홈 / 블로그 / 챗봇 및 어시스턴트

AI 도구 사용 시 데이터 보안: 챗봇에 붙여 넣으면 안 되는 것

데이터를 민감도별로 분류하고, 제공사 정책에서 확인할 점과 개인·소규모 사업자가 AI를 더 안전하게 쓰기 위한 실용적인 규칙을 알아봅니다.

편집: PickYourTool업데이트: 2026-10-26읽는 시간 4분

계약서를 챗봇에 붙여 넣고 요약을 부탁하는 일은 매우 편리하지만, 그 데이터가 어디로 가는지 모르면 문제가 되기 쉽습니다. 이 글은 AI를 쓰지 말라고 겁을 주려는 것이 아니라, 무엇을 넣어도 되고 무엇은 안 되는지, 도구를 믿기 전에 무엇을 확인해야 하는지 분명한 선을 긋도록 돕기 위한 것입니다.

전송을 누르면 데이터는 어디로 가는가

온라인 AI 서비스에 내용을 입력하면, 그 내용은 처리를 위해 제공사의 서버로 전송됩니다. 서비스와 요금제에 따라 제공사는 다음을 할 수 있습니다.

• 대화 기록을 내 계정에 저장한다.
• 품질 개선이나 악용 조사를 위해 사람 검토자가 일부 대화를 보게 한다.
• 이 옵션을 끄거나 학습하지 않겠다고 약속하는 요금제를 쓰지 않는 한, 대화를 모델 학습에 사용한다.
• 인프라 하청업체(클라우드, 저장소)에 데이터를 넘긴다.

구체적인 약관은 제공사마다, 무료·개인·기업 요금제마다, 앱과 API마다 다릅니다. 그래서 정확한 답은 이와 같은 글이 아니라, 내가 쓰는 정확한 요금제의 현행 개인정보 처리방침과 서비스 약관에 있습니다.

데이터를 세 단계로 분류하기

1단계: 공개. 웹사이트에 이미 게시된 내용, 보도자료, 이미 판매 중인 제품. 자유롭게 써도 됩니다.

2단계: 내부. 마케팅 계획, 아직 보내지 않은 견적, 업무 절차, 개인 데이터가 없는 내부 이메일. 정책을 읽고, 데이터를 학습에 쓰는 옵션이 있다면 끄고, 필요 없는 고유명사는 제거한 뒤에 사용하세요.

3단계: 민감. 고객과 직원의 개인 데이터(이름과 전화번호, 주소, 신분증 번호, 은행 계좌의 조합), 건강 정보, 비밀 유지 조항이 있는 계약서, 독점 소스 코드, API 키, 비밀번호가 포함됩니다. 공개 AI 도구에는 넣지 마세요. 꼭 필요하다면 전문 지식이 있는 사람이 평가한 기업용 요금제나 별도로 구축한 서비스만 사용하세요.

정책에서 확인할 다섯 가지

1. 학습: 내 데이터가 모델 학습에 쓰이는가, 끌 수 있는가?
2. 보관: 얼마나 오래 보관되고, 어떻게 삭제되며, 시스템에서 정말 지워지는가?
3. 열람자: 사람이 대화 내용을 읽는가, 어떤 경우에?
4. 위치와 이전: 데이터는 어디에서 처리되며, 해외로 이전되는가?
5. 인증과 계약상 약속: 기업용 요금제에 데이터 처리 계약(DPA)과 독립적인 보안 인증이 있는가?

다섯 가지 모두에 대해 분명한 답을 찾지 못했다면, 그 도구는 2단계 이상의 데이터에는 아직 안전하지 않다고 보세요.

저장 외의 위험

AI 사용의 보안은 제공사가 무엇을 저장하는가만의 문제가 아닙니다. 애플리케이션 보안 전문 단체인 OWASP는 언어 모델을 쓰는 애플리케이션 고유의 위험을 나열하는데, 그중에는 다음이 있습니다.

• 프롬프트 인젝션(prompt injection): 웹페이지나 문서에 숨겨진 내용 때문에 모델이 공격자의 지시를 따르는 것. 어시스턴트가 이메일 보내기나 파일 읽기 같은 조작 권한을 가질 때 특히 우려됩니다.
• 답변을 통한 민감 정보 유출.
• 과도한 권한: AI 에이전트에게 필요 이상의 접근 권한을 주는 것.
• 결과에 대한 과신: 예를 들어 AI가 쓴 코드를 읽지 않고 실행하는 것.

"에이전트" 기능이 있는 도구(스스로 웹 탐색, 이메일 전송, 파일 조작)의 경우, 안전 원칙은 최소한의 권한만 부여하고, 테스트 계정을 실제 계정과 분리하고, 되돌릴 수 없는 작업 전에 확인을 요구하는 것입니다.

개인과 소규모 사업자를 위한 실용 규칙

• 붙여 넣기 전에 익명화하세요. 실명은 "고객 A"로, 구체적인 금액은 범위로 바꿉니다.
• 계정을 분리하세요. 업무 전용 계정을 쓰고 2단계 인증을 켜세요.
• 기록이나 학습을 끄세요. 서비스가 허용하고 기록이 필요 없다면요.
• 비밀번호, API 키, OTP 코드는 어떤 챗봇에도 입력하지 마세요. "오류 수정을 부탁하려는 것뿐"이라도 마찬가지입니다. 이미 입력했다면 즉시 키를 바꾸세요.
• 팀을 위한 한 페이지짜리 규칙을 쓰세요. 무엇을 허용하고, 무엇을 금지하고, 어떤 도구를 승인하는지.
• 확장 프로그램과 서드파티 앱을 확인하세요. 브라우저의 "AI" 확장 프로그램 상당수는 여는 모든 페이지를 읽을 권한을 요구합니다.
• 변경 공지가 오면 정책을 다시 읽으세요. 약관은 시간이 지나며 바뀔 수 있습니다.

데이터가 다른 사람과 관련될 때

고객이나 직원의 개인 데이터를 처리한다면 법적 의무가 있을 수 있습니다. 예를 들어 적법한 근거를 갖추거나, 관련자에게 알리거나, 해외 이전을 제한해야 할 수 있습니다. 구체적인 규정은 국가와 업종에 따라 다릅니다. 베트남에서는 새 개인정보 보호법이 2026년부터 시행 중이고, 유럽에는 GDPR이 있습니다. 이 글은 법률 자문이 아닙니다. 사업에서 대량의 개인 데이터를 처리한다면 변호사나 컴플라이언스 전문가에게 문의하세요.

민감한 데이터를 실수로 보냈다면

1. 대화를 삭제하고, 가능하다면 도구의 기록이나 메모리에서도 지우세요.
2. 비밀번호, API 키, 토큰이었다면 즉시 폐기하고 새로 만드세요.
3. 무엇을 언제 보냈는지 기록하세요.
4. 고객 데이터였다면 담당자에게 알리고 통지 의무를 확인하세요.
5. 재발을 막도록 내부 규칙을 업데이트하세요.

결론

AI를 안전하게 쓰는 데 보안 전문가가 될 필요는 없습니다. 데이터를 분류하고, 정확한 요금제의 정책을 읽고, 가능한 것은 익명화하고, 챗봇에 비밀을 넣지 마세요. 중요한 일에는 서면 약속이 있는 기업용 요금제를 선택하세요. 마지막으로, 모든 정책은 바뀔 수 있으니 어떤 약속보다 여러분의 신중한 습관이 더 중요하다는 점을 기억하세요.

이 글은 일반적인 참고용이며 법률이나 전문가 조언을 대체하지 않습니다. 편집·제휴·리뷰 정책도 참고하세요.