에요.
핵심 요약
- 무료 ChatGPT 계정은 기본값으로 대화 내용을 모델 학습에 사용하며, 사용자가 설정을 직접 꺼야 비활성화된다.
- ChatGPT Enterprise(약 $60/사용자/월, 최소 150명 계약)를 포함한 모든 클라우드 AI 플랜은 학습 비사용을 보장해도, 데이터가 외부 서버로 전송되는 것은 피할 수 없다.
- 삼성전자는 2023년 직원들이 반도체 설비 기밀을 ChatGPT에 올린 사실이 확인된 후 사내 생성형 AI 사용을 전면 금지했으며, Apple·Amazon도 유사한 내부 제한을 시행했다.
- 고객 개인정보를 무단 외부 서비스에 올리면 국내 개인정보보호법 위반이 독립적으로 성립한다.
- 로컬 LLM 또는 온프레미스 배포가 유일한 ‘데이터 미전송’ 해법이지만, 비용·기술 장벽이 여전히 높다.
왜 지금 이 문제가 다시 수면 위로 올라왔나요?
AI 도구 사용이 ‘일부 팀의 실험’에서 ‘전 직원의 일상 도구’로 바뀐 게 2025~2026년 사이예요. 속도가 빨라지면서 정책보다 실사용이 먼저 앞서 나가버렸죠.
대표 사례는 삼성전자예요. 2023년, 직원들이 반도체 설비 기밀 정보와 회의 내용을 ChatGPT에 올린 사실이 드러났고, 회사는 즉각 생성형 AI 전면 금지령을 내렸어요. Apple과 Amazon도 비슷한 이유로 내부 제한을 걸었고요. 이건 대기업만의 얘기가 아니에요. 마케터의 클라이언트 제안서 붙여넣기, 개발자의 독점 코드 제출, 영업팀의 미공개 가격표 업로드가 정책 없는 조직에서 일상적으로 일어나고 있어요.
규제 환경도 바뀌고 있어요. Zoom은 2026년 1월 26일부로 AI 기능(요약, 스마트 녹화)에 대해 회의 참여자 전원의 적극적 동의를 의무화했어요. 이제 ‘모르고 썼다’는 변명이 통하지 않는 시대로 이동하고 있는 거예요.
문제의 본질은 기술이 아니에요. 사람들이 AI 도구의 작동 방식을 잘못 이해하고 있다는 것, 그리고 조직이 그 간극을 메울 정책을 만들지 않았다는 것이에요.
어떤 데이터가 실제로 어디로 가는 걸까요?
학습 꺼도 전송은 됩니다
가장 많이 혼동하는 부분이에요.
- 학습 비사용 = 내 대화가 다음 모델 학습에 안 쓰임
- 서버 미전송 = 내 데이터가 외부 서버로 아예 안 나감
ChatGPT, Gemini, Claude 전부 클라우드 기반이에요. 파일을 올리거나 텍스트를 붙여넣는 순간, 요금제와 관계없이 데이터는 외부 서버로 전송돼요. 유료·엔터프라이즈 플랜은 학습 사용을 막을 수 있어도, 전송 자체를 막진 못해요.
무료 계정은 더 직접적인 문제가 있어요. 기본 설정 상태에서는 대화 내용이 모델 학습에 쓰여요. 끄려면 설정 → 데이터 컨트롤 → "모든 사람을 위한 모델 개선" 토글 끄기를 해야 해요. 아니면 ‘임시 채팅’ 모드를 쓰면 대화가 저장되지 않아요. 그런데 이걸 아는 직원이 얼마나 될까요?
어떤 데이터가 법적으로 위험한가요?
법적 리스크는 데이터 종류에 따라 달라져요.
- 고객 개인정보: 무단 외부 서비스 전송 → 개인정보보호법 위반 독립 성립
- 금융 모델·법률 문서: PE/IB 분석가나 법무팀 자료 → 계약상·규제상 추가 노출
- 공공기관 데이터: 계약 조건에 따라 별도 규제 적용
“내가 민감한 걸 올린 건 아니잖아요"라고 생각하기 쉬운데, 고객 이름과 연락처가 들어간 제안서 하나만으로도 개보법 이슈가 생겨요. 의도보다 행위가 기준이에요.
