회사 데이터가 ChatGPT로 들어가면, 책임은 회사에 떨어집니다.

# 기업 AI 사용 정책 및 데이터 유출 방지 절차

문서 코드: AIA-POL-01 · 버전 1.0 · 분류: 내부용
시행일: ……/……/20……   검토 주기: 12개월

제1조 — 목적과 범위
1.1 이 정책의 목적은 [회사명](이하 "회사") 내에서 생성형 인공지능 및
기계학습 도구("AI 도구")의 사용을, 개인정보·영업비밀·고객정보 보호와
관련하여 규율하는 규칙을 정하는 데 있다.
1.2 이 정책은 회사 임직원, 인턴, 협력업체 인력, 프리랜서 및 회사 시스템에
접근하는 모든 제3자를 구속한다.
1.3 회사 소유 또는 회사가 접근하는 모든 기기와 임직원 개인 기기(BYOD)에서의
AI 사용에 적용된다.

제2조 — 정의
2.1 AI 도구: 입력 데이터로부터 텍스트·이미지·음성·코드 또는 의사결정
    권고를 생성하는 모든 소프트웨어 서비스.
2.2 공개 AI 도구: 기업 계약 없이 공급자 표준약관으로 접근하는 도구.
2.3 기업용 AI 도구: 회사 명의로 체결된, 데이터 처리 조항을 담은 계약의
    적용을 받는 도구.
2.4 섀도 AI: IT 부서의 인지와 승인 없이 사용되는 모든 AI 도구.
2.5 민감 입력:
    (a) 개인정보 및 특별범주 개인정보,
    (b) 고객·공급자·협력사의 상업 정보,
    (c) 소스 코드, 아키텍처 문서, 보안 설정,
    (d) 재무제표, 가격 모델, 미공개 정보,
    (e) 비밀유지계약(NDA)의 적용을 받는 모든 정보.

제3조 — 승인 도구 목록과 접근 체계
3.1 AI 도구는 데이터 처리 위험에 따라 세 등급으로 분류한다:
    A등급 — 기업 계약, 모델 학습 제외. 허용.
    B등급 — 기업 계약, 제한된 설정. 부분 허용.
    C등급 — 공개 도구. 민감 입력 금지.
3.2 승인 도구 목록(부속서 1)은 IT가 유지하며 분기별로 검토한다.
3.3 목록에 없는 도구의 사용은 섀도 AI에 해당한다(제9조).
3.4 등급은 보관기간, 입력의 학습 사용 여부, 서버 위치, 수탁처리자 목록으로
    정한다.

제4조 — 금지 입력 범주
4.1 C등급 도구에 민감 입력을 넣는 것은 금지한다.
4.2 A·B등급 도구에서도 다음은 사전 승인이 필요하다:
    4.2.A 특별범주 개인정보(GDPR 제9조).
    4.2.B 수탁처리 계약에 따라 회사에 위탁된 제3자 개인정보(GDPR 제28조).
    4.2.C 수탁처리자 사용을 금지하거나 조건화한 고객의 모든 데이터.
    4.2.D 운영 자격증명, API 키, 접근 토큰, 암호화 키.
    4.2.E 진행 중인 법적 분쟁의 서신 및 증거.
4.3 의심스러울 때는 입력을 보류하고 [법무]에 자문한다.

제5조 — 산출물 검증과 게시 승인
5.1 검증되지 않은 산출물은 고객에게 발송하거나, 운영에 배포하거나,
    공개하거나, 법적·재무적 결정의 근거로 삼을 수 없다.
5.2 검증은 작성자가 아닌 숙지된 직원이 수행하고 부속서 2 산출물 검증
    대장에 기록한다.
5.3 저작권 점검: 상업적 사용 전에 산출물이 보호 저작물을 재현하는지
    점검하고, 코드 산출물은 라이선스 호환성을 스캔한다.
5.4 공개 AI 콘텐츠에 대해서는 AI법 제50조 의무를 유보한다.

제6조 — 투명성과 고지
6.1 AI 시스템이 자연인과 직접 상호작용하는 경우, 최초 상호작용 시점에
    고지한다.
6.2 합성 음성·이미지·영상·텍스트는 기계 판독 가능하게 표시한다.
6.3 범위는 회사가 공급자인지 배포자인지에 따른다(부속서 3).

제7조 — 사고 대응 절차
7.1 민감 입력이 입력된 경우, 직원은 지체 없이 늦어도 1시간 이내에
    [사고 대응]에 통지한다.
7.2 신고 자체를 이유로 징계하지 않는다. 은폐는 이 보호를 받지 못한다.
7.3 대응 순서:
    1) 영향받은 계정의 세션 종료,
    2) 공급자에 서면 삭제 요청 제출,
    3) 영향받은 데이터 범주와 정보주체 수 파악,
    4) 통지 의무 평가(GDPR 제33/34조),
    5) 고객·협력사에 대한 계약상 통지 평가,
    6) 부속서 4 유출 대장에 기재.
7.4 기간은 유출을 인지한 때로부터 기산한다.

제8조 — 기록과 감사 가능성
8.1 최소 [기간] 보관: 도구 목록 이력, 위험평가, 산출물 검증 기록,
    사고 기록, 교육 기록.
8.2 이 문서들은 감사나 공급자 실사에서 가장 먼저 요구된다.

제9조 — 위반과 제재
9.1 위반은 비례적인 징계의 대상이 된다.
9.2 영업비밀 또는 개인정보를 고의로 이전한 경우, 정당한 해지권, 손해배상,
    형사책임을 유보한다.

제10조 — 교육과 발효
10.1 임직원 사이에 충분한 수준의 AI 리터러시를 확보한다(제4조).
10.2 이 정책은 [일자]에 발효하며 서면으로 통지한다.

서명란: 작성자 / 검토자(법무) / 승인자(경영진)
부속서: 1 승인 도구 목록 · 2 산출물 검증 대장 ·
        3 역할 판단서 · 4 유출 대장

이 템플릿은 일반적이며 법률 자문을 구성하지 않습니다.