사내 생성형 AI 사용 규정에 들어가야 할 조항

사내 생성형 AI 사용 규정에는 입력 금지 정보, 승인이 필요한 사용, 결과물 확인과 출처 표기, 기록 보관, 위반 시 처리의 다섯 조항이 들어가야 합니다. 조항마다 직원이 그 자리에서 판단할 수 있게 해 주는 문구, 곧 예시 목록과 문의 창구와 기한이 함께 붙어야 규정이 실제로 읽힙니다.

경영진에게서 “AI 쓰는 규칙을 문서로 만들어 두라”는 지시가 내려오면, 대개 보안이나 IT 담당자에게 초안이 맡겨집니다. 인터넷에서 받은 서식을 열어 보면 한 줄이 눈에 띕니다. 「업무상 민감한 정보를 입력하지 않는다」.

이 문장을 읽은 영업 담당자는 다음 날 메신저로 묻습니다. 거래처에 보낼 견적 메일 문안을 다듬고 싶은데, 회사 이름만 지우면 넣어도 되느냐고요. 규정은 그 질문에 답하지 못합니다. 「민감한」의 범위를 정하는 일이 직원 한 사람의 판단으로 넘어가 있기 때문입니다.

사내 생성형 AI 사용 규정에는 어떤 조항이 들어가야 하나요?

다섯 조항이면 직원이 일하다 멈춰 서는 순간을 대부분 덮습니다. 아래 표의 가운데 열은 직원이 그 조항을 펼치는 순간 품고 있는 질문이고, 오른쪽 열은 초안에서 가장 자주 비는 자리입니다.

조항	직원이 이 조항에서 찾는 답	초안에서 비기 쉬운 자리
1. 입력 금지 정보	이 자료를 넣어도 되는가	일부 발췌·이름 지운 자료·파일 첨부의 취급
2. 승인이 필요한 사용	이 도구, 이 용도는 누구에게 묻는가	승인 창구와 회신 기한, 개인 계정과 확장 프로그램
3. 결과물 확인과 출처 표기	받은 답을 그대로 내보내도 되는가	확인하는 사람, 표기 대상의 범위
4. 기록 보관	무엇을 어디에 남기는가	개인 계정 사용분은 회사가 볼 수 없다는 점
5. 위반 시 처리	실수로 넣었다면 무엇부터 하는가	즉시 조치와 신고 경로, 자진 신고의 취급

공공 부문에는 이미 참고할 틀이 있습니다. 국가정보원은 국가보안기술연구소와 함께 2023년 6월 29일 「챗GPT 등 생성형 AI 활용 보안 가이드라인」을 배포했고, 필수 보안수칙으로 민감 정보 입력 금지, 생성물 재검증, 지적재산권·저작권 침해 여부 확인, 연계·확장프로그램의 안전성 확인, 로그인 계정 보안설정 강화를 들었습니다.

수칙 다섯 가운데 넷이 위 표의 1~3조에 그대로 대응하고, 계정 보안은 2조의 승인 대상 계정과 맞물립니다.

기업 규정이 공공 수칙보다 더 적어야 하는 것은 4조와 5조입니다. 수칙은 개인이 지킬 행동을 말하지만, 규정은 회사가 무엇을 남기고 사고 뒤에 어떻게 움직이는지까지 정해야 하니까요.

규정 문서와 거버넌스 프레임은 무엇이 다른가요?

프레임이 정한 결정을 직원이 지킬 문장으로 옮긴 것이 규정이고, 그 문장마다 받쳐 줄 시스템 설정이 따라와야 실제로 지켜집니다.

「승인된 계정으로만 사용한다」는 문장은 승인된 계정 목록과 발급 절차가 있어야 뜻을 갖고, 「기록을 보관한다」는 문장은 기록이 쌓이는 곳이 회사 관리 범위 안에 있어야 지켜질 수 있습니다. 설정 없이 문장만 있는 조항은 직원에게 불가능한 일을 요구하게 됩니다.

