홈

AI에 붙여 넣으면 안 되는 것: 작은 사업장의 직원 정보 규칙

출처 확인일: 2026년 11월 9일. AI 보조로 작성한 초안이며 편집 검토 전이에요.

금요일 오후 4시, 월요일까지 급여 인상 안내문 15통을 보내야 해요. 작은 조경 회사의 사무 관리자 Marcus는 급여 시트를 열어 두었어요. 이름, 사회보장번호(Social Security number), 시급, 평가 메모 칸이 있어요. 옆 탭에는 AI 채팅 창이 열려 있어요. 시트를 통째로 붙여 넣고 "사람마다 인상 안내문을 써 줘"라고 치면 5시 전에 끝날 거예요.

Marcus와 그 회사는 가상이에요. 하지만 지금 Marcus 앞에 놓인 결정이 이 글의 주제이고, 아래의 수치와 사례는 실제이며 출처는 글 끝에 있어요. 이 글을 위해 시험한 AI 제품이나 요금제는 없어요.

Marcus가 시트를 붙여 넣는 순간, 그날이 얼마나 나빠질지는 세 가지 질문에 달려 있는데 Marcus는 그중 하나도 답할 수 없어요. 붙여 넣은 내용이 업체 모델 학습에 쓰이나요? 얼마나 오래 보관되고, 지울 수 있나요? 업체에서 누가 볼 수 있나요? 답은 도구마다, 요금제마다 달라요. 지금 열려 있는 무료 소비자용과 회사가 사지 않은 기업용의 조건이 같지 않을 수도 있어요.

이런 습관에는 이름이 있어요. 섀도 AI(shadow AI), 곧 아무도 승인하지 않은 AI 도구를 직원이 쓰는 일이에요. IBM의 2025년 데이터 침해 비용 보고서는 600개 조직에서 이를 측정했어요. 섀도 AI 수준이 높으면 전 세계 평균 침해 비용이 약 $670,000 늘었어요. 같은 연구에서 63%의 조직은 AI를 관리하거나 섀도 AI를 막을 AI 거버넌스 정책이 없었고, AI 관련 보안 사고를 겪은 침해 조직의 97%는 적절한 AI 접근 통제가 없었어요.

조사 대상은 큰 조직이고, 이 금액이 직원 15명 회사의 예상 비용은 아니에요. 작은 사업장에 의미 있는 부분은 규칙이 없었다는 점이에요. 조사한 조직 대부분에 규칙이 없었고, 그래서 직원 한 사람 한 사람이 금요일 오후에 혼자서 Marcus와 같은 결정을 내렸어요.

은행 정보가 없어도 파일 하나로 피해가 생겨요. 2023년 8월 북아일랜드 경찰청(Police Service of Northern Ireland, PSNI)은 정보공개 청구에 답하면서 스프레드시트를 공개했어요. 그 파일의 숨겨진 탭에 경찰관과 직원 9,483명 전원의 성, 이니셜, 계급, 역할이 들어 있었고, 파일은 약 2시간 20분 동안 온라인에 있었어요.

2024년 10월 영국 정보위원회(Information Commissioner's Office)는 PSNI에 £750,000의 과징금을 부과했어요. 위원장이 공공 부문 기준을 적용하지 않았다면 과징금이 £560만이었을 것이라고 밝혔어요. 계좌 정보는 노출되지 않았어요. 안에 무엇이 들었는지 확인하지 않고 공유한 평범한 인사 스프레드시트 하나로 충분했어요.

Marcus의 시트에는 같은 문제가 눈에 보이는 곳에 있어요. 인상 안내문에 필요한 것은 한 사람당 세 가지 사실이에요. 파일에는 그보다 훨씬 많은 내용이 들어 있고, 붙여 넣으면 전부 함께 나가요.

미국 수치는 어느 지역을 통틀어도 역대 최고였고, IBM의 2026년판은 전 세계 평균을 $499만으로 제시해요. 약 12% 더 오른 역대 최고치예요. IBM의 평균은 특정한 작은 사업장의 예상 비용이 아니고 실제 비용은 크게 달라져요. 다만 비용 항목은 규모와 상관없이 같아요. 조사, 통지, 영업 손실, 법률 비용이에요.

가장 빠른 해결책은 어떤 종류의 데이터를 범용 AI 채팅에 넣어도 되는지 미리 한 번 정해 두는 거예요. 아래 표를 출발점으로 쓰세요.

Marcus의 시트를 칸마다 이 표에 대 보면 남는 것이 거의 없어요.

안내문에 필요한 것은 데이터가 아니에요. 좋은 양식이 필요하고, 양식을 쓰는 일이 바로 AI 도구가 잘하는 부분이에요.

붙여 넣는 것보다 조금 더 걸리지만, 직원에 관한 내용은 하나도 AI 채팅에 들어가지 않았어요.

회사가 양식 작성 이상으로 AI 도구를 쓰려 한다면 업체에 아래 질문을 하세요. 앞의 세 개가 Marcus가 답하지 못한 질문이에요.

답을 적어 두고, 업체가 답하기 전에는 도구를 승인하지 마세요.

새로운 틀이 필요한 일이 아니에요. 미국 연방거래위원회(Federal Trade Commission, FTC)의 개인정보 보호 안내서는 다섯 가지 원칙을 제시하고, 이 원칙은 서류 캐비닛뿐 아니라 AI 채팅에도 맞아요.

Marcus의 시트는 AI가 끼어들기도 전에 두 번째 원칙에서 걸려요. 아무도 나눠 두지 않아서 사회보장번호와 평가 메모가 시급과 같은 파일에 들어 있어요.

작은 회사가 금요일 오후의 붙여 넣기를 막는 데 긴 정책은 필요하지 않아요. 모두가 읽은 짧은 규칙표가 필요해요.

다섯 번째 줄이 있어야 실수를 수습할 수 있어요. 아무도 알리지 않은 붙여 넣기는 수습할 수 없어요. FTC의 '미리 계획하기' 원칙이 필요한 곳이 여기예요. 누구에게 알리고 그다음 무엇을 할지 지금 정해 두면, 일이 터진 날에 누군가 혼자 방법을 찾지 않아도 돼요.

안내문 초안은 한 가지 용도예요. 사람을 선별하거나 순위나 점수를 매기는 것은 다른 용도이고, 여러 지역이 여기에 통지와 공정성 규칙을 더해요. 예를 들어 일리노이는 채용, 승진, 징계 같은 해당 인사 결정에 AI를 쓰면 직원에게 알리도록 요구해요. 뉴욕시는 대상 도구에 편향 감사를 요구하고, 채용이나 승진에 쓰기 최소 10영업일 전에 뉴욕시 거주 지원자에게 알리도록 요구해요. 이 규칙은 채용에 쓰는 AI에서 다뤄요. 요구되지 않는 곳에서도 무엇을 왜 쓰는지 직원에게 알리는 것은 좋은 습관이에요.

다음 글이 올라오면 받아 보고 싶으신가요? 소식 받기에 등록하세요.