회사에서 ChatGPT 써도 될까? 기업 AI 도입 보안 체크리스트

"우리 회사는 아직 AI를 도입하지 않았다"고 생각하는 회사도, 직원들은 이미 개인 계정으로 ChatGPT나 Claude를 쓰고 있을 가능성이 높습니다. 보고서 초안, 메일 번역, 엑셀 수식 정리처럼 일상 업무에 너무 편하기 때문입니다.

그래서 기업의 AI 보안은 도입할지 말지가 아니라 이미 쓰고 있는 걸 어떻게 안전한 쪽으로 옮길지의 문제입니다. 도입 전에 확인할 것을 7가지로 정리했습니다.

1. 입력한 내용이 학습에 쓰이는가

가장 먼저 확인할 항목입니다. 같은 서비스라도 개인 플랜과 기업 플랜의 데이터 정책이 다릅니다. 기업용 플랜은 조직 데이터를 모델 학습에 쓰지 않는 것이 기본값인 경우가 많지만, 개인 플랜은 설정을 직접 바꿔야 하거나 기본적으로 학습에 쓰일 수 있습니다.

직원이 개인 계정으로 사내 문서를 넣는 것이 위험한 이유가 바로 이것입니다.

2. 계정을 회사가 관리할 수 있는가

퇴사자가 개인 계정에 남긴 대화 기록은 회사가 회수할 수 없습니다. SSO(통합 로그인)로 회사 계정만 쓰게 하고, 퇴사 시 즉시 접근을 끊을 수 있는지 확인하세요. 대부분의 팀·기업 플랜이 SSO와 중앙 사용자 관리를 제공합니다.

3. 대화 기록은 얼마나 보관되고 누가 볼 수 있는가

• 대화 기록 보관 기간을 회사가 정할 수 있는가
• 관리자가 기록을 조회하거나 내보낼 수 있는가
• 삭제 요청 시 실제로 삭제되는가

감사가 필요한 업종이라면 감사 로그 제공 여부가 결정적인 조건이 됩니다.

4. 사내 문서 권한이 그대로 지켜지는가

AI에 사내 드라이브와 메일을 연결하면 편리하지만 새로운 위험이 생깁니다. 원래 볼 수 없던 문서의 내용을 AI 답변으로 보게 되는 경우입니다. 인사 평가나 급여 파일이 대표적입니다.

사내 검색형 AI를 고를 때는 직원별 접근 권한을 반영해서 답하는지를 가장 먼저 확인하세요.

5. 이미 쓰는 업무 도구 안에서 해결되는가

새 도구를 들이는 것보다 이미 보안 검토를 마친 업무 도구의 AI 기능을 쓰는 편이 도입이 빠릅니다. 회사가 Microsoft 365를 쓴다면 테넌트의 보안·규정 준수 정책이 그대로 적용되는 Copilot이, Google Workspace를 쓴다면 Gemini Enterprise가 자연스러운 출발점입니다.

6. 데이터가 어느 나라에 저장되는가

금융, 공공, 의료처럼 규제가 있는 업종은 데이터 저장 위치가 문제가 될 수 있습니다. 데이터 레지던시(저장 지역 지정)를 지원하는지, 계약서에 명시되는지 확인하세요. 구체적인 기준은 업종별 규정이 다르므로 법무팀과 함께 검토해야 합니다.

7. 누가 어떤 AI를 쓰고 있는지 파악하고 있는가

마지막이 가장 자주 빠지는 항목입니다. 공식 도입한 도구 외에 팀마다 따로 결제해서 쓰는 AI 도구가 생기기 시작하면, 비용도 보안 관리도 흩어집니다.

• 어떤 팀이 어떤 도구를 쓰는지
• 누가 승인했고 월 비용은 얼마인지
• 어떤 데이터를 넣어도 되는지

이 세 가지를 한곳에서 관리하는 것만으로도 섀도 AI의 대부분을 막을 수 있습니다. NeedThisAI의 AI Control Hub는 조직의 AI 도구 목록, 승인 상태, 비용을 워크스페이스 단위로 관리하도록 만들었습니다.

체크리스트 요약

확인 항목	질문
학습 사용	입력 데이터가 모델 학습에 쓰이지 않는가
계정 관리	SSO와 퇴사자 접근 차단이 되는가
기록 보관	보관 기간, 감사 로그, 삭제가 가능한가
권한 반영	원래 못 보던 문서가 답변에 섞이지 않는가
기존 도구	이미 쓰는 업무 도구 안에서 해결되는가
저장 위치	데이터 레지던시가 필요한 업종인가
사용 현황	누가 어떤 AI를 쓰는지 파악하고 있는가

각 도구의 보안 정책과 Trust Center 링크는 NeedThisAI 도구 상세 페이지의 "보안 및 정책" 항목에 모아뒀습니다. 여러 도구의 기업 플랜을 나란히 보려면 도구 비교를 활용하세요.