민감한 자료를 AI에 넣으면 법무팀이 안 된다고 할까? 기업 데이터 보호 가이드

최근 이 질문을 여러 번 받았다. 디자인 팀이 AI 도구로 교정, 배색, 레이아웃 작업을 시작했는데 어느 날 법무팀이나 대표가 와서 “고객 자료는 넣으면 안 된다”고 말하는 상황이다

법무팀의 우려는 괜한 걱정이 아니다. 공개 버전 ChatGPT, 즉 브라우저를 열고 바로 로그인해서 쓰는 버전에는 핵심적인 동작 방식이 있다. 사용자가 입력한 내용이 기본 설정상 OpenAI의 모델 개선에 사용될 수 있다는 점이다. 비밀도 아니다. OpenAI 개인정보 처리방침에 분명히 적혀 있지만, 대부분 꼼꼼히 읽지 않을 뿐이다

문제가 구체적으로 어디에 있을까? 고객사명, 담당자 이름, 구매 품목이 들어 있는 견적 확인서를 ChatGPT에 붙여 넣고 문장을 다듬어 달라고 하면, 그 자료는 OpenAI 서버로 전송된다. 법적으로 보면 자료에 대한 통제권은 이미 당신 쪽에만 있지 않다

대만 개인정보보호법은 기업이 개인정보를 수집, 처리, 이용할 때 특정 목적이 있어야 하며 필요한 범위를 넘어서면 안 된다고 규정한다. 고객 개인정보를 제3자 AI 플랫폼에 보내는 것은 엄격히 말해 이 선을 밟는 일이다. 개인정보를 수집할 때 이를 고지하고 동의를 받았다면 예외가 될 수 있지만, B2B 인쇄 영업 현장에서 그렇게 하는 경우는 거의 없다

이것이 법무팀이 “안 된다”고 말하는 기준선이다. 괜히 일을 어렵게 만드는 것이 아니다

AI를 일괄 금지하는 것도 또 다른 극단이고, 굳이 그럴 필요는 없다. 핵심은 지금 쓰는 AI가 어떤 종류인지 정확히 아는 것이다. 데이터 격리 수준이 완전히 다르다

공개 버전(Consumer tier)

・ChatGPT 무료 버전, Plus 개인 계정: 입력 데이터가 기본적으로 학습 풀에 들어갈 수 있다. 단, 설정에서 “모델 개선” 옵션을 직접 끄는 경우는 제외다

・개인용 아이디어 발상이나 고객 식별 정보가 없는 작업에 적합하다

기업용 및 API 버전(Enterprise / API tier)

・ChatGPT Enterprise, Microsoft 365 Copilot(Azure OpenAI 경유): OpenAI는 Enterprise 고객 데이터를 모델 학습에 사용하지 않겠다고 명확히 약속하며, 데이터는 전송 중과 저장 상태 모두에서 암호화된다

・API 호출도 user 파라미터를 설정하고 계정이 API 플랜임을 확인하면 동일한 데이터 비학습 정책이 적용된다

온프레미스 배포

・자체 서버실이나 프라이빗 클라우드에서 오픈소스 모델, 예를 들어 Llama 계열을 실행하는 방식이다. 데이터가 외부로 나가지 않아 컴플라이언스 리스크가 가장 낮다

・단점은 IT 구축 비용이 필요하다는 점이다. 일정 규모가 있는 인쇄소나 디자인 회사에 적합하다

쉽게 말해, 똑같이 “AI”라고 부르더라도 공개 버전과 기업용 버전에서 데이터가 흘러가는 운명은 크게 다르다. 많은 회사가 “AI를 쓰면 안 된다”고 말하지만, 실제로 해야 할 말은 “고객 자료를 공개형 AI로 처리하면 안 된다”에 가깝다. 두 문장의 의미는 아주 다르다

가변 데이터 인쇄(Variable Data Printing, VDP)는 인쇄 업계에서 특히 경계해야 하는 작업이다

간단히 말해 VDP는 같은 인쇄물 묶음 안에서도 각 장마다 다른 이름, 주소, 바코드, 개인화 콘텐츠를 인쇄하는 방식이다. DM 봉투, 회원카드, 보험증권, 의료 보고서 표지 등이 대표적인 VDP 사례다. 이런 일의 특징은 분명하다. 작업자 손에 반드시 대량의 개인정보 목록이 있다는 것이다

매우 흔한 상황을 본 적이 있다. 디자이너가 VDP 템플릿의 레이아웃이 제대로 잡혔는지 확인하려고, 고객 자료 500건이 들어 있는 CSV 전체를 AI 도구에 붙여 넣고 “필드 형식을 확인해 달라”고 요청한 것이다. 그렇게 500명의 이름, 주소, 전화번호가 그대로 전송됐다