시스템 구조를 맡은 쪽에서 규정 초안과 설정을 맞춰 보면 두 자리가 먼저 걸립니다. 계정이 어디서 발급되고 퇴사 때 어디서 회수되는지, 그리고 대화 기록이 어느 서버에 쌓이는지입니다.

회사 통합 로그인에 묶인 계정이라면 발급과 회수를 한 관리 화면에서 처리하고, 사용 기록 조회는 도구가 관리 기능을 제공하는 범위에서 가능합니다. 도구를 온프레미스로 설치했다면 기록이 사내 서버에 남아 4조의 보관 기간을 회사가 직접 정할 수 있고, 외부 서비스라면 제공사의 보관 정책이 허락하는 범위 안에서만 그 조항을 지킬 수 있습니다.

프레임 쪽 결정, 곧 사용 정책·데이터 기준·책임·점검 주기를 어떻게 세울지는 사용 정책·데이터 기준·책임·점검 주기로 짠 최소 프레임에 정리되어 있습니다. 규정의 문장은 그 결정을 신입 사원이 혼자 읽고도 같은 결론에 도달하도록 옮겨야 합니다.

입력 금지 조항은 무엇을 적어야 직원이 멈추나요?

범주 이름 대신 직원이 매일 만지는 자료의 이름으로 적어야 멈춥니다. 「민감 정보」보다 「고객 명단, 견적서, 계약서, 급여 자료, 소스코드」가 판단을 대신해 줍니다.

아래 문안은 조항 구성을 보이기 위한 가상 예시입니다. 법률 검토를 거친 문안이 아니며, 회사 사정에 맞게 고쳐 쓰는 초안으로만 보십시오(이하 모든 예시 문안에 같은 전제가 붙습니다).

제1조(입력 금지 정보) ① 다음 자료는 회사가 승인하지 않은 생성형 AI 도구에 입력하거나 첨부하지 않는다. 1. 고객·임직원의 개인정보 2. 계약서·견적서·거래 조건 3. 공개 전 재무·인사 자료 4. 소스코드와 시스템 설정값 5. 거래처가 비밀 유지를 조건으로 제공한 자료
② 제1항의 자료에서 이름이나 번호 일부를 지운 것, 요약하거나 발췌한 것, 화면을 캡처한 것도 같은 자료로 본다.
③ 판단이 어려우면 입력 전에 정보보안 담당(내선 000)에게 묻는다. 담당은 영업일 1일 안에 답한다.

초안에서 가장 자주 빠지는 것은 ②항입니다. 이름만 지우면 괜찮다고 여기는 직원이 많은데, 거래 금액과 날짜와 품목이 남아 있으면 상대 회사를 짐작할 수 있는 경우가 흔합니다. 파일 첨부와 화면 캡처도 입력이라는 점을 적지 않으면, 타이핑만 금지된 것으로 읽힙니다.

5호가 작동하려면 직원이 그 자료를 알아볼 수 있어야 합니다. 거래처에서 받은 파일에는 비밀 표시가 없는 경우가 흔해, 비밀유지 조항이 있는 계약을 관리하는 부서가 해당 거래처 목록을 별표로 붙여 두면 직원이 파일 대신 거래처 이름으로 판단할 수 있습니다.

넣어도 되는 자료의 예를 두세 개 붙여 두는 것도 방법입니다. 이미 홈페이지에 게시된 제품 설명이나 배포가 끝난 보도자료처럼 누구나 볼 수 있는 자료를 적어 두면, 금지 목록만 있을 때보다 경계가 선명해집니다. 금지 목록은 아무리 길어도 모든 자료를 덮지 못합니다. 물을 곳과 답이 오는 시간이 ③항처럼 적혀 있지 않으면, 직원은 묻는 대신 짐작으로 넣습니다.

승인이 필요한 사용은 어디까지 적어야 하나요?

