ChatGPT를 업무에 쓰면 회사가 준비해야 할 것

회사에서 ChatGPT를 쓰는 일이 이제 특별하지 않습니다.

기획자는 초안을 만들고, 마케터는 문구를 다듬고, 개발자는 코드 설명을 받고, 영업팀은 제안서 구조를 잡는데요,

문제는 여기서 시작됩니다.

회사는 직원들이 ChatGPT를 쓰고 있다는 사실을 알고 있을까요?

누가 쓰는지, 어떤 계정으로 쓰는지, 어떤 정보를 입력하는지,

결과물을 어디에 활용하는지 정리되어 있지 않다면 업무 효율 도구가 어느 순간 리스크가 될 수 있습니다.

ChatGPT 업무 사용은 막을 문제가 아니라 관리할 문제입니다

많은 회사가 처음에는 “ChatGPT를 써도 되나?”라는 질문에서 출발합니다.

하지만 현실적으로는 이미 쓰고 있는 경우가 많습니다. 직원이 개인 계정으로 접속해서 회의록을 요약하거나, 고객 메일 초안을 만들거나, 내부 문서를 붙여넣고 정리하는 식입니다.

그래서 회사가 봐야 할 질문은 조금 달라져야 합니다.

“쓸 수 있나?”보다 “어떤 기준으로 쓰게 할 것인가?”가 더 중요합니다.

ChatGPT 업무 사용은 금지와 허용의 문제가 아니라, 사용 기준과 관리 체계를 만드는 문제입니다.

첫 번째, 누가 어떤 목적으로 쓰는지 정해야 합니다

회사에서 ChatGPT를 쓰려면 먼저 사용 범위를 정해야 합니다.

모든 직원이 자유롭게 써도 되는지, 특정 부서만 써도 되는지, 개인 계정을 허용할지, 업무용 계정만 쓰게 할지부터 정리해야 합니다.

예를 들어 마케팅 문구 초안, 일반 자료 조사, 회의록 정리, 내부 아이디어 브레인스토밍은 상대적으로 활용하기 쉬운 영역입니다.

반대로 고객 개인정보가 포함된 상담 내용, 계약서 원문, 인사 평가 자료, 소스코드, 미공개 전략 문서처럼 민감한 정보가 들어가는 업무는 훨씬 조심스럽게 봐야 합니다.

처음부터 완벽한 정책을 만들 필요는 없습니다.

다만 최소한 다음 정도는 정해두는 것이 좋습니다.

ChatGPT를 사용할 수 있는 업무 범위

사용 가능한 계정 또는 도구

입력하면 안 되는 정보

결과물을 검토하는 방식

문제가 생겼을 때 문의할 담당 부서

회사가 사용 기준을 정하지 않으면, 직원 각자가 알아서 판단하게 됩니다. 그리고 그 판단 기준은 사람마다 다를 수밖에 없습니다.

두 번째, ChatGPT에 넣으면 안 되는 정보를 정해야 합니다

업무에서 가장 위험한 부분은 프롬프트 입력입니다.

직원 입장에서는 “요약만 하려고 넣었다”, “문장만 다듬으려고 붙여넣었다”고 생각할 수 있습니다.

하지만 그 안에 개인정보, 고객정보, 영업비밀, 계약 조건, 내부 전략, 소스코드가 들어 있다면 이야기가 달라집니다.

특히 생성형 AI는 입력한 내용을 바탕으로 답변을 생성합니다. 따라서 회사는 어떤 정보를 입력하면 안 되는지 명확히 정해야 합니다.

예를 들어 다음 정보는 원칙적으로 입력을 제한하는 편이 안전합니다.

이름, 연락처, 이메일, 주소 등 개인정보

고객사명, 담당자 정보, 계약 조건 등 고객정보

가격 정책, 영업 전략, 제안서 원문 등 영업비밀

내부 소스코드, API 키, 시스템 구조

미공개 재무자료, 투자자료, 인사자료

법무 검토 중인 계약서나 분쟁 관련 자료

의료, 금융, 교육, 채용 등 민감 영역의 원자료

업무용 ChatGPT 정책의 핵심은 “무엇을 할 수 있나”보다 “무엇을 넣으면 안 되나”를 먼저 정하는 것입니다.

세 번째, 개인 계정 사용을 방치하면 관리가 어렵습니다

직원이 개인 ChatGPT 계정으로 업무를 처리하면 회사는 사용 현황을 파악하기 어렵습니다.

누가 어떤 자료를 넣었는지, 어떤 결과물을 만들었는지, 문제가 생겼을 때 어떤 경로로 확인해야 하는지 알기 어렵습니다.

업무용으로 ChatGPT를 본격 활용하려면 회사 차원의 계정 관리가 필요합니다.

OpenAI의 기업용 개인정보 안내 페이지에 따르면 ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu, API Platform 등 업무용 서비스에서는 비즈니스 데이터에 대한 소유와 통제, 접근 관리, 보안 기능을 제공한다고 설명하고 있습니다. 또한 OpenAI는 기본적으로 비즈니스 데이터를 모델 학습에 사용하지 않는다고 안내하고 있습니다.

물론 이것이 “아무 정보나 넣어도 안전하다”는 뜻은 아닙니다.

서비스 제공사의 정책과 별개로, 회사 내부에서는 입력 금지 정보, 계정 권한, 사용 목적, 보관 기간, 감사 로그 등을 따로 관리해야 합니다.