VDP 작업에서는 원칙적으로 비식별화된 가짜 데이터로만 판형 테스트를 해야 한다. 실제 고객 목록은 입고되는 순간부터 정보보안 통제가 되는 환경 안에서만 처리해야 하며, 공개형 AI 도구와 접촉해서는 안 된다

AI의 도움으로 VDP 디자인 로직이나 레이아웃 규칙을 개선하고 싶다면 규칙을 문장으로 정리하라. 예를 들어 “이름 필드는 한글 기준 최대 8자, 초과 시 글자 크기를 8pt까지 줄인다”처럼 규칙 자체를 AI에 넣으면 된다. 실제 데이터와 함께 넣지 말아야 한다

실무에서 가장 자주 나오는 질문이다. 간단히 나누면 다음과 같다

AI에 바로 넣어도 되는 자료(저위험)

・공개 정보, 예를 들어 제품 사양 설명, 소재 소개, 인쇄 공정 설명

・완전히 허구인 디자인 시안 문구, 테스트용 Lorem Ipsum 또는 직접 만든 가짜 데이터

・고객이나 직원 식별 정보가 전혀 없는 내부 프로세스 문서

・기술 질문, 예를 들어 “Pantone 485C를 CMYK로 변환할 때 표준값은 얼마인가”

비식별화한 뒤에만 넣을 수 있는 자료

・고객 요구사항 문서: 회사명은 “A 고객”, 사람 이름은 “구매 담당자”로 바꾼다

・과거 사례 참고 자료: 사례의 구체적인 식별 정보를 모두 흐리게 처리한 뒤 설명한다

・견적서 초안: 품목과 사양은 남겨도 되지만 고객명, 사업자번호, 구매 담당자 이름은 제거해야 한다

절대 넣으면 안 되는 자료(고위험, AI 종류와 무관)

・실명, 전화번호, 주소, 주민등록번호가 포함된 모든 목록

・고객과 비밀유지계약을 맺은 디자인 원본 파일 또는 브랜드 가이드 문서

・재무 자료, 계약 조항, 견적 상세 내역, 특히 경쟁 입찰 관련 자료

・직원 급여, 성과평가, 인사 자료

비식별화의 핵심 원칙은 하나뿐이다. 제거한 뒤에는 누구도 남은 정보만으로 실제 개인이나 특정 회사를 역추적할 수 없어야 한다. 이름만 바꾸고 독특한 업무 설명을 그대로 남겼다면 진짜 비식별화가 아니다

AI의 도움을 받아 인쇄 제안서를 준비해야 한다면 Mai Strategy 지식 아카데미 컨설팅 팀과 법규를 충족하는 AI 업무 흐름을 어떻게 만들지 논의해 볼 수 있다. 특히 VDP와 상업 인쇄 환경에서의 데이터 등급화 기준이 중요하다

많은 회사가 AI 도구를 도입할 때 기능과 가격만 보고, 비밀유지계약은 대충 넘긴다. 아주 흔한 실수다

신뢰할 수 있는 AI 업체의 NDA나 서비스 약관이라면 최소한 다음 항목은 확인해야 한다

데이터 이용 목적

・업체가 입력 데이터를 모델 학습에 사용하지 않겠다고 명확히 약속하는가

・데이터 보관 기간이 분명한가, 예를 들어 처리 완료 후 30일 이내 삭제

・데이터를 계약에 명시된 목적 안에서만 사용하며 제3자에게 공개하지 않는가

데이터 저장 및 격리

・서버 위치를 확인해야 한다. EU GDPR이나 대만 개인정보보호법은 국외 이전에 관한 규정을 두고 있으므로, 데이터가 미국 서버에 있다고 해서 항상 적법한 것은 아니다

・Enterprise 계정에 논리적 격리가 적용되어 당신의 데이터가 다른 테넌트와 완전히 분리되는가

계약 위반 책임

・업체에서 데이터 유출이 발생하면 몇 시간 안에 통지해야 하는가. 72시간은 업계에서 흔히 쓰이는 기준이다

・손해배상 조항이 구체적인가. 단순히 “최선을 다해 방지한다”고만 쓰여 있으면 부족하다

감사 권한

・업체에 데이터 처리 기록 제공을 요구할 수 있는가

・ISO 27001 또는 SOC 2 인증은 기본 문턱이다. 업체가 제3자 정보보안 감사를 통과했다는 의미다

업체의 서비스 약관이 공개된 온라인 문서이고 당신 회사에 맞게 수정할 수 없다면, 할 수 있는 일은 플랫폼의 사용 정책이 요구사항에 맞는지 확인하는 것뿐이다. 맞지 않는다면 고객 자료를 신뢰할 수 없는 방식으로 처리하는 셈이다