도구, 용도, 연결 세 층으로 나눠 적습니다. 어느 도구를 쓰는지만 승인하면, 승인된 도구로 채용 서류를 평가하거나 외부 프로그램을 붙이는 일이 규정 밖으로 새어 나갑니다.

제2조(승인이 필요한 사용) ① 회사가 계정을 발급한 생성형 AI 도구만 업무에 사용한다. 개인이 가입한 계정은 제1조의 자료가 없는 업무에 한해 쓸 수 있다.
② 다음 용도는 도구와 관계없이 부서장 승인을 받는다. 1. 고객·거래처에 그대로 발송되는 문서 작성 2. 채용·평가 등 사람에 대한 판단 보조 3. 운영 중인 시스템에 반영되는 코드 작성
③ 확장 프로그램, 플러그인, 사내 메일·일정·문서함과의 연결은 정보보안 담당의 사전 검토를 받는다.
④ 승인 요청은 사내 신청 양식으로 하며, 담당은 영업일 3일 안에 승인 여부를 회신한다.

①항의 개인 계정 문장은 회사마다 결론이 갈립니다. 전면 금지로 적는 회사도 있고, 위처럼 조건을 붙이는 회사도 있습니다. 어느 쪽이든 문장에 명시해야 합니다. 쓰지 말라는 말도 써도 된다는 말도 없으면, 이미 쓰고 있는 개인 계정이 그대로 남습니다.

②항의 세 용도는 결과가 회사 밖이나 사람의 처우, 운영 중인 시스템으로 곧장 넘어간다는 공통점으로 골랐습니다. 회사마다 목록은 달라도 이 기준으로 고르면 부서장이 왜 이 일에만 승인이 필요한지를 직원에게 설명할 수 있습니다.

③항은 국정원 수칙의 연계·확장프로그램 항목과 이어집니다. 도구 본체는 승인을 받았는데 브라우저 확장 프로그램이 화면 내용을 읽어 가는 구성은 1조만으로는 잡히지 않습니다.

회신 기한을 적는 ④항이 빠지면 승인 절차는 곧 우회 경로를 낳습니다. 일주일 기다려야 하는 승인보다 오늘 당장 쓸 수 있는 개인 계정이 가깝기 때문입니다.

결과물을 확인하고 출처를 밝히는 조항에는 무엇이 들어가나요?

확인하는 사람과, 무엇을 확인했다고 남기는지를 적어야 합니다. 「결과물은 반드시 검토한다」만 있으면 누가 검토했는지 아무도 모르는 문서가 결재선을 탑니다.

제3조(결과물 확인과 출처 표기) ① 생성형 AI의 결과물을 업무에 쓰는 사람은 그 안의 수치, 날짜, 법령·규정 인용, 사람과 회사의 이름을 원래 자료와 대조한 뒤 쓴다.
② 외부에 공개하거나 발송하는 문서에 결과물을 쓴 경우, 작성자는 결재 요청에 그 사실과 대조한 항목을 적는다.
③ 결과물이 기존 저작물과 비슷한지 의심되면 공개 전에 담당 부서에 확인을 요청한다.
④ 결과물을 회사 저작물로 등록하거나 판매할 작업은 사람이 고치거나 더한 부분과 작업 과정을 기록으로 남긴다.

「정확성을 확인한다」라고만 쓰면 무엇을 봐야 하는지가 비어 있지만, ①항처럼 수치와 날짜와 인용과 고유명사로 좁히면 확인 가능한 일이 됩니다. 특히 법령 조문 번호나 시행일은 그럴듯한 형태로 틀리는 경우가 있어, 원문 링크를 열어 확인하는 동작까지 문장에 넣어 둘 만합니다.

②항에서 흔히 빠지는 것은 표기 대상의 범위입니다. 사내 회의록 초안까지 표기를 의무로 두면 지켜지지 않고, 아무 범위도 정하지 않으면 대외 문서에서도 빠집니다. 외부 공개와 발송으로 선을 긋는 방식이 한 예입니다.

