“이거 올려도 되나요?” — 제 대답은 대부분 “안 됩니다”

직원들이 가끔 자료를 들고 옵니다.

“이거 AI에 올려도 되나요?”

제 대답은 거의 항상 같습니다.

“안 됩니다.”

왜 대부분 안 된다고 하는가

인색해 보이지만 이유가 있습니다.

애초에 가능한 자료면 저한테 묻지 않습니다.

들고 오는 자료는 이미 본인도 애매하다고 느낀 것들입니다. 그리고 경험적으로, 애매한 자료에는 거의 위험한 게 들어 있습니다.

기업이 낸 사업계획서, 심사 자료, 인사 관련 서류 혹은 관련 부속서류들. “이 정도는 괜찮지 않을까” 싶은 마음에 묻는 건데, 그 마음이 든 시점에 이미 답은 나와 있는 겁니다.

그래서 저는 애매하면 하지 말라고 합니다. 관리자니까요. 그리고 감사를 늘 생각해야 하니까요.

왜 이렇게 보수적인가

공공기관이 다루는 자료의 성격 때문입니다.

기업이 낸 사업계획서는 남의 아이디어입니다. 몇 달을 들여 쓴 것이고, 아직 세상에 공개되지 않은 것입니다. 그걸 우리가 심사하려고 받아둔 것뿐이지, 우리 것이 아닙니다.

개인정보도 마찬가지입니다. 맡아둔 것이지 우리 것이 아닙니다.

우리가 AI에 자료를 올리는 것도 결국 같은 종류의 판단입니다. “어디까지 나가도 괜찮은가”를 매번 결정하는 일이니까요.

그래서 기준을 문서로 만들었습니다

[로컬 AI를 들여놓으면서] 직원들에게 서약서를 받았습니다. 특별한 내용은 없습니다. 대략 이런 것들입니다.

• 외부 AI 서비스는 업무 목적 범위 내에서만 사용한다
• 개인정보, 기업 식별정보, 사업계획서, IR 자료, 평가자료, 심사위원 의견, 인사·회계·계약자료, 공개 전 내부자료는 외부 AI에 입력하지 않는다
• 이런 자료를 다뤄야 하면 내부 서버의 AI를 쓴다
• AI 결과물은 그대로 쓰지 않고 사실관계와 적절성을 직접 확인한 뒤 활용한다
• 계정과 비밀번호를 타인과 공유하지 않는다
• 유출이 발생했거나 우려가 있으면 즉시 신고한다
• 퇴직 후에도 업무상 알게 된 정보를 무단으로 사용하지 않는다

거창해 보이지만, 요지는 하나입니다.

나가면 안 되는 건 안에서 처리한다.

서약서만 받은 건 아닙니다. 올해 AI 보안 교육을 두 번 했고, 한 번 더 할 계획입니다.

진짜 어려운 건 여기서부터입니다

“그럼 이름이랑 회사명만 지우고 올리면 되지 않나요?”

맞는 말입니다. 그런데 해보면 압니다.

엑셀은 그나마 낫습니다. 열이 나뉘어 있으니 지울 수 있습니다. 문제는 대량의 한글 문서와 PDF입니다.

수십 쪽짜리 사업계획서에서 회사명, 대표자 이름, 주소, 사업자번호, 본문 중간중간 섞여 있는 식별 정보를 하나하나 찾아 지우는 일. 사실상 불가능합니다. 그럴 시간이면 그냥 제가 읽고 맙니다.

그래서 이런 생각이 듭니다. “지우는 것도 AI에게 시키면 되잖아?”

여기서 이 문제의 핵심에 부딪힙니다.

지우려면, 먼저 보내야 합니다.

익명화를 외부 AI에게 맡기는 순간, 지우려던 그 정보가 이미 밖으로 나갑니다. 보안을 위한 작업이 보안을 깨는 겁니다.

이 순환은 프롬프트를 잘 쓴다고 풀리지 않습니다.

남은 숙제

방법이 하나 있긴 합니다. 익명화를 내부 AI에게 맡기는 것.

밖으로 안 나가니 순환이 끊깁니다. 지운 다음에 상용 AI에 넘기면 되고요.

아직 해보지는 않았습니다. 이 글을 쓰면서 우리 시스템에 물어봤더니, 엑셀과 한글 문서는 되는데 PDF는 이미지로 바꾼 뒤에야 처리가 된다고 하더군요.

그건 좀 아닌 것 같습니다. 다른 방법을 찾아봐야겠습니다. 되면 그 이야기도 쓰겠습니다.

정직하게 덧붙이면

이런 절차를 실제로 지키는 기관이 많지는 않을 겁니다.

그리고 솔직히, 직원이 개인 계정으로 상용 AI를 쓰면 막을 방법이 없습니다. 휴대폰으로 사진 찍어서 올리면 그만이니까요. 서약서를 받아도 지켜지는지는 알 수 없습니다.

그럼 이게 무슨 소용인가.

세 가지는 됩니다.

하나는 감사에 답할 수 있다는 것입니다. “기준이 있었고, 대안을 제공했고, 고지했습니다”라고 말할 수 있는 것과 아무것도 없는 것은 다릅니다.

둘은 직원이 매번 판단하지 않아도 된다는 것입니다. 애매할 때 혼자 고민하다 올려버리는 게 제일 위험합니다. “애매하면 물어보세요”가 규칙이 되면, 판단은 제 몫이 됩니다.

그리고 셋. 잊지 않게 하는 것입니다.

사실 이게 제일 중요합니다. 서약서 한 장으로 사람이 바뀌지는 않습니다. 교육 한 번으로도 안 바뀝니다.

다만 일 년에 몇 번씩 “이거 조심해야 합니다”라는 말을 듣는 것과 한 번도 안 듣는 것은 다릅니다.

바쁘면 다들 잊습니다. 저도 잊습니다. 그래서 반복해서 상기시키는 겁니다. 올해 두 번 했고, 한 번 더 하려는 이유가 그겁니다.

그래서 저는 오늘도 “안 됩니다”라고 답합니다. 인색해서가 아니라, 그게 제 일이라서요.