홈 › 블로그 › AI 도구 보안 체크리스트

기업용 AI 도구 도입 시 보안 체크리스트

AI 도구 보안 검토가 어려운 이유는 항목이 많아서가 아니라, 물어볼 질문이 일반 SaaS와 다르기 때문입니다. 학습 데이터 사용, 프롬프트 보존, 모델 제공자 재위탁 같은 항목은 기존 체크리스트에 없습니다.

4개 영역 벤더 질문 형태 국내 요건 포함

결론부터

기존 SaaS 보안 검토를 그대로 쓰면 AI 도구에서 가장 중요한 세 가지를 놓칩니다 — 입력한 내용이 학습에 쓰이는지, 프롬프트와 출력이 얼마나 보관되는지, 그리고 그 도구가 다시 다른 모델 제공자에게 재위탁하는지.

아래 항목은 벤더에게 그대로 보낼 수 있게 질문 형태로 적었습니다. 답을 문서로 받는 것이 중요합니다. 영업 담당자의 구두 답변은 계약 조건이 아닙니다.

영역 1 — 데이터 처리

학습 사용 여부 — 우리가 입력한 내용이 모델 학습이나 개선에 사용됩니까? 기본값이 "사용"이라면 끄는 방법과, 끈 상태가 계약서에 명시되는지 확인하세요.

보존 기간 — 프롬프트와 출력은 얼마나 보관됩니까? "장애 대응 목적 30일" 같은 구체적 답이 필요하고, 삭제 요청 시 처리 기간도 확인해야 합니다.

저장 위치 — 데이터가 어느 국가에 저장됩니까? 국내 저장이 필요한 업종·계약이라면 이 항목이 도입 가능 여부를 바로 결정합니다.

재위탁 구조 — 이 도구가 다른 모델 제공자(예: 외부 LLM API)를 쓰고 있습니까? 쓰고 있다면 그 제공자의 학습·보존 정책도 함께 확인해야 합니다. 여기서 걸리는 경우가 많습니다.

삭제와 반출 — 계약 종료 시 데이터 삭제 증빙을 받을 수 있습니까? 그리고 우리 데이터를 내보낼(export) 수 있습니까?

영역 2 — 접근 통제

인증 — SSO와 다중 인증을 지원합니까? 어느 요금제부터 지원되는지 함께 확인하세요. 보안 기능이 상위 요금제에만 있는 경우가 흔합니다.

권한 분리 — 사용자별·부서별로 접근 범위를 나눌 수 있습니까? 특히 문서를 색인하는 도구라면 검색 단계에서 권한이 적용되는지 확인이 필요합니다.

감사 로그 — 누가 무엇을 입력했는지 기록이 남고, 우리가 조회할 수 있습니까? 사고가 났을 때 이 로그가 없으면 범위 파악이 불가능합니다.

계정 회수 — 퇴사자 계정을 즉시 차단할 수 있습니까? SSO 연동이 되어 있으면 자동으로 처리됩니다.

영역 3 — 계약과 규제

개인정보 처리 위탁 — 개인정보가 포함된다면 위탁 계약과 국외 이전 고지 요건을 확인해야 합니다. 국외 저장이면 이 절차가 추가로 필요합니다.

생성형 AI 표시 의무 — AI 기본법상 표시 의무가 우리 서비스에 적용되는지, 이 도구의 출력물이 대외 서비스에 나가는지 확인하세요. 사내 사용만이면 범위가 다릅니다.

보안 인증 — ISMS-P, ISO 27001, SOC 2 중 무엇을 보유하고 있습니까? 인증서 사본과 유효기간을 받으세요.

사고 통지 — 침해 사고 발생 시 몇 시간 안에 통지받습니까? 계약서에 시간이 명시되어 있는지가 핵심입니다.

책임 범위 — 데이터 유출 시 책임 한도가 어떻게 정해져 있습니까? 대개 월 이용료 기준으로 제한되어 있어, 실제 손해와 차이가 큽니다.

영역 4 — 사내 운영

도구를 통과시켰다고 끝이 아닙니다. 실무에서 사고는 대개 승인된 도구의 잘못된 사용에서 생깁니다. 그래서 사용 규정이 함께 필요합니다 — 어떤 데이터를 넣어도 되는지, 어떤 것은 금지인지.

가장 흔한 사고 유형은 두 가지입니다. 승인되지 않은 개인 계정으로 사내 문서를 처리하는 것(섀도 AI), 그리고 고객 데이터를 식별 정보째로 붙여 넣는 것입니다. 둘 다 도구 보안 검토로는 막히지 않습니다.

그래서 검토와 함께 세 가지를 준비하는 편이 좋습니다 — 승인된 도구 목록, 넣어도 되는 데이터 등급 정의, 그리고 위반 시 절차. 목록만 있고 등급 정의가 없으면 판단이 개인에게 넘어갑니다.

자주 묻는 질문

무료 요금제로 시험만 하는데도 검토가 필요합니까?

오히려 무료 요금제가 위험합니다. 학습 데이터 사용 기본값이 "사용"인 경우가 많고, SSO·감사 로그 같은 통제 기능이 없습니다. 시험이라면 실제 사내 데이터 대신 식별 정보를 지운 표본을 쓰세요.

벤더가 답을 문서로 주지 않습니다.

그 자체가 판단 근거입니다. 데이터 처리 조건을 문서로 확정할 수 없는 도구는 사고가 났을 때 근거가 없습니다. 사내 사용 범위를 민감하지 않은 데이터로 제한하는 조건으로만 통과시키는 편이 안전합니다.

이미 여러 도구가 부서별로 쓰이고 있습니다.

먼저 목록을 만드세요. 결제 내역과 SSO 로그로 대부분 파악됩니다. 목록 없이 규정을 만들면 규정이 현실과 어긋나고, 결국 아무도 지키지 않습니다.

온프레미스나 사내 모델이면 다 해결됩니까?

데이터 반출 문제는 해결되지만 접근 통제, 감사 로그, 사용 규정은 그대로 남습니다. 그리고 구축·운영 비용이 크게 늘어나므로, 데이터 민감도가 그 비용을 정당화하는지 먼저 따져야 합니다.

도입 전 점검

조직 준비도부터 확인하세요

AX 준비도 진단은 기술 축과 조직 축을 함께 점수화합니다. 보안 검토 체계가 없는 상태가 어느 축의 문제인지 드러납니다.

준비도 진단하기