저작권 쪽은 등록 문제와 침해 문제를 나눠 봐야 합니다.

한국저작권위원회가 2025년 6월 발간한 「생성형 인공지능 활용 저작물의 저작권 등록 안내서」는 인간의 창작적 기여를 등록 요건으로 두고, 등록 신청 때 AI 산출물과 사람이 창작한 부분을 구분해 적도록 안내합니다.

같은 안내서는 생성과 창작 과정을 영상 등으로 기록해 두면 저작권 등록과 이후 분쟁에서 중요한 자료로 쓰일 수 있다고도 적었습니다. ④항의 작업 기록은 사람의 창작적 기여를 보여 줄 자료이므로, 작업하는 동안 남겨 두는 편이 확실합니다.

기록 보관 조항에는 무엇을 얼마나 남기라고 적나요?

남길 기록의 종류와 보관 위치를 적고, 보관 기간은 사내 문서 보존 규정과 맞춰 정합니다. 모든 대화를 남기라고 적는 것은 쉽지만, 그 기록에 다시 개인정보가 쌓인다는 점을 함께 따져야 합니다.

제4조(기록 보관) ① 다음 기록은 회사 문서 관리 시스템에 보관한다. 1. 제2조의 승인 요청과 회신 2. 제3조 제2항에 따라 결재 요청에 적은 사용 사실 3. 제5조의 신고와 조치 내역
② 회사가 발급한 계정의 사용 기록은 도구 관리 화면에서 확인할 수 있는 범위에서 보관하며, 보관 기간은 문서 보존 규정의 해당 등급을 따른다.
③ 회사는 보안 사고 조사 등 필요한 경우에 한해 제2항의 기록을 열람하며, 열람 사실을 남긴다.

시스템 구조에서 이 조항의 요점은 ②항에 있습니다. 회사가 발급한 계정이라면 관리 화면에서 사용 기록을 조회할 수 있는 도구가 많지만, 직원 개인 계정의 대화는 회사가 볼 수도 지울 수도 없습니다. 2조에서 개인 계정을 허용했다면 그 사용분은 기록 보관의 바깥에 놓인다는 점을 두 조항이 함께 받아들여야 합니다.

①항처럼 대화 원문 대신 승인과 신고 기록을 중심에 두면, 보관할 양이 줄고 개인정보가 섞일 여지도 줄어듭니다. 대화 원문까지 남겨야 하는 업무가 있다면 그 업무만 따로 지정하고, 원문에 담긴 개인정보를 언제 파기하는지를 같은 조항에 적어 둡니다. 자기 기록을 누가 언제 볼 수 있는지는 ③항이 정합니다. 열람 요건을 적지 않으면 기록 보관 조항이 감시 조항으로 읽혀, 오히려 개인 계정으로 옮겨 가는 이유가 됩니다.

위반 시 처리 조항이 징계 문장만으로 끝나면 무엇이 비나요?

사고 직후의 행동 순서가 빕니다. 금지 자료를 넣은 사실을 알아차린 직원에게 필요한 것은 징계 기준보다 지금 무엇을 해야 하는지입니다.

제5조(위반 시 처리) ① 제1조의 자료를 입력한 사실을 안 사람은 즉시 해당 대화를 보존한 채 정보보안 담당에게 알린다. 삭제는 담당의 안내에 따른다.
② 담당은 입력된 자료의 종류를 확인하고, 개인정보가 포함되었으면 개인정보 보호책임자에게 즉시 넘긴다.
③ 스스로 알린 경우와 조사로 드러난 경우는 처리 수준을 달리할 수 있다.
④ 이 규정 위반에 따른 인사 조치는 취업규칙이 정한 절차에 따른다.

①항에서 「삭제는 담당의 안내에 따른다」는 구절이 빠지면, 당황한 직원이 대화부터 지워 무엇이 입력됐는지 확인할 방법이 사라집니다. 도구 쪽에 삭제를 요청할지, 어떤 기록을 먼저 확보할지는 담당이 정할 일입니다.

