사내 생성형 AI 가이드라인은 AI를 막는 금지 목록이 아니라 어떤 계정으로 어떤 자료를 어디까지 처리하고, 언제 사람의 승인을 받아야 하는지 정한 업무 지도입니다. 처음부터 긴 규정을 만들기보다 바로 사용, 사전 승인, 사용 금지의 세 구역과 사고 보고 책임을 한 장에 정리하세요.
30초 답
- 회사가 승인한 도구와 계정을 먼저 적습니다.
- 자료를 공개·내부·기밀·접근정보로 나눕니다.
- 업무를 바로 사용·사전 승인·사용 금지로 구분합니다.
- AI 결과의 출처·수치·개인정보를 누가 검수할지 정합니다.
- 잘못 입력했을 때 중단·보고·삭제·재발 방지 순서를 적습니다.
- 담당자와 다음 검토일을 넣고 실제 사례가 생길 때 개정합니다.
서비스 이름만 적거나 “기밀정보 입력 금지” 한 줄로 끝내면 직원은 실제 화면에서 판단하기 어렵습니다. 좋은 규칙은 허용 범위와 보류 조건, 질문할 사람을 함께 보여줍니다.
왜 긴 규정보다 1페이지가 먼저인가
AI 도구의 기능과 데이터 조건은 자주 바뀝니다. 처음부터 모든 예외를 담은 문서를 만들면 완성 전에 현장 사용이 먼저 시작됩니다. 반대로 전면 금지는 개인 계정과 승인되지 않은 도구로 사용이 숨어드는 문제를 만들 수 있습니다.
허보람은 10년 경험을 AI에게 인수인계할 수 있나요?에서 도구보다 업무 순서, 판단 기준과 예외를 언어로 설명하는 일이 선행돼야 한다고 씁니다. 사내 규칙도 같습니다. “조심해서 사용”이 아니라 무엇을 보고 진행·보류·중단하는지를 관찰 가능한 문장으로 바꿔야 합니다.
1페이지 문서는 법무·보안 규정을 대신하지 않습니다. 직원이 매일 보는 첫 판단표이고, 상세 정책·계약·개인정보 처리 기준으로 연결하는 입구입니다.
규칙을 만들기 전에 업무부터 세 종류로 나눕니다
| 구역 | 판단 기준 | 예시 | 기본 조치 |
|---|---|---|---|
| 바로 사용 | 공개 또는 합성 자료, 외부 영향 없음, 오류를 쉽게 발견 | 공개 보도자료 요약, 가상 데이터 표 정리, 제목 아이디어 | 승인 계정에서 사용 후 담당자 검수 |
| 사전 승인 | 내부 자료가 필요하거나 고객·브랜드·비용에 영향 | 내부 회의 요약, 미공개 캠페인 초안, 코드·계약 문서 보조 | 자료 최소화 후 보안·업무 책임자 승인 |
| 사용 금지 | 접근정보·고위험 개인정보, 되돌리기 어려운 결정·실행 | 비밀번호·API 키 입력, 채용 자동 결정, 승인 없는 외부 발송 | AI 사용 중단, 기존 절차로 처리 |
같은 업무도 자료와 행동에 따라 구역이 달라집니다. 공개 제품 설명으로 이메일 문장을 다듬는 일과 실제 고객 이름·계약 조건이 든 이메일을 처리하는 일은 같은 ‘이메일 작성’이 아닙니다.
1페이지에 반드시 들어갈 8칸
1. 목적과 적용 대상
누가 어떤 업무에서 이 규칙을 적용하는지 적습니다. 전 직원 규칙인지 특정 팀의 파일럿인지, 외주 인력과 협력사도 포함하는지 경계를 표시합니다.
2. 승인 도구와 계정
서비스명만 쓰지 말고 허용 플랜, 조직 계정, 관리자, 로그인 방식과 연결 가능한 앱을 적습니다. 개인용 유료 계정과 회사가 계약한 조직용 계정의 조건을 섞지 않습니다.
3. 입력 자료 등급
자료를 최소 네 등급으로 나눕니다.
- 공개: 공식 홈페이지, 공개 보도자료
- 내부: 내부 일정, 회의 메모, 미공개 초안
- 기밀·개인: 고객 문의, 계약, 매출, 인사, 캠페인 원데이터
- 접근정보: 비밀번호, 토큰, API 키, 내부 접속주소
자료 여러 개를 함께 쓰면 가장 높은 등급을 적용합니다. 이름만 지웠더라도 날짜·지점·직무·희귀 사건을 조합해 사람을 알아볼 수 있으면 개인정보 위험이 남습니다.
4. 허용·승인·금지 업무
업무 이름이 아니라 입력과 출력, 외부 영향까지 적습니다. 요약 허용보다 공개 자료를 합성 예제로 요약하고 원문과 대조한 내부 초안이 훨씬 분명합니다.
5. 사람의 검수 책임
AI가 만든 문장을 그대로 보내지 않는다는 선언만으로는 부족합니다. 수치, 날짜, 고유명사, 인용, 개인정보, 저작권, 브랜드 표현을 누가 무엇과 대조할지 정합니다.
