사내 AI 활용 가이드라인
Internal AI Usage Policy
사내 AI 활용 가이드라인이란?
- 금지가 아니라 쓸 수 있게 하는 문서
- 입력 금지·승인 도구·검증 책임이 핵심
- 사례 문답 없이는 아무도 읽지 않는다
가이드라인이 문서로 존재하기 시작하면 현장에서 오가는 질문의 형태부터 바뀝니다. 그전까지 팀장에게 오던 질문은 '이거 넣어도 되나요'였고, 돌아오는 답은 대개 '알아서 조심하세요'였습니다. 판단이 개인의 감각에 맡겨진 상태에서는 조심성 많은 사람만 손해를 보고, 과감한 사람이 사고를 냅니다. 기준선이 문서에 박히는 순간 판단의 무게가 개인에서 조직으로 옮겨가고, 구성원은 '써도 되나'가 아니라 '어떻게 쓸까'를 묻기 시작합니다. 허용 범위를 명시한 문장 한 줄이 금지 조항 열 개보다 활용률을 끌어올립니다.
실무에서 잘 도는 가이드라인은 금지 목록을 길게 나열하는 대신 데이터를 등급으로 나눕니다. 공개(보도자료·홈페이지 게시물)는 제한 없이, 내부(회의록·업무 매뉴얼)는 회사 계약 도구에서만, 기밀(고객 개인정보·미공개 실적·계약서 원문)은 도구를 가리지 않고 입력 금지로 두는 3단계 구조입니다. 도구도 층이 나뉩니다. 학습 제외 옵션이 걸린 기업 계약 계정, 부서장 승인 후 쓰는 도구, 개인 무료 계정은 각각 다룰 수 있는 등급이 다릅니다. 정보보호 규정이나 개인정보 처리방침을 대체하는 문서가 아니라 그 아래 붙는 실무 지침이므로, 충돌하면 상위 규정이 우선한다는 한 줄을 넣어 둡니다. 분량은 A4 두 장을 넘기지 않는 편이 현실적입니다.
금지 조항만 촘촘한 규정은 섀도우 AI를 키웁니다. 회사 계정으로 막히니 퇴근길 휴대폰으로 개인 계정에 붙여 넣는 식이고, 이때는 로그조차 남지 않습니다. '이름과 회사명을 지웠으니 익명화됐다'는 오해도 위험합니다. 지역과 매출 규모, 거래 품목이 함께 들어가면 조합만으로 특정 고객사가 드러납니다. 더 자주 놓치는 지점은 계약입니다. 고객사와 맺은 비밀유지 조항이 제3자 서비스 입력을 금지하고 있으면, 회사 가이드라인이 허용하더라도 그 건은 계약 위반이 됩니다. 주요 수주 계약서의 보안 조항을 한 번 훑고, 예외로 묶어 명시해 두는 작업이 규정 작성만큼 중요합니다.
생성형 AI가 업무에 빠르게 확산되며 기업 정보 유출 사고가 보고된 이후, 사내 규정으로 정착한 실무 문서입니다. 각국의 AI 규제와 개인정보보호 법제가 정비되면서 거버넌스 체계의 일부로 편입되는 흐름입니다.
가상의 사례로 살펴보겠습니다. 자동차 부품을 만드는 A사는 임직원 420명, 연매출 1,800억 규모의 중견기업입니다. 영업팀 담당자가 고객사 견적 조건을 개인 계정 챗봇에 붙여 넣은 사실이 내부 감사에서 드러나면서 경영진이 발칵 뒤집혔습니다. 경영지원본부가 8주 일정으로 사내 가이드라인 작업에 착수했습니다.
- 정보보안팀장이 익명 설문을 돌렸더니 응답 310명 중 68%가 이미 AI를 쓰고 있었고, 그중 81%가 회사가 모르는 개인 계정이었습니다. '막으면 더 숨는다'는 결론이 여기서 나왔습니다.
- 법무팀 과장과 영업·구매·생산 실무자 6명이 모여 회사 데이터를 3등급으로 갈랐습니다. 단가표와 금형 도면은 기밀, 회의록은 내부, 제품 카탈로그는 공개로 붙이는 데 회의가 두 번 걸렸습니다.
- IT팀장이 기업 계약 계정 150석을 도입하며 학습 제외 옵션을 켜고, '회사 계정 안에서는 내부 등급까지 마음 놓고 쓰세요'라는 한 문장을 공지 맨 위에 올렸습니다.
- 영업본부장이 팀 회의에서 먼저 손을 들었습니다. '견적 조건 넣은 사람 접니다, 이 건으로 징계는 없습니다'라고 말한 뒤 두 달 동안 신고 채널에 아차 사례 14건이 모였습니다.
- A4 2장 요약본과 사례 문답 20개를 배포하고 반기 갱신 담당자를 지정했습니다. 6개월 뒤 개인 계정 사용률은 81%에서 17%로 떨어졌고, 영업팀 제안서 초안 작성 시간은 건당 평균 3시간에서 50분으로 줄었습니다.