ChatGPT를 업무 도구로 사용하려는 팀이 늘면서 사내 정책 수립이 시급해졌다. 무분별한 도입은 데이터 유출, 지적재산권 침해, 규제 위반으로 이어질 수 있다. 사내 ChatGPT 사용 승인 기준을 명확히 설정하고 부서별 검토 항목을 체크해야 비즈니스 기회와 리스크를 동시에 관리할 수 있다.
빠른 판단 포인트
- 개인정보, 영업비밀, 재무 정보를 입력해도 되는지부터 확인해야 한다
- 팀장 승인, IT 검토, 법무 검토 등 부서별 검토 절차를 미리 정하지 않으면 운영 공백이 생긴다
- 유료 ChatGPT 사용, 브라우저 확장 프로그램, 자체 API 연동 등 사용 형태에 따라 리스크 수준이 다르다
체크리스트
- 입력할 데이터 종류: 개인정보, 고객정보, 거래처 정보, 재무 데이터, 기술 스펙, 전략 문서 중 어느 것까지 허용할지 분류했는가
- 사용 채널: 개인 계정, 회사 계정, 특정 버전 제한, API 연동 등을 명시했는가
- 승인 권한: 팀장 자율 사용, 사전 신청, IT 승인, 법무 검토 중 어느 단계까지 거칠지 정했는가
- 모니터링: 사용 기록 추적, 정기 감시, 위반 신고 경로를 구성했는가
- 교육 및 주기 점검: 신규 입사자 교육, 분기별 재교육, 사건사고 발생 시 재점검 계획을 수립했는가
- 예외 상황: 긴급 상황에서 승인 절차를 우회할 조건과 사후 보고 방식을 명기했는가
핵심포인트
자주 놓치는 부분은 데이터 분류 기준이다. 많은 팀이 ChatGPT 사용을 전면 금지하거나 완전히 개방한다. 하지만 현실에서는 직무 성격, 다루는 정보 민감도, 결과물 용도가 다르다. 개발팀은 코드 리뷰와 테스트 케이스 작성에 사용하고 싶지만 HR팀은 개인 정보 때문에 도구 자체를 거부한다. 이 차이를 인정하고 부서별 허용 범위를 따로 정해야 운영 마찰을 줄일 수 있다.
두 번째로 자주 발생하는 문제는 승인 절차의 모호함이다. 작은 업체에서는 팀장이 구두로 허락하거나 메시 세지로 공유하는 식으로 운영된다. 이렇게 하면 나중에 누가 승인했는지, 어떤 조건으로 승인했는지 추적할 수 없다. 반대로 절차가 너무 복잡하면 현장에서 무시된다. 신청서 양식, 검토 기한, 승인 기록을 최소한으로 정해야 한다.
먼저 점검할 승인 기준은 입력 데이터 종류와 출력 결과물 용도다. 팀별로 ChatGPT에 입력하려는 정보가 무엇인지, 그 결과를 어디에 사용할 건지 정의하는 것이 가장 중요하다. 예를 들어 고객 이메일 내용을 요약하는 것과 고객 목록을 정리하는 것은 리스크 수준이 다르다. 결과물이 공개 보도자료인지 내부 검토용인지에 따라서도 기준이 달라진다.
대응 절차
- 상황 확인: 현재 사내에서 ChatGPT를 누가, 어느 팀에서, 어떤 용도로 사용하고 있는지 파악한다. 공식 승인 없이 개인 계정으로 사용하는 경우도 함께 확인한다.
- 영향 범위 파악: 각 팀이 다루는 정보 민감도, 고객 데이터 포함 여부, 규제 대상 정보 여부를 분류한다. 리스크가 높은 팀부터 우선 검토 대상으로 지정한다.
- 우선 조치: 가장 높은 리스크를 가진 업무부터 ChatGPT 사용 규칙을 정한다. 예를 들어 고객정보, 재무 데이터를 다루는 팀은 사전 승인 필수로 운영한다.
- 내부 확인: IT 보안팀, 법무팀, HR팀과 함께 사내 정책 초안을 검토한다. 각 팀의 우려사항과 운영 제약을 반영해 실행 가능한 기준을 만든다.
- 후속 대응: 정책 공표, 신규 입사자 교육, 분기별 모니터링, 위반 사항 개선 등을 일정표에 따라 진행한다.
공식 정보 확인 안내
ChatGPT 이용약관, 데이터 처리 정책, 개인정보보호 방침은 시간에 따라 변경될 수 있다. 정책 수립 전에 현재 기준을 공식 채널에서 확인하고 필요시 보안팀이나 법무팀에 의견을 구하는 것을 권장한다.
자주 묻는 질문 FAQ
Q1. 모든 직원이 ChatGPT를 사용하지 못하게 막아야 하나
완전 금지는 현실적이지 않다. 다만 정보 특성과 용도에 따라 누가, 어떤 데이터로, 어떻게 사용할 수 있는지 명확히 하면 된다. 예를 들어 일반 텍스트 작성이나 아이디어 브레인스토밍은 비교적 낮은 리스크이고, 고객정보나 재무 정보 입력은 높은 리스크다. 부서별로 다른 기준을 정하는 것이 좋다.
Q2. 부서별 검토 항목을 어떻게 정해야 하나
먼저 각 부서가 다루는 정보 종류를 물어본다. 그 다음 그 정보를 ChatGPT에 입력해도 되는지 판단한다. 데이터 분류, 입력 허용 범위, 결과 활용 범위, 사전 승인 필요 여부를 체크리스트로 만들고 팀장에게 검토하게 하면 된다.
Q3. 개인이 자기 계정으로 사용하는 것은 어떻게 관리하나
완전 통제는 어렵지만 사내 정책 공표, 교육, 모니터링으로 리스크를 낮출 수 있다. 사내 네트워크에서 특정 사이트를 차단하거나, 정기적인 감사를 통해 위반 사항을 적발하고 시정 기회를 주는 방식도 있다. 다만 회사 정책 위반이 되는지는 내부 규정과 함께 법무팀과 상의해야 한다.
Q4. 유료 ChatGPT와 무료 버전, 어느 것을 사용하도록 정해야 하나
버전에 따라 데이터 처리, 보관 기간, 제3자 공유 여부 등이 다를 수 있다. 회사 규모, 보안 수준, 예산을 고려해 정한다. 예를 들어 민감한 정보를 다루면 유료 버전이나 자체 서버 구축을 검토할 수 있다. 선택 기준은 공식 정책과 IT 보안팀의 검토를 바탕으로 하는 것이 좋다.
이 글은 정보를 쉽게 확인할 수 있도록 참고용으로 작성되었습니다. 최신 기준과 정확한 내용은 반드시 공식 안내를 통해 확인하시기 바랍니다.