AI 데이터 보안, 회사 자료 넣어도 되는지 확인해본 결과

지난달, 거래처에 보낼 견적서 초안을 AI에 그대로 붙여넣으려다 손을 멈췄다. 담당자 이름과 연락처가 그대로 들어있다는 걸 뒤늦게 알아챘기 때문이다.

회사 자료를 AI에 넣어도 괜찮은지, 그동안은 막연히 괜찮겠거니 여기고 있었다. 정작 어디까지 안전하고 어디서부터 조심해야 하는지는 한 번도 제대로 확인해본 적이 없었다.

사실 AI와 개인정보를 주제로 다룬 건 이번이 두 번째다. 지난번엔 대화 기록이 어디까지 남고 언제 사라지는지를 살폈다.

이번엔 “내 정보”가 아니라 “회사 자료”로 초점을 옮겼다. 같은 주제를 두 번 다루는 게 부담스럽지만, 개인정보 보호와 데이터 안전은 한 번 정리하고 끝낼 문제가 아니라고 판단했다.

AI 데이터 보안, 이번 기회에 개인정보보호위원회 가이드와 서비스별 설정 화면을 직접 열어봤다.

AI 데이터 보안, 회사 자료부터 다시 살펴봤다

회사 자료라고 해서 AI가 자동으로 더 조심하게 다뤄주지는 않는다. 결국 어떤 서비스를, 어떤 계정으로, 어떤 설정으로 쓰고 있는지가 관건이었다.

마침 개인정보보호위원회가 2026년 5월 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」를 내놓았다. 입력한 내용이 학습에 쓰이는지부터 확인하라는 항목이 맨 앞에 있었다.

AI 데이터 보안을 회사 자료에도 그대로 적용할 수 있는지 궁금했다. 이 가이드를 기준 삼아, 실제로 쓰고 있는 ChatGPT·Claude·Gemini 설정 화면을 하나씩 다시 열어봤다.

메모리(개인화)와 모델 학습이 서로 다른 기능이라는 점, ChatGPT·Claude 개인 계정에서 각각 어떻게 끄는지는 지난 글에서 이미 화면까지 캡처해 확인해뒀다.

“지난주에 물어봤던 견적서 검토 내용 기억해?”처럼 실제로 물어보면 구분이 쉬웠다.

메모리가 켜진 계정에서는 답이 이어지고, 꺼진 계정에서는 처음 보는 질문처럼 답했다.

그때는 개인 계정 기준이었고 Gemini는 다루지 않았다. 이번엔 개인 계정과 회사 계정이 어떻게 갈리는지, Gemini까지 포함한 세 곳 전체에 초점을 맞췄다.

무료로 쓸 때, 내가 넣은 자료는 그대로 학습에 쓰이나

결론부터 말하면, 세 서비스 모두 AI 데이터 보안 기준에서 무료나 개인 유료 요금제는 기본값이 학습 활용 쪽이었다.

ChatGPT는 무료·Plus·Pro 모두 대화 내용이 기본적으로 모델 학습에 쓰인다. 설정에서 데이터 제어 항목을 열어 토글을 꺼야 비활성화된다. 이 화면은 지난 글에서 이미 캡처해뒀다.

Claude는 2025년 9월부터 무료·Pro·Max 요금제의 기본값이 학습 활용으로 바뀌었다. 끄지 않으면 대화 내용에서 이름 같은 개인 식별 정보를 지운 상태로 최대 5년간 보관되며 학습에 쓰일 수 있다.

Gemini는 이번에 처음 직접 열어봤다. 2026년 7월 개인정보 처리방침이 개정되며 활용 범위가 한층 넓어졌다는 보도가 있었다.

활동 관리 화면에서 ‘활동 저장’을 꺼야 대화가 계정에 남지 않고, 이후 개선 작업에도 쓰이지 않는다. 다만 꺼둬도 서비스 제공과 피드백 처리를 위해 최대 72시간은 계정에 저장돼 있다가 사라진다는 걸 공식 고객센터 문서에서 확인했다.

이 72시간 안에 사람 검토자가 대화를 들여다본 경우엔 계정과 분리된 상태로 최대 3년까지 별도 보관되는데, 활동 내역에서 지운다고 이 검토본까지 없어지는 건 아니다.

임시 대화 기능은 세 곳 다 따로 있다. ChatGPT의 임시 채팅은 기록에 남지 않고 학습에도 쓰이지 않지만, 남용 여부 확인을 위해 서버에는 30일간 보관된다는 점은 알아둘 필요가 있다.

회사 계정으로 바꾸면 무엇이 달라지나

회사용 요금제로 넘어가면 AI 데이터 보안 기준 자체가 바뀐다. ChatGPT는 Enterprise·Team 요금제에서 기본적으로 학습에서 제외된다.

