Gemini가 회사 데이터를 실시간으로 찾는 시대, 기업 관리자가 알아야 할 것

구글은 기능을 최대한 활용하려면 사용 가능한 모든 데이터 소스를 켜 둘 것을 권장한다. 그러나 이는 제품 성능을 위한 권고일 뿐, 조직 자체의 데이터 거버넌스 판단을 대신하지는 않는다.

기업 데이터에 대한 구글의 설명

구글은 기업 고객이 주로 우려하는 데이터 사용 범위에 대해 다음과 같은 입장을 제시한다.

• 허가 없이 Workspace 콘텐츠, 프롬프트, 응답을 생성형 AI 모델 학습에 사용하지 않는다.
• 해당 데이터를 광고에 사용하지 않는다.
• 프롬프트와 생성된 응답을 고객 도메인 밖의 다른 사용자나 조직과 공유하지 않는다고 설명한다.
• 문서와 이메일 메시지로 별도의 AI 전용 데이터베이스를 만들지 않는다고 밝힌 것으로 보도됐다.

이러한 약속은 기업 콘텐츠가 범용 AI 모델 학습 데이터로 전환되는 것과 검색 단계에서 활용되는 것을 구분하는 중요한 기준이다. 그렇다고 기업의 거버넌스 의무가 사라지는 것은 아니다. Gemini는 사용자가 각각 열람할 수 있는 여러 이메일, 채팅, 일정, 문서를 한데 모아 짧고 쉽게 전달할 수 있는 답변으로 만들 수 있기 때문이다.

기존 권한이 있어도 왜 규제 리스크가 생길까

핵심 질문은 “사용자가 이 콘텐츠를 열어볼 수 있는가?”에서 끝나지 않는다. “AI 비서가 이 콘텐츠를 이런 목적에 맞춰 결합하고 요약해도 되는가?”까지 확인해야 한다.

예를 들어 사용자가 서로 다른 이메일, 채팅, 캘린더 일정, 문서를 각각 볼 권한을 이미 갖고 있을 수 있다. Workspace Intelligence는 이 조각들을 함께 발견하고 요약하는 과정을 훨씬 쉽게 만든다. 생산성은 높아질 수 있지만, 그만큼 부주의한 공개, 부적절한 재사용, 과도한 내부 정보 탐색이 발생할 가능성도 커진다.

개인정보, 건강정보, 직원 정보, 법률 자료, 고객 정보, 금융 정보를 다루는 조직이라면 다음 항목을 검토하면서 데이터 소스를 제한할 수 있다.

• 목적 제한과 최소 수집: 정해진 업무 목적에 광범위한 기본 검색이 정말 필요한지 확인해야 한다.
• 기밀성과 최소 권한: 모든 원문에 대한 접근 권한이 있더라도, AI가 여러 자료를 합쳐 사용자가 평소 수작업으로는 만들지 않았을 수준의 전체 맥락을 보여줄 수 있는지 점검해야 한다.
• 정확성과 사람의 검토: Gemini의 결과가 의사결정, 공식 기록, 자문, 규제 대상 커뮤니케이션 등 중대한 업무에 사용되기 전에 검증이 필요한지 정해야 한다.
• 보존과 검색 대응: 프롬프트, 응답, 대화 기록이 어떻게 기록·보존·감시되고 기록관리 또는 전자증거개시(e-discovery) 정책에 따라 처리되는지 확인해야 한다. Gemini 앱의 대화 기록을 켠 경우 구글이 문서화한 보존 기간 선택지는 3개월, 18개월, 36개월이다.
• 정보 분리: 인사, 법무, 보안, 임상 운영, 인수·합병(M&A), 트레이딩 조직은 전사 사용자보다 더 엄격한 데이터 소스 경계가 필요할 수 있다.
• 계약 및 국경 간 처리: 조직의 데이터 처리 조건, 국외 이전 체계, 업종별 요구사항이 계획한 사용을 뒷받침하는지 검토해야 한다.