Adobe Creative Cloud, Canva 기업용처럼 주요 인쇄업계 SaaS 도구는 최근 GDPR / 개인정보보호법 준수 선언을 명확히 내놓고 있다. 하지만 이런 선언은 NDA와 같지 않다. 기업 계약을 체결해야 실제 보호 장치가 생긴다

이 체크리스트는 내가 인쇄소와 디자인 회사에 AI 업무 흐름 도입을 지원할 때 실제로 쓰는 것이다. 이론적인 틀이 아니라, 현장에서 돌려본 뒤 정리한 목록이다

도입 전 확인

・사용할 AI 플랫폼의 약관 버전과 데이터 이용 목적 설명을 확인한다

・데이터 민감도에 따라 기업용, API 버전, 온프레미스 배포가 필요한지 평가한다

・기존 고객 계약에 “고객 자료를 제3자에게 처리 위탁해서는 안 된다”는 조항이 있는지 법무팀과 확인한다

내부 규정 수립

・“AI 사용 가능 데이터 등급표”를 만든다. 이 글 위의 분류 논리를 참고할 수 있다

・어떤 업무 흐름에서 AI를 사용할 수 있고, 어떤 업무에서는 금지되는지 정한다. 예를 들어 VDP 작업 전 과정에서 공개형 AI 사용 금지

・직원 대상 AI 사용 교육을 마련하고, 최소 연 1회 진행한다

업체 관리

・모든 AI 도구 업체에 DPA(Data Processing Agreement, 데이터 처리 계약) 제공을 요구한다

・업체가 ISO 27001 또는 SOC 2 인증을 보유했는지 확인한다

・계약 후 매년 업체의 개인정보 처리방침 변경 사항을 재검토한다

일상 작업

・AI에 붙여 넣기 전 “비식별화 자가 점검”을 한다. 이 내용에 특정 개인이나 특정 회사를 식별할 수 있는 정보가 들어 있는가?

・의심이 들면 바꾼 뒤에 보내라. 도박하지 말아야 한다

・민감한 작업이 끝난 뒤에는 AI 플랫폼의 대화 기록을 삭제한다. 대부분의 플랫폼에는 수동 삭제 옵션이 있다

높은 수준의 개인정보 보호가 요구되는 인쇄 프로젝트(예: 의료, 금융, 정부 입찰 등)를 진행하고 있다면, 마인즈 인쇄처럼 완벽한 컴플라이언스 프로세스를 갖춘 상업 인쇄 업체와 직접 협력하는 것을 권장한다. 디자인부터 터잡기까지 모든 공정이 통제된 환경 내에서 진행되어 보안 취약점이 발생할 위험을 줄여준다

・공개 버전 ChatGPT는 기본적으로 사용자의 입력 데이터를 모델 학습에 사용할 수 있다. 기업용과 API 버전은 사용하지 않겠다고 명확히 약속한다. 두 방식의 컴플라이언스 리스크는 같은 수준이 아니다

・가변 데이터 인쇄(VDP) 작업에서 실제 고객 목록은 입고 순간부터 AI 도구와 완전히 분리해야 한다. 판형 테스트에는 가짜 데이터만 사용한다

・비식별화의 기준선은 “제거한 뒤 어떤 실제 개인이나 회사로도 역추적할 수 없어야 한다”는 것이다. 이름만 바꾸고 독특한 업무 설명을 남기면 인정되지 않는다

・AI 업체와 계약할 때는 네 가지를 봐야 한다. 데이터 이용 목적, 서버 위치, 통지 의무, 감사 권한. DPA가 없으면 보호 장치도 없다고 봐야 한다

・내부 AI 사용 규정은 말로 끝나면 안 된다. VDP에서 공개형 AI 사용 금지 같은 조항은 작업 SOP에 들어가야 실제로 작동한다

컴플라이언스라는 면에서 인쇄업은 사실 대부분의 산업보다 유리하다. 우리는 원래 고객 기밀 자료를 다루는 데 익숙하기 때문이다. 디자인 시안 보안, 교정본 외부 유출 금지, 견적 비공개. 모두 업계의 기본 소양이다. 이 논리를 AI 도구로 확장하는 일은 어렵지 않다

가장 현실적인 다음 단계는 하나다. 회사에서 현재 쓰는 모든 AI 도구를 목록으로 만들고, 각각이 기업용인지, DPA를 체결했는지 하나씩 확인하라. 직원이 개인 계정으로 쓰는 도구가 있다면 지금 회사 계정으로 바꾸거나 Enterprise로 올려라. 복잡한 작업은 아니지만, 이것만으로도 리스크의 80%를 막을 수 있다

디자인 회사와 인쇄소는 AI 컴플라이언스 문제를 사고가 난 뒤에야 움직일 필요가 없다. 지금 데이터 등급표를 만들고, 직원들이 무엇을 넣어도 되고 무엇을 넣으면 안 되는지 알게 하는 편이 사후 수습보다 훨씬 싸다