다음 질문 중 하나라도 답하지 못한다면, 원문을 일반 공개형 AI에 넣지 않는 쪽이 안전합니다.
프롬프트에 비밀로 해줘라고 적는 것은 보안 통제가 아닙니다. 실제로 확인해야 할 것은 자료가 어떻게 저장되는지, 누가 접근할 수 있는지, 재이용을 거부할 수 있는지, 사고가 나면 누가 처리하는지, 그리고 소속 조직이 그 사용을 허용했는지입니다.
아래 기준은 데이터 보호, 보관, 위험 기반 통제 원칙을 일상 업무에 맞게 풀어쓴 것입니다. 법률 자문은 아니며, 최종 판단은 소속 조직의 보안, 법무, 개인정보, 기록물 관리 규정을 따라야 합니다.
이름을 삭제해도 주민등록번호 같은 식별번호, 전화번호, 이메일, 주소, 계정명, 사건번호, 드문 직책, 특정 날짜와 장소의 조합이 남아 있으면 개인이나 사건을 다시 특정할 수 있습니다. EDPB 문서의 핵심 관심사 중 하나가 LLM 시스템의 개인정보 위험과 완화이므로, 업로드 전에는 직접 식별정보뿐 아니라 되짚어 추정할 수 있는 세부정보와 불필요한 필드까지 함께 줄여야 합니다.
더 안전한 방식은 실제 이름과 회사명을 대체명으로 바꾸고, 필요한 일부 문장만 제공하고, 원문을 추상적인 상황 설명으로 바꾸고, 명단·기록·표는 먼저 집계하는 것입니다. 원문 처리가 꼭 필요하다면 조직이 승인한 도구와 절차를 거치는 편이 맞습니다.
공공부문에서 생성형 AI를 쓸 수 있느냐는 전면 금지 또는 전면 허용의 문제가 아닙니다. JRC의 생성형 AI 전망 보고서는 공공부문 활용을 별도 주제로 다루며, 유럽의회 부속자료의 사례 요약도 독일 Bundestag의 공식 자료를 사용하면서 개인 또는 민감 정보를 피하는 방식을 언급합니다.
상대적으로 검토 가능한 것은 이미 공개돼 있고 민감도가 낮으며 적법하게 사용할 수 있는 공식 자료입니다. 반대로 미공개 공문, 내부 결재·검토 문서, 정책 초안, 조사 자료, 집행 자료, 조달 평가 자료, 개인정보나 민감정보가 포함된 문서는 훨씬 보수적으로 다뤄야 합니다. 공개 자료도 사용 조건을 확인해야 하며, 후자의 자료는 일반 공개형 AI에 원문 그대로 넣지 않는 것이 안전합니다.
자료가 새어 나갔을 때 개인, 조직, 공익, 법규 준수 상태에 피해가 생긴다면 원문을 일반 공개형 AI에 맡기지 마세요. 먼저 가리고, 요약하고, 최소화하세요. 그래도 원문 처리가 꼭 필요하다면 승인된 절차와 통제된 도구를 쓰고, 데이터 보호, 데이터 보관, 접근권한, 모니터링, 사고 대응 체계가 있는지 확인해야 합니다.
Comments
0 comments