개인정보가 섞인 사고는 ②항에 따라 보안 사고와 다른 흐름으로 넘어갑니다. 개인정보보호위원회가 2025년 8월 6일 공개한 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」도 개인정보 보호책임자(CPO) 중심의 거버넌스 구축을 제시합니다. 유출 통지나 신고가 필요한지는 사고마다 요건을 따져야 하므로, 규정에는 판단할 사람을 적고 판단 기준은 그 사람에게 맡깁니다.

③항이 없으면 직원은 알리지 않는 쪽을 택하기 쉽습니다. 조기 신고가 가장 싸게 사고를 줄이는 길인데, 신고한 사람과 숨긴 사람이 같은 처분을 받는다면 신고할 이유가 없습니다.

AI 거버넌스 체크리스트 대신 직원에게 읽혀 보는 점검은 어떻게 하나요?

직원 한 사람에게 초안을 주고 실제 상황 몇 개를 물어보는 방법이 가장 빠릅니다. 규정을 쓴 사람은 빈자리를 자기 머릿속 지식으로 메우며 읽기 때문에, 처음 읽는 사람만이 빈칸을 드러냅니다. 아래는 그 자리에서 던지는 질문의 예입니다.

거래처 이름을 지운 견적서를 넣어도 되는지, 규정만 보고 답할 수 있는가
오늘 새로 알게 된 도구를 쓰고 싶을 때 누구에게 무엇으로 신청하는지 적혀 있는가
고객에게 보낼 메일을 AI로 다듬었다면 결재 요청에 무엇을 적는지 알 수 있는가
자기 사용 기록을 회사가 언제 볼 수 있는지 규정에서 찾을 수 있는가
실수로 고객 명단을 넣었을 때 첫 행동이 무엇인지 한 문장으로 말할 수 있는가

답을 못 찾은 질문이 곧 고칠 조항입니다. 질문이 규정의 어느 조에서 막혔는지 옆에 적어 두면, 개정할 때 손댈 곳이 바로 보입니다. 한 사람이 아니라 영업, 인사, 개발처럼 자료 성격이 다른 부서에서 한 명씩 읽게 하면 빈칸이 더 넓게 드러납니다.

조항 문구를 확정하기 전에 사내 법무와 확인할 자리는 어디인가요?

3조·4조·5조에 걸친 네 자리는 법적 효과가 걸려 있어, 문구 확정 전에 사내 법무나 외부 자문과 맞춰 봐야 합니다.

5조 ④항: 규정 위반을 인사 조치 사유로 삼으려면 취업규칙과 연결되어야 합니다. 규정을 취업규칙의 부속으로 둘지, 별도 지침으로 둘지에 따라 절차가 달라질 수 있습니다.
4조 ②·③항: 회사가 직원의 사용 기록을 조회하는 범위와 고지 방식은 개인정보 처리와 겹칩니다.
5조 ②항: 개인정보가 섞인 입력 사고가 통지·신고 대상인지는 사건별로 판단해야 하는 문제입니다.

반대로 1조의 자료 목록과 2조의 승인 절차는 회사의 업무 사정으로 정하는 영역입니다. 이 두 조항은 법무 검토를 기다리지 않고 보안·현업 담당이 먼저 초안을 만들어 돌려 볼 수 있습니다.

이미 AI 에이전트를 업무 시스템에 붙였다면 규정에 무엇을 더하나요?

두 문장을 더합니다. 3조에는 에이전트가 만든 결과물도 사람이 쓴 AI 결과물과 같은 대조 의무를 진다는 항을, 2조 ③항의 사전 검토 대상에는 에이전트를 사내 시스템에 연결하는 일을 넣습니다.

에이전트 자체의 권한·로그·예외 승인은 직원 규정에 옮기지 않고 별도 표로 운영합니다. 그렇게 나누는 이유는 에이전트 거버넌스가 작동하는 통제점 세 곳에서 다뤘습니다.