GDPR, HIPAA 또는 금융업 규정의 적용을 받는 조직이라면 개인정보보호, 법무, 보안, 기록관리 담당자가 함께 이 문제를 평가해야 한다. 학습·광고 사용 제한과 기존 권한 준수에 관한 구글의 설명은 중요한 안전장치지만, 각 조직의 처리 목적, 감독, 보존, 위험관리 요건을 자동으로 충족한다는 의미는 아니다.

관리자가 Workspace Intelligence 데이터 소스를 제한하는 방법

구글은 Workspace Intelligence가 적극적으로 검색할 데이터 소스를 Admin 콘솔에서 선택할 수 있도록 했다. 문서화된 설정은 조직 전체, 조직 단위(OU), 구성 그룹에 적용할 수 있다.

실무적인 설정 절차는 다음과 같다.

1. Google Admin 콘솔에서 생성형 AI > Workspace용 Gemini > Workspace Intelligence로 이동한다.
2. 정책을 적용할 조직 전체, 조직 단위 또는 구성 그룹을 선택한다. 조직 단위는 부서별 정책에, 그룹은 여러 부서에 걸친 사용자 정책에 활용할 수 있다.
3. Gmail, Drive, Calendar, Chat 등 적극적으로 검색하지 않게 할 데이터 소스를 개별적으로 끈다.
4. 대표 사용자와 민감정보가 포함된 시나리오로 설정을 테스트한다.
5. 승인된 설정, 예외 절차, 모니터링 방식, 재검토 일정을 문서화한다.

현재 공개된 문서는 이 Workspace Intelligence 설정을 조직, 조직 단위, 그룹 수준에서 관리하는 방법을 설명한다. 이 특정 설정에 대해 개인 최종 사용자가 직접 켜고 끄는 별도 스위치는 문서화돼 있지 않다. 따라서 특정 팀에만 특정 데이터 소스를 허용하려면 정책 설계와 그룹 구성 관리가 특히 중요하다.

소스를 꺼도 완전히 차단되는 것은 아니다

데이터 소스를 끈다고 해서 Gemini에서 해당 소스가 완전히 사라지는 것은 아니다. 비활성화된 소스를 생성형 AI 기능이 자동으로 검색하지 못하게 할 뿐, 사용자가 특정 항목을 직접 컨텍스트로 추가하는 것까지 막지는 않는다.

예를 들어 Drive를 Workspace Intelligence 소스로 비활성화해도 사용자는 특정 Drive 파일을 직접 제공하고 Gemini에 그 파일에 대해 질문할 수 있다. Gemini는 해당 파일은 참고하지만, 답변을 위해 다른 Drive 콘텐츠를 자동으로 검색하지는 않는다.

따라서 내부 정책에는 ‘자동 검색 제한’과 ‘사용자가 특정 문서를 직접 제출하는 행위의 차단’을 구분해 명시해야 한다. 전자를 설정하는 것만으로 후자까지 금지되는 것은 아니다.

기업에 적합한 도입 방식은 ‘전면 허용’만이 아니다

많은 기업에서 현실적인 선택지는 ‘모든 기능을 켜거나 Gemini를 완전히 끄는 것’ 중 하나가 아니다. 단계적 도입을 통해 생산성 기능은 활용하면서 새로운 검색·요약 방식이 조직의 정보 흐름에 미치는 영향을 검증할 수 있다.

먼저 위험도가 낮은 데이터 소스나 사용자 그룹부터 시작하고, 기존 권한과 관리자 범위 설정이 의도대로 작동하는지 확인해야 한다. 기밀정보나 규제 대상 정보가 포함된 프롬프트도 시험하고, 사용량 모니터링과 대화 데이터 보존 방식도 점검할 필요가 있다. 이후 개인정보보호, 보안, 법무, 기록관리 담당자가 통제 수준에 동의한 경우에만 범위를 넓히는 방식이 방어 가능한 접근이다.

Workspace Intelligence는 필요한 맥락을 찾고 입력하는 번거로움을 줄여 Gemini를 더 유용하게 만든다. 동시에 조직의 정보 발견 방식 자체를 바꾼다. 관리자가 내려야 할 핵심 결정은 Gemini가 Workspace 데이터에 접근할 수 있는지가 아니다. 어떤 소스를, 어떤 사용자에게, 어떤 거버넌스 조건에서 적극적으로 검색하게 할 것인지다.