6. 외부 사용 표시와 승인
고객에게 전달하거나 공개할 결과물은 담당자와 승인 단계를 둡니다. AI 사용 사실을 언제 공개할지, 사람이 최종 책임졌음을 어떻게 기록할지도 조직 기준으로 정합니다.
7. 사고 대응
금지 자료를 잘못 넣었을 때 창을 닫는 것으로 끝내지 않습니다. 입력 중단, 화면·시각·서비스 기록, 관리자 보고, 삭제 가능성 확인, 자격정보 교체와 재발 방지 순서를 적습니다.
8. 소유자와 검토일
규칙 소유자, 문의 채널, 승인권자, 버전과 다음 검토일을 표시합니다. 서비스의 약관·보존·연결 기능이 바뀌면 정기 검토일 전에도 다시 확인합니다.
복사해서 쓰는 1페이지 템플릿
목적·대상: [적용 팀과 허용 목적]
승인 도구·계정: [서비스 / 플랜 / 조직 계정 / 관리자]
바로 사용: [공개·합성 자료로 하는 내부 초안 업무]
사전 승인: [내부 자료·외부 영향이 있는 업무 / 승인자]
사용 금지: [개인정보·기밀·접근정보 / 자동 결정·무승인 실행]
입력 전: 자료 최소화 → 식별 가능성 확인 → 합성 예제 시험
출력 검수: 수치·날짜·인용·출처·개인정보를 [원자료]와 대조
외부 공개: [담당자] 승인 전 발송·게시·수정 금지
오입력 대응: 즉시 중단 → [보안 연락처] 보고 → 삭제·키 교체 판단 → 기록
기록: 목적 / 사용 도구 / 자료 등급 / 검수자 / 승인자 / 예외
문의·소유자: [담당자·채널]
다음 검토일: [YYYY-MM-DD]
템플릿의 빈칸을 AI가 임의로 채우게 두지 않습니다. 실제 계약, 회사 규정과 담당자 합의를 바탕으로 사람이 확정합니다.
합성 사례: 마케팅 주간 보고서
가상의 6명 마케팅팀이 주간 캠페인 보고서 초안을 AI로 만들려 한다고 가정해 보겠습니다.
익숙한 통념
“이름만 빼고 광고 데이터를 넣으면 된다.”
실제 판단
캠페인 이름, 미공개 예산, 매체 계정 식별자와 작은 고객군의 전환 정보가 함께 있으면 회사 전략이나 개인을 추정할 수 있습니다. 따라서 첫 시험은 실제 자료가 아니라 구조가 같은 합성 표로 합니다.
| 단계 | 입력 | AI 역할 | 사람 역할 | 구역 |
|---|---|---|---|---|
| 형식 시험 | 가상 캠페인·가상 수치 | 표를 3문장 요약과 이슈 목록으로 변환 | 누락·계산 확인 | 바로 사용 |
| 내부 초안 | 범주화한 실제 집계 | 변화 요인 후보와 확인 질문 작성 | 원자료 대조, 승인 | 사전 승인 |
| 고객 보고 | 승인된 최종 수치·문장 | 사용하지 않거나 표현 보조만 | 담당자 최종 작성·발송 | 개별 승인 |
| 계정 조작 | 광고 계정 로그인·토큰 | 사용하지 않음 | 권한 있는 담당자만 실행 | 사용 금지 |
이 사례에서 AI의 역할은 성과 원인을 확정하는 것이 아니라 무엇을 더 확인해야 하는가를 빠르게 정리하는 것입니다. 숫자가 내려갔다는 사실과 원인 추정은 분리합니다.
규칙의 실효성을 계산하는 간단한 방법
문서가 존재하는지보다 실제 판단이 빨라지고 사고가 줄었는지 봅니다.
월간 순효과 = 질문·검수 절감시간 − 규칙 교육시간 − 예외 처리시간 − 오류 복구시간
합성 예제로 한 달에 반복 질문이 10시간 줄었지만 교육 3시간, 예외 확인 4시간, 잘못된 입력 대응 5시간이 들었다면 순효과는 10−3−4−5 = -2시간입니다. 이 경우 AI 사용을 늘리는 대신 금지선과 승인 절차를 더 분명히 해야 합니다.
함께 기록할 지표는 다음과 같습니다.
- 승인되지 않은 도구 사용 발견 건수
- 민감자료 오입력과 즉시 중단 건수
- 결과 검수에 걸린 시간과 반복 오류
- 사전 승인 요청 중 허용·보류·거절 비율
- 규칙에서 답을 찾지 못한 질문
- 규칙 개정 후 같은 오류가 다시 발생했는지
숫자가 많아지는 것을 곧 실패로 보지 않습니다. 숨어 있던 사용이 보고되기 시작한 것인지, 실제 위험이 늘었는지 구분합니다.
팀 상황을 템플릿으로 바꾸는 복사 프롬프트
아래에는 실제 회사명·고객명·개인정보·계약 수치를 넣지 않고 업무 구조와 합성 예제만 제공한다.