Claude의 AI 데이터 보안 정책도 마찬가지다. Team·Enterprise, API, Bedrock 같은 상업용 계약은 소비자 요금제와 별도 약관이 적용돼 기본적으로 학습에 쓰이지 않는다.

API 로그 보관 기간도 30일에서 7일로 줄었고, 학습에는 아예 쓰이지 않는다.

Gemini는 Business·Enterprise·Education 라이선스를 쓰는 조직이면 관리자가 워크스페이스 관리 화면에서 특정 부서만 Gemini를 끌 수도 있다. 이 경우 콘텐츠가 조직 밖으로 나가거나 도메인 밖 학습에 쓰이지 않는다.

결국 개인 계정으로 쓰던 습관 그대로 회사 자료를 넣는 게 가장 위험한 조합이었다. 회사에 소속돼 있다면, 회사가 별도 요금제나 이용 지침을 정해뒀는지부터 확인하는 편이 낫다.

학습에 실제 썼는지, 나중에 확인할 방법은 있을까

설정 화면에서 토글을 껐다고 해서, 그게 실제로 지켜지고 있는지 AI 데이터 보안 차원에서 사후에 확인할 방법이 있을지 궁금해졌다.

개인 계정 기준으로는 방법이 없었다. 세 서비스 모두 “이렇게 처리합니다”라는 정책 문구만 있을 뿐, 특정 대화 하나를 짚어 “이게 학습에 쓰였는지” 조회하거나 증명해주는 기능은 어디에도 없었다.

회사 계정이라고 다르지 않았다. ChatGPT Enterprise는 인증·워크스페이스 변경 내역을 남기는 감사 로그를 제공하고, Claude Enterprise도 인증·모델 호출 기록을 30일간 보관해 SIEM으로 내보낼 수 있다.

하지만 이 로그들은 “누가 언제 무엇을 요청했는지”를 남기는 접근 기록이지, “그 대화가 모델 학습에 들어갔는지”를 보여주는 감사 도구는 아니었다.

보안 연구 쪽에는 ‘멤버십 추론(membership inference)’이라는 기법으로 특정 데이터가 학습에 쓰였는지 확률적으로 추정하는 시도가 있긴 하다.

다만 이건 모델 내부 신호를 분석하는 고난도 연구 영역이라, 일반 사용자가 직접 해볼 수 있는 방법도 아니고 100% 확신을 주지도 못한다.

결국 사후에 확인할 방법이 마땅치 않다는 걸 알고 나니, 토글 하나 꺼두는 것보다 넣기 전에 한 번 더 판단하는 쪽이 더 중요하게 느껴졌다.

AI 데이터 보안, 넣지 말아야 하는 정보는 무엇일까

학습 여부와 별개로, 애초에 넣지 말아야 하는 정보도 있다. 개인정보보호위원회 가이드는 주민등록번호·비밀번호·인증코드처럼 그 자체로 위험한 정보는 입력하지 말라고 못 박고 있다.

내 정보만 문제가 아니다. 거래처 담당자나 동료처럼 제3자의 이름, 연락처가 섞여 있는지도 넣기 전에 확인해야 한다. 한 번은 괜찮아 보여도, 여러 자료가 쌓이면 그 자체로 식별 정보가 될 수 있다는 게 가이드의 설명이었다.

가이드는 이 부분을 특히 강조했다. 나 혼자 조심한다고 끝나는 문제가 아니라는 뜻이었다.

그래서 요즘은 자료를 통째로 넣지 않고, 실제로 필요한 문단만 찾아서 옮기는 습관이 생겼다.

자료 전체를 넣지 않으니 이름이나 연락처가 섞여 들어갈 일도 자연히 줄었다.

물론 완벽하지는 않다. 옮긴 문단 안에 이름이 남아있을 때도 있어, 붙여넣기 전에 직접 한 번 더 확인한다.

혹시 AI 답변에 개인정보가 그대로 섞여 나온 걸 뒤늦게 발견했다면 어떻게 해야 할까. 개인정보보호위원회 가이드는 이 상황에 대한 대응 순서도 정리해뒀다. 그 결과를 다른 곳에 옮기거나 공유하지 않는 게 가장 먼저다.

신고할 일이 생길 수 있으니 화면은 캡처해 남겨두고, 해당 대화와 파일은 지운다.

그 AI에 연결해둔 외부 서비스(MCP 같은 연동 서비스) 중 필요 없는 권한이 있다면 이 참에 회수하고, 필요하면 서비스 제공사에 신고하거나 문의해 조치를 요청한다.

AI마다 데이터를 다루는 방식이 다르다

세 서비스를 나란히 놓고 보니, AI 데이터 보안 정책은 이름만 비슷할 뿐 실제로는 꽤 달랐다.