도입 전 점검 항목 자체는 AI 에이전트 데이터 보안 체크리스트에서 확인할 수 있습니다.

규정 초안을 사내 시스템 구성과 맞춰 보고 싶다면, 계정 발급 방식과 기록이 쌓이는 위치를 놓고 함께 살펴보겠습니다. 하마다랩스 문의하기

자주 묻는 질문

규정이 아니라 가이드라인 형식으로 두면 안 되나요?

형식은 회사가 고를 수 있습니다. 다만 가이드라인은 권고로 읽히기 쉬워, 위반 시 처리 조항을 두려면 규정이나 취업규칙 부속 지침처럼 효력이 분명한 형식이 맞습니다.

직원에게 서명을 받아야 하나요?

서명 여부는 회사 선택이지만, 읽었다는 확인을 남기는 절차는 두는 편이 좋습니다. 온보딩 체크 항목이나 사내 교육 이수 기록으로도 확인 기록을 남길 수 있습니다.

협력사 직원이나 인턴에게도 같은 규정이 적용되나요?

회사 자료에 접근하는 사람이라면 적용 대상에 넣는 편이 안전합니다. 고용 형태가 다르면 규정을 직접 적용하기 어려울 수 있어, 협력사는 계약서의 보안 조항에 준수 의무를 넣는 방식을 함께 검토합니다.

입력 사고가 난 뒤에는 규정의 어느 조부터 다시 봐야 하나요?

1조 목록에 그 자료가 들어 있었는지부터 봅니다. 목록에 있었는데 입력됐다면 규정이 직원에게 닿지 않은 것이고, 목록에 없었다면 1조를 고칠 차례이며, 이름만 지운 자료였다면 1조 ②항 문구가 제대로 읽혔는지 확인합니다.

규정 분량은 어느 정도가 적당한가요?

직원이 한 번에 읽을 수 있는 두세 쪽 안쪽을 권합니다. 세부 자료 목록이나 신청 양식은 별표로 떼어 두면 본문이 짧아지고, 목록만 따로 고치기도 수월합니다.

참고 자료

국가정보원·국가보안기술연구소 「챗GPT 등 생성형 AI 활용 보안 가이드라인」(2023-06-29) — 문서 정보(국회도서관 국가전략정보포털, 2026-10-01 확인): https://nsp.nanet.go.kr/plan/main/detail.do?nationalPlanControlNo=PLAN0000039282
전자신문 「”민감정보 입력 마세요”…국정원, 생성형 AI 보안 가이드라인 배포」(2023-06-29) — 필수 보안수칙 다섯 항목(2026-10-01 확인): https://www.etnews.com/20230629000228
개인정보보호위원회 보도자료 「생성형 인공지능(AI) 개발·활용 위한 개인정보 처리 기준 제시한다」(2025-08-06) — 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」 공개, 개인정보 보호책임자(CPO) 중심 거버넌스 구축 방안(2026-10-01 확인): https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11410
한국저작권위원회 「생성형 인공지능 활용 저작물의 저작권 등록 안내서」(2025년 6월 발간, 2025-06-30 게시) — 등록 신청 시 AI 산출물 부분과 인간이 창작한 부분을 구분해 기술, 생성·창작 과정 기록의 중요성(2026-10-01 확인): https://www.copyright.or.kr/information-materials/publication/research-report/view.do?brdctsno=54253

작성자

이득기 — 하마다랩스 공동 창업자이자 기술총괄(CTO). 발명의 날 대통령 표창을 받은 AI 개발자로, 기존 ERP·CRM을 교체하지 않고 AI 에이전트를 연동하는 구축 방식과 데이터가 외부로 유출되지 않는 온프레미스 보안 아키텍처를 시스템 구조 관점에서 다룹니다. 회사 소개: https://www.hamadalabs.com/