적용 팀과 목적: [내용]
후보 도구와 계정 유형: [내용]
자주 하는 업무 5개: [내용]
사용하려는 자료 등급: [공개/내부/기밀·개인/접근정보]
외부에 영향을 주는 행동: [발송/게시/수정/결제]
기존 승인자와 보고 채널: [역할만 기재]
실패·오입력 사례: [합성 사례]
1) 각 업무를 바로 사용, 사전 승인, 사용 금지로 분류하라.
2) 분류 근거가 없는 항목은 추측하지 말고 ‘담당자 확인 필요’로 표시하라.
3) 입력 전 최소화, 출력 검수, 외부 승인, 사고 대응 항목을 1페이지 표로 만들라.
4) 역할이 비어 있거나 서로 충돌하는 규칙을 질문 목록으로 분리하라.
5) 적용 첫 2주에 기록할 지표와 개정 조건을 제안하라.
6) 법률·보안 승인을 대신하지 않는다고 명시하라.
첫 2주 운영 순서
- 최근 AI 사용 사례 10개를 익명화해 수집합니다.
- 각 사례를 세 구역에 배치하고 의견이 갈린 이유를 기록합니다.
- 승인 도구 한 개와 합성 업무 두 개로 파일럿을 시작합니다.
- 사용자는 목적·자료 등급·검수자를 간단히 기록합니다.
- 오입력, 반복 오류와 승인 지연을 매일 확인합니다.
- 2주 뒤 규칙에서 답하지 못한 질문을 우선 개정합니다.
- 승인 범위를 넓힐 때는 편의가 아니라 오류·검수 기록을 근거로 삼습니다.
처음부터 모든 팀에 같은 규칙을 적용하지 않습니다. 자료와 외부 영향이 다른 팀은 승인선도 달라야 합니다.
실패하기 쉬운 규칙
- 승인 도구 이름만 있고 개인용·조직용 계정을 구분하지 않습니다.
- “민감정보 금지”라고만 쓰고 실제 예시와 질문할 사람을 적지 않습니다.
- 모든 AI 결과를 사람이 검수한다고 쓰지만 검수 항목과 원자료가 없습니다.
- 사용 금지만 강조하고 안전하게 시험할 합성 예제를 제공하지 않습니다.
- 외부 발송·게시·파일 수정과 같은 실행 권한을 따로 다루지 않습니다.
- 오입력을 숨기지 않고 보고할 채널과 대응 시간을 정하지 않습니다.
- 규칙을 만든 뒤 서비스 기능·계약과 사고 기록을 다시 보지 않습니다.
이 템플릿은 법률·보안 자문이 아닙니다. 실제 개인정보 처리, 국외 이전, 위탁, 보존과 삭제 조건은 개인정보·보안 담당자가 관련 법령, 회사 규정과 서비스 계약을 확인해 확정해야 합니다. 비밀번호·API 키·인증 토큰은 일부라도 AI에 입력하지 마세요.
자주 묻는 질문
작은 회사도 사내 AI 가이드라인이 필요한가요?
인원이 적을수록 한 사람이 여러 도구와 고객 자료를 함께 다룰 수 있습니다. 긴 규정 대신 승인 계정, 금지 자료, 외부 발송 승인과 사고 연락처부터 한 장에 적는 편이 현실적입니다.
무료 AI 사용을 전부 금지해야 하나요?
서비스명이나 가격만으로 일괄 판단하지 않습니다. 회사 자료를 넣지 않는 공개·합성 업무와 조직 승인이 필요한 업무를 분리하고, 각 서비스의 최신 데이터 처리 조건을 확인합니다.
“학습에 사용하지 않음”이면 회사 자료를 넣어도 되나요?
그 문구만으로 충분하지 않습니다. 저장·보존, 관리자 접근, 연결 앱, 삭제, 감사, 데이터 지역과 실제 계약 조건을 따로 확인해야 합니다.
직원이 금지 자료를 잘못 입력하면 바로 해고 규정을 넣어야 하나요?
징계 판단보다 먼저 즉시 중단·보고·삭제 가능성 확인·접근정보 교체·피해 범위 파악 절차가 작동해야 합니다. 인사 조치는 회사 규정과 책임자가 별도로 판단합니다.
가이드라인은 얼마나 자주 바꿔야 하나요?
정기적으로는 최소 분기마다 확인하고, 승인 도구의 약관·관리 기능이 바뀌거나 오입력·외부 공개 사고가 발생하면 즉시 검토합니다. 모든 개정에는 버전, 변경 이유와 적용일을 남깁니다.
관련 글
공식 출처와 운영자 원문
- 개인정보보호위원회: 생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서
- KISA: 인공지능(AI) 보안 안내서 정오 수정본
- NIST: Generative AI Profile
- OpenAI: 비즈니스 데이터 개인정보·보안·컴플라이언스
- 운영자 원문: 10년 경험을 AI에게 인수인계할 수 있나요?
AI 서비스의 데이터 처리, 보존, 관리자 기능과 관련 지침은 바뀔 수 있습니다. 발행일에 위 공식 자료와 실제 조직 계약을 다시 확인하세요.