4가지 대응 방법 비교
| 방법 | 데이터 외부 전송 | 비용 | 도입 난이도 | 검증 가능성 |
|---|---|---|---|---|
| ChatGPT 옵트아웃 | ❌ 전송됨 | 무료 | 매우 쉬움 | 불가 (신뢰 기반) |
| 엔터프라이즈 플랜 | ❌ 전송됨 | 약 $60/사용자/월 (최소 150명, 1년 계약) | 쉬움 | 계약 수준 |
| 로컬 LLM (Ollama 등) | ✅ 없음 | 서버 비용 | 높음 (엔지니어 필요) | 가능 |
| 완성형 오프라인 솔루션 | ✅ 없음 | 중간 | 낮음 | 가능 |
ChatGPT Enterprise는 최소 150명·12개월 계약 시 연간 약 1억 4천만 원 규모예요. 중견 기업 대부분이 현실적으로 접근하기 어려운 수준이죠.
로컬 LLM(Ollama, LM Studio)은 데이터가 아예 외부로 안 나가는 유일한 방법 중 하나예요. 그런데 표와 이미지가 섞인 문서의 파싱 정확도가 낮고, 세팅에 엔지니어가 필요해요. 완성형 오프라인 솔루션은 GPU나 별도 서버 없이 설치만 하면 작동하고 인용 출처까지 제공하는 구조예요. 다만 아직 시장 초기 단계예요.
조직이 지금 당장 해야 할 일
시나리오 1: 마케터가 클라이언트 브리프를 ChatGPT에 붙여넣는다 → 고객 정보가 포함됐다면 개보법 이슈. 대응: ‘AI에 넣기 전 개인정보 제거’ 체크리스트를 팀 SOP에 넣어요.
시나리오 2: 개발자가 내부 코드를 ChatGPT에 올린다 → 소스 코드는 영업비밀. 대응: 코드가 학습·전송 안 되는 도구로 교체하거나, 사내 코드는 AI 입력 금지 규칙을 명문화해요.
시나리오 3: 영업팀이 미공개 가격표를 AI에 올려 분석한다 → 정보 누출 리스크. 대응: 승인된 도구 목록을 만들고, 미승인 도구는 IT 사전 승인을 필수로 정해요.
기업 AI 정책의 필수 5가지 요소는 이래요: ①금지 입력 데이터 유형 명시, ②승인 도구 목록, ③AI 생성 콘텐츠 인간 검토 의무, ④저작권 기준, ⑤위반 대응 절차. 이 다섯 가지를 갖추면 한 달 안에 전사 배포가 가능해요. 정책 검토 주기는 최소 6개월마다, 새로운 규제나 엔터프라이즈 AI 출시 시 즉시 재검토예요.
“괜찮겠지"는 이제 통하지 않아요
- 학습 비사용과 서버 미전송은 다른 개념이며, 모든 클라우드 AI는 전송을 피할 수 없어요.
- 고객 개인정보 포함 자료를 무단 외부 AI에 올리는 건 개보법 위반 가능성이 있어요.
- 엔터프라이즈 플랜은 비용 장벽이 높고, 로컬 LLM은 기술 장벽이 높아요.
- 지금 당장 할 수 있는 건 정책 수립 — 금지 데이터 유형 명시부터 시작하면 돼요.
앞으로 6개월 안에 개인정보보호 당국의 AI 관련 제재 사례가 나올 가능성이 높아요. “그때 만들지"가 아니라 지금이 정책 만들기 딱 좋은 타이밍이에요.
여러분 회사에 지금 AI 사용 정책이 있나요? 있다면 마지막으로 업데이트한 게 언제인지 한번 확인해 보세요.
참고자료
- ChatGPT에 회사 자료를 올려도 괜찮을까요? 데이터 유출을 막는 4가지 방법 - 피카부랩스 블로그
- ChatGPT 보안 괜찮나요? 회사 데이터 올려도 되는지 AI LLM 개발자가 확인해드립니다 | inline AI
- 직원들이 ChatGPT에 회사 자료 넣어도 될까요? — 기업 AI 사용 정책 수립 가이드
Photo by Microsoft Copilot on Unsplash
