서핑베어
홈 › 블로그 › 사내 AI 활용 규정
사내 AI 활용 규정 만들기 — 항목별 작성 가이드
사내 AI 규정이 지켜지지 않는 이유는 대개 규정이 없어서가 아니라, "무엇을 넣어도 되는지"가 규정에 없어서입니다. 판단이 개인에게 넘어가면 규정은 문서로만 남습니다.
4개 필수 항목 데이터 등급표 섀도 AI 대응
결론부터
규정 문서에서 가장 자주 빠지는 것은 데이터 등급 정의입니다. "민감한 정보를 입력하지 마십시오"라는 문장은 규정이 아니라 바람입니다. 무엇이 민감한지 등급으로 적어야 실무자가 판단할 수 있습니다.
두 번째로 자주 빠지는 것은 위반 시 절차입니다. 처벌이 아니라 신고 경로입니다. 실수로 고객 데이터를 붙여 넣은 직원이 조용히 넘어가는 것과 즉시 신고하는 것의 차이는, 신고했을 때 어떻게 되는지 규정에 적혀 있는지에 달립니다.
항목 1 — 데이터 등급 (이것부터 쓴다)
| 등급 | 예시 | AI 도구 입력 |
|---|---|---|
| 공개 | 보도자료, 공개된 제품 정보, 사업자등록번호 | 모든 승인 도구에 허용 |
| 사내 | 내부 절차 문서, 회의록, 비공개 일정 | 승인된 업무용 계정에서만 |
| 기밀 | 계약 조건, 가격 정책, 미공개 전략 | 데이터 학습 사용이 차단된 도구에서만, 부서장 승인 |
| 개인정보 | 이름·연락처·주민번호·건강 정보 | 원칙 금지. 필요 시 식별 정보 제거 후, 위탁 계약 확인 |
| 규제 대상 | 금융·의료 등 별도 규제가 걸린 데이터 | 금지. 법무·컴플라이언스 검토 없이는 예외 없음 |
항목 2 — 승인 도구 목록
항목 3 — 금지 행위 (짧게, 구체적으로)
항목 4 — 위반 시 절차 (처벌보다 신고 경로)
규정의 목적은 사고를 없애는 것이 아니라 사고를 빨리 알게 하는 것입니다. 그래서 신고 경로를 먼저 적습니다 — 누구에게, 어떤 양식으로, 얼마 안에.
그다음이 초동 조치입니다. 입력한 내용을 삭제 요청할 수 있는지, 해당 대화·세션을 보존해야 하는지(원인 파악용), 영향 범위를 누가 판단하는지. 이 세 가지가 없으면 신고를 받아도 할 일이 없습니다.
처벌 조항은 마지막이고, 고의와 실수를 구분해 적는 편이 좋습니다. 실수를 고의와 같이 다루는 규정은 신고율을 떨어뜨리고, 신고되지 않은 사고가 가장 비쌉니다.
규정을 실제로 작동시키는 두 가지
첫째, 규정을 배포하기 전에 현재 사용 실태를 파악하세요. 결제 내역과 SSO 로그로 대부분 확인됩니다. 실태와 어긋난 규정은 배포 첫날부터 무시됩니다.
둘째, 등급표를 실제 업무 예시로 채우세요. "기밀"이라는 단어보다 "우리 회사의 단가표"라는 예시가 판단을 만듭니다. 부서별로 예시를 한두 개씩 받아 넣으면 규정이 읽히기 시작합니다.
자주 묻는 질문
규정을 몇 장으로 만드는 것이 좋습니까?
분량보다 구조가 중요합니다. 실무자가 판단할 때 보는 것은 등급표와 승인 도구 목록 두 장입니다. 나머지는 참조 문서로 두고, 이 두 장을 항상 최신으로 유지하는 편이 효과적입니다.
개인 계정 사용을 어떻게 막습니까?
완전히 막기는 어렵습니다. 그래서 회사 계정을 먼저 제공하는 편이 현실적입니다. 승인 도구가 불편하고 개인 계정이 편하면 규정보다 편의가 이깁니다. 금지 조항보다 대안 제공이 효과가 큽니다.
이미 사고가 있었습니다. 무엇부터 합니까?
입력된 데이터의 삭제 가능 여부와 보존 기간을 벤더에 확인하고, 영향 범위를 문서로 정리하세요. 개인정보가 포함됐다면 통지 의무 검토가 필요합니다. 그다음이 규정 정비입니다.
규정 위반을 어떻게 확인합니까?
감사 로그가 있는 도구만 확인 가능합니다. 그래서 승인 도구 선정 기준에 감사 로그 지원을 넣는 것이 규정의 실효성을 결정합니다.
조직 준비도
규정 이전에 현재 상태부터
AX 준비도 진단은 조직 축에서 담당자 지정, 규정, 예산 상태를 함께 점수화합니다. 규정이 없는 것이 문제인지, 다른 축이 문제인지 드러납니다.