1. 업무용으로는 반드시 엔터프라이즈 등급 AI 도구만 사용하세요. 개인/무료 계정으로 업무를 처리하는 것을 금지하세요. Microsoft Copilot, Google Gemini for Workspace, ChatGPT Enterprise 같은 엔터프라이즈 버전은 SOC 2, ISO 27001, HIPAA BAA 등 규정 준수 인증을 갖추고 있으며, 사용자가 데이터 보존 정책을 통제할 수 있습니다 .
2. 모델 학습 옵션을 비활성화하세요. 대부분의 엔터프라이즈 AI 플랫폼에는 사용자 데이터가 모델 학습에 사용되는 것을 막는 설정이 있습니다. 조직에서 도구를 사용하기 전에 이 옵션을 먼저 꺼두세요 .
3. 전송 중인 데이터와 저장된 데이터를 모두 암호화하세요. 초기 교환에는 비대칭 암호화, 데이터 전송에는 AES 대칭 암호화를 사용하세요. 강력한 키 관리와 접근 통제도 함께 구현해야 합니다 . 최신 가이드는 양자 컴퓨팅 이후(post-quantum) 시대를 대비한 암호화 준비도 권장합니다
.
4. 실시간 모니터링 및 필터링 시스템을 구축하세요. AI 대화를 실시간으로 스캔하는 시스템은 개인 식별 정보(PII)를 탐지하고, 허가되지 않은 데이터 전송을 차단하며, 사고 발생 전에 보안팀에 경고를 보낼 수 있습니다 . 데이터 손실 방지(DLP) 도구는 이메일과 파일 공유뿐만 아니라 AI 채팅 인터페이스까지 확장되어야 합니다.
개인정보를 처리하는 모든 AI 시스템에 대해 프라이버시 영향 평가(PIA) 또는 데이터 보호 영향 평가(DPIA)를 실시하세요. 이 평가에서는 시스템이 처리하는 개인 데이터의 종류, 처리의 법적 근거, 개인 권리에 대한 위험, 그리고 중대한 결정(consequential decisions)에 영향을 미치는 '고위험' 시스템에 대한 완화 조치를 식별해야 합니다 .
데이터 흐름을 매핑하세요. "데이터가 어디에 있는지 모르면 보호할 수 없습니다"라고 TrustArc 로드맵은 경고합니다 . 민감 데이터가 어디에 있는지, 조직 내에서 어떻게 이동하는지, 그리고 어떤 AI 시스템이 접근할 수 있는지 감사하세요.
'프라이버시 바이 디자인(Privacy by Design)'을 채택하세요. AI 시스템을 배포한 후에 프라이버시 통제를 덧붙이는 것이 아니라, 설계 단계부터 내장하세요 . 이는 기본 설정을 가장 프라이버시를 잘 보호하는 방향으로 하고, 데이터 수집을 제한하며, 사용자에게 투명성을 보장하는 것을 의미합니다.
새로운 도구를 도입하기 전에 서면 AI 사용 정책을 마련하세요. 모든 직원이 이해할 수 있을 만큼 간단해야 합니다. 예: "승인되지 않은 AI 도구에는 고객, 급여, 건강 데이터 입력 금지" . 승인된 도구 목록, 새 도구 요청 절차, 정책 위반 시 제재 조치도 포함해야 합니다
.
2025~2026년 여러 출처의 의견은 명확합니다: 가장 큰 위험은 '인식 부족'입니다. 조직은 자신의 데이터가 어디에 있는지, 직원들이 실제로 어떤 AI 도구를 사용하는지, 그리고 그 도구들이 프롬프트를 보관하는지조차 모르는 경우가 많습니다. 권장되는 출발점은 현재 AI 사용 현황에 대한 철저한 감사(audit)입니다. 그 다음은 서면 정책, 승인된 도구 목록, 정기적인 교육이 뒤따라야 합니다 .
해결책은 특별하지 않습니다. 기본적인 데이터 위생으로 돌아가는 것입니다. 즉, 보유한 데이터를 파악하고, 공유하는 데이터를 최소화하며, 프라이버시 통제가 활성화된 엔터프라이즈 도구를 사용하고, 데이터를 안전하게 지키는 간단한 규칙을 모든 사람에게 교육하는 것입니다. 그 규칙은 바로 이것입니다: '공개적으로 게시하지 않을 내용이라면 AI 채팅창에 붙여넣지 마세요.'