항목	ChatGPT	Claude	Gemini
무료·개인 유료 기본값	학습에 활용(토글로 끄기 가능)	2025년 9월부터 학습에 활용(토글로 끄기 가능)	활동 저장 시 학습 활용 가능(꺼도 72시간은 보관)
회사·기업용 계정	Enterprise·Team 기본 제외	Team·Enterprise·API 기본 제외	Workspace 관리자가 조직 단위로 제어
임시·비저장 대화	임시 채팅(기록·학습 제외, 서버 30일 보관)	설정에서 학습 토글 직접 확인 필요	활동 저장 끄기로 유사 효과(72시간 보관 예외)

※ 2026년 7월 기준이며, 서비스 정책은 예고 없이 변경될 수 있으니 공식 사이트에서 다시 확인하세요.

코드 조각이나 아이디어 정도라면 이 정도 차이만 알아도 충분하다. 그렇다면 어떤 상황에서 더 조심해야 할까. 거래처 정보나 인사 자료처럼 조직 내부 정보가 섞인 문서일 때다.

이런 자료는 개인정보보호위원회 가이드도 별도로 다루고 있다. 소속 조직이 정한 AI 이용 지침이 있는지, 승인된 도구인지, 자료를 밖으로 내보내는 절차를 거쳤는지부터 확인하라는 내용이다.

AI 대화 기록이 실제로 어디까지 남고 언제 사라지는지는 지난 글에서 따로 확인해봤다. 외부 서비스와 연동해서 쓰는 경우의 위험은 Cowork 예약 작업 후기에서 다룬 커넥터 권한 문제와 다르지 않다.

확인해보니 기준은 단순했다

AI 데이터 보안 기준으로 보면, 개인 계정과 회사 계정은 다른 이야기다. 무료나 개인 유료 요금제는 기본이 학습 활용이고, 회사용 요금제여야 기본이 제외로 바뀐다.

설정을 껐다고 끝이 아니다. 그게 지켜지는지 사후에 확인할 방법은 사실상 없다는 것도 이번에 알게 됐다.

주민등록번호, 비밀번호, 인증코드는 애초에 넣지 않는다. 학습 여부와 상관없이 그 자체로 위험한 정보다.

제3자 정보는 자료 전체가 아니라 필요한 문단만 옮긴다. 통째로 넣지 않는 것만으로도 이름·연락처가 섞여 들어갈 일이 크게 줄었고, 옮긴 문단은 붙여넣기 전에 직접 한 번 더 확인했다.

문제가 생기면 순서가 있다. 개인정보보호위원회 가이드가 정리한 대로, 공유를 멈추고 화면을 캡처해 증거를 남긴 뒤 대화·파일을 지우고, 불필요한 외부 연동 권한을 회수하고, 필요하면 서비스 제공사에 신고한다.

AI 데이터 보안은 서비스마다 기본값이 다르다는 걸 모르고 쓰는 게 가장 큰 위험이다. ChatGPT·Claude·Gemini 모두 설정 화면에서 직접 확인해야 정확했다.

설정 화면을 하나씩 열어보고 나서 든 생각은

세 서비스의 AI 데이터 보안 설정 화면을 열어보기 전까지는, 나도 막연히 유료로 쓰면 안전하겠거니 생각하고 있었다. 실제로는 개인 유료와 회사용 계정 사이에 분명한 선이 있었다.

이 선을 몰랐다고 큰일이 난 적은 아직 없다. 다만 거래처 정보가 섞인 문서를 별생각 없이 붙여넣던 습관은 이번에 확실히 고치게 됐다.

사후에 확인할 방법이 없다는 걸 알고 나니 오히려 마음은 편해졌다. AI 데이터 보안은 확인에 기댈 게 아니라, 넣기 전에 한 번 더 판단하면 되는 문제였다.

시점	행동
오늘 바로	자주 쓰는 AI 서비스 설정 화면에서 학습 활용 토글이 켜져 있는지 직접 확인하기
이번 주 안에	거래처·인사 자료는 통째로 넣지 않고, 필요한 문단만 옮겨 붙이기 전에 한 번 더 확인하는 습관 들이기
장기적으로	소속 조직의 AI 이용 지침이 있는지 확인하고, 없다면 승인된 도구인지부터 점검하기

※ 이 글에 포함된 서비스 정보(개인정보 처리방침, 요금제 등)는 2026년 7월 기준입니다. 서비스는 예고 없이 변경될 수 있으므로 최신 정보는 각 공식 사이트에서 확인하세요.

이 글은 정보 제공을 목적으로 하며, 특정 서비스 가입이나 구매를 권유하지 않습니다. 회사의 개인정보 처리 방침이나 법적 판단이 필요한 경우에는 소속 조직의 담당자나 전문가와 상담하는 것이 좋습니다.