AI 도입 시 법무·보안이 먼저 확인해야 할 체크포인트

"일단 써보고 문제 생기면 그때 정리하자"는 접근이 AI 도구에서는 특히 위험합니다. 한 번 외부 서비스에 입력된 데이터는 되돌릴 수 없고, 계약 조건을 나중에 바꾸기도 어렵기 때문입니다. 법무·보안 검토를 도입 이후로 미루는 조직이 실제로 어떤 대가를 치르는지부터 살펴봅니다.

법무·보안 검토를 나중으로 미루면 실제로 무슨 일이 생기나요?

Cisco가 2025년 12개국의 개인정보·보안 전문가 2,600명을 대상으로 진행해 같은 해 4월 발표한 「2025 Data Privacy Benchmark Study」에 따르면, 응답 기업의 46%가 생성형 AI를 통한 내부 데이터 유출(직원 이름이나 정보가 GenAI 애플리케이션에 입력되는 경우 등)을 겪었다고 답했습니다. 64%는 민감정보가 실수로 외부에 공개되거나 경쟁사에 노출될 것을 우려하면서도, 절반에 가까운 응답자가 직원 개인정보나 비공개 정보를 GenAI 도구에 입력한 적이 있다고 답했습니다. (출처: Cisco, "2025 Data Privacy Benchmark Study", 2025-04 발표 / 2026-08-06 확인) IBM이 2025년 발표한 「Cost of a Data Breach Report 2025」는 그 결과가 비용으로 어떻게 이어지는지를 보여줍니다 — 침해를 겪은 조직의 20%가 회사 승인 없이 쓰인 생성형 AI(이른바 shadow AI)를 통해 침해당했고, 이런 침해의 평균 비용은 463만 달러로 일반 침해(396만 달러)보다 67만 달러 더 높았습니다. 같은 보고서에서 AI 관련 침해를 겪은 조직의 97%가 적절한 접근 통제가 없었고, 63%는 AI 거버넌스 정책 자체가 없었으며, 승인·감독 절차를 갖춘 조직은 37%뿐이었습니다. (출처: IBM, "Cost of a Data Breach Report 2025", 2025 발표 / 2026-08-06 확인) 이 수치들이 공통으로 가리키는 지점은 하나입니다 — 문제는 AI 자체가 아니라, 누가 무엇을 어디에 입력하는지에 대한 통제가 도입 시점부터 없었다는 것입니다.

개인정보 관점에서는 무엇을 먼저 확인해야 하나요?

개인정보보호위원회가 2025년 8월 발표한 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」는 AI를 만드는 쪽(모델개발자)과 그 AI를 업무에 쓰는 쪽(모델이용자)의 역할을 구분하고, AI 수명주기를 ① 목적 설정 ② 전략 수립 ③ AI 학습 및 개발 ④ 시스템 적용 및 관리 4단계로 나눠 각 단계에서 고려할 개인정보 보호 기준과 안전조치를 제시합니다. (출처: 개인정보보호위원회, 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」, 2025-08 발표 / 2026-08-06 확인) 대부분의 일반 기업은 이 중 '모델이용자'에 해당합니다 — 즉 AI를 직접 만들지 않고 외부 서비스를 업무에 쓰는 경우입니다. 이 안내서 기준으로 도입 전에 확인할 것은, 그 업무에 실제로 개인정보가 필요한지(목적 설정), 필요하다면 최소한의 범위로 줄일 수 있는지(전략 수립), 그리고 외부 서비스에 입력하는 순간 그 데이터가 어떻게 처리·보관되는지(시스템 적용 및 관리)입니다. 이 확인 없이 고객 문의 내용이나 직원 인사정보를 그대로 외부 AI 서비스에 붙여넣는 것이 앞서 본 Cisco 조사의 '내부 데이터 유출' 사례와 정확히 맞아떨어지는 행위입니다.

저작권 관점에서는 무엇을 확인해야 하나요?

한국저작권위원회는 2025년 6월 「생성형 인공지능 활용 저작물의 저작권 등록 안내서」를 발간해 AI가 그대로 만든 산출물과, 사람이 수정·증감·편집· 배열 등으로 창작성을 더한 'AI 활용 저작물'을 구분하는 기준을 제시했습니다. (출처: 한국저작권위원회, 「생성형 인공지능 활용 저작물의 저작권 등록 안내서」, 2025-06 발표 / 2026-08-06 확인) 현행 저작권법상 AI 산출물 자체의 저작물성은 원칙적으로 인정되지 않으며, 사람이 창작적으로 기여한 부분에 대해서만 저작물성이 인정될 수 있습니다. 실무적으로는 AI로 초안을 만든 보고서·제안서·마케팅 문구를 대외 배포하거나 계약 성과물로 제출하기 전에, 어느 부분이 사람의 창작적 기여인지를 구분해둘 필요가 있다는 뜻입니다. 한편 문화체육관광부와 한국저작권위원회가 2026년 2월 발표한 「생성형 인공지능의 저작물 학습에 대한 저작권법상 '공정이용' 안내서」는 AI 개발사가 학습 데이터를 수집·활용하는 과정이 공정이용에 해당하는지를 판단하는 4가지 핵심 요소를 제시합니다 — 사내에서 AI 모델을 직접 학습(파인튜닝)시킬 계획이 있다면 이 기준도 함께 확인해야 합니다. (출처: 문화체육관광부·한국저작권위원회, 「생성형 인공지능의 저작물 학습에 대한 저작권법상 '공정이용' 안내서」, 2026-02-26 발표 / 2026-08-06 확인)

벤더 계약에서는 어떤 조항을 눈여겨봐야 하나요?

가이드라인이 다루지 않는 부분은 AI 서비스 이용약관·계약서에 담겨 있습니다. 도입 전에 확인할 항목은 다음과 같습니다.

• 데이터 재학습·재사용 조항 — 입력한 데이터가 그 벤더의 다른 모델 학습에 다시 쓰이는지, 옵트아웃이 가능한지를 계약서·약관에서 확인합니다.
• 영업비밀·기밀유지 조항과의 충돌 여부 — 기존에 체결한 고객사·파트너사와의 NDA가 "제3자 AI 서비스에 정보를 입력하지 않는다"는 조건을 포함하는지 먼저 확인합니다.
• 산출물 이용권 범위 — 상업적 이용, 재판매, 제3자 제공이 계약상 허용되는 범위인지 확인합니다. 앞서 본 저작권 등록 안내서의 구분과 별개로, 계약상 이용권 자체가 제한되어 있을 수 있습니다.
• 승인 도구 목록(allowlist) — 위 조건을 통과한 도구만 목록으로 관리하고, 목록에 없는 도구에 회사 데이터를 입력하지 않는다는 원칙을 문서로 공지합니다. IBM 보고서에서 AI 관련 침해 기업의 63%가 이런 거버넌스 정책 자체가 없었다는 점을 참고할 만합니다.

자주 묻는 질문