업무용 AI 도구를 쓰려면 도구의 보안 정책만 볼 것이 아니라, 우리 회사의 사용 방식도 함께 봐야 합니다.

네 번째, 개인정보 처리 기준을 확인해야 합니다

ChatGPT를 업무에 쓰는 과정에서 개인정보가 들어갈 수 있습니다.

고객 상담 내용을 요약하거나, 지원자 이력서를 정리하거나, 사용자 리뷰를 분석하거나, 의료, 교육, 금융 관련 내용을 처리하는 경우가 대표적입니다.

개인정보보호위원회의 생성형 인공지능 개발, 활용을 위한 개인정보 처리 안내서는 생성형 AI를 개발하거나 활용하는 기업, 기관이 개인정보 처리와 보호 이슈를 단계별로 고려해야 한다는 취지로 마련된 자료입니다.

특히 생성형 AI 활용 과정에서는 목적 설정, 전략 수립, 학습, 개발, 적용, 관리 단계에서 개인정보 처리의 적법성, 안전조치, 투명성, 정보주체 권리 보장 등을 함께 봐야 합니다.

업무용 ChatGPT 사용도 이 흐름에서 자유롭지 않습니다.

단순히 “외부 도구를 썼다”가 아니라, 개인정보가 입력되었는지, 어떤 목적으로 처리했는지, 업무상 필요한 범위를 넘지 않았는지, 안전조치는 있었는지 확인해야 합니다.

개인정보가 들어가는 순간 ChatGPT 사용은 편의 도구가 아니라 개인정보 처리 이슈가 됩니다.

다섯 번째, 결과물을 그대로 쓰지 않는 기준이 필요합니다

ChatGPT가 만든 결과물은 그럴듯합니다.

하지만 그럴듯하다는 것과 정확하다는 것은 다릅니다.

보고서 초안, 법률 문구, 세무 검토, 의료 설명, 투자 판단, 채용 평가, 보안 설정처럼 중요한 영역에서는 사람이 반드시 검토해야 합니다.

회사 내부 정책에는 결과물 검토 기준도 들어가야 합니다.

예를 들어 외부에 나가는 문서라면 담당자가 사실관계를 확인해야 합니다. 법률, 의료, 금융처럼 전문 판단이 필요한 내용은 전문가 검토 없이 그대로 사용하지 않도록 해야 합니다.

또 생성형 AI가 만든 문장을 고객에게 보낼 때는 회사의 공식 입장처럼 보이지 않도록 검토해야 합니다.

ChatGPT 결과물은 초안으로는 유용하지만, 회사의 최종 판단을 대체하는 방식으로 쓰면 위험합니다.

여섯 번째, AI 기본법 관점에서도 봐야 합니다

회사 내부에서 ChatGPT를 단순 업무 보조 도구로만 쓰는 경우라면

AI 기본법상 고영향 AI 사업자 의무까지 바로 연결되지 않을 수 있습니다.

하지만 ChatGPT나 생성형 AI 기능이 제품이나 서비스 안으로 들어가면 이야기가 달라질 수 있습니다.

예를 들어 고객 상담 챗봇, AI 리포트 자동 생성, 지원자 평가 보조, 학습 진단, 금융 상품 추천, 의료 정보 요약 같은 기능으로 제공된다면 이용자에게 직접 영향을 줄 수 있습니다.

이 경우에는 AI 사용 사실 고지, 생성형 AI 결과물 표시, 이용자 보호, 고영향 AI 해당 여부 등을 함께 검토해야 합니다.

즉, 사내에서 ChatGPT를 쓰는 것과 고객에게 AI 기능을 제공하는 것은 구분해야 합니다.

업무 보조용 ChatGPT 사용은 내부 관리의 문제이고, 고객-facing AI 기능은 AI 기본법 대응 문제로 이어질 수 있습니다.

일곱 번째, 회사는 운영 체계를 만들어야 합니다

ChatGPT 사용 정책은 문서 하나로 끝나면 안 됩니다.

실제로 운영될 수 있어야 합니다.

누가 사용할 수 있는지 승인하고, 어떤 정보를 입력하면 안 되는지 교육하고, 어떤 도구를 공식 도구로 볼지 정하고, 사용 이력을 관리하고, 문제가 생기면 대응할 수 있어야 합니다.

특히 조직이 커질수록 개인의 주의만으로는 부족합니다.

신입 직원은 어떤 정보를 넣으면 안 되는지 모를 수 있습니다.

외주 인력이나 파트너사가 업무 자료를 AI 도구에 넣을 수도 있습니다. 개발팀은 편의를 위해 소스코드나 로그를 붙여넣을 수 있습니다.

그래서 최소한의 운영 체계가 필요합니다.

회사가 준비해야 할 운영 체계는 다음과 같습니다.

업무용 AI 도구 승인 기준

부서별 사용 가능 범위

입력 금지 정보 목록

개인정보, 고객정보 처리 기준

결과물 검토 기준

계정과 권한 관리

직원 교육과 안내문

사용 이력과 점검 기록

외부 고객사 요청 대응 자료

AI 활용을 잘하는 회사는 직원에게 “조심해서 써라”라고만 말하지 않습니다. 조심할 수 있는 구조를 만듭니다.

여덟 번째, 고객사가 물어볼 질문에 대비해야 합니다

B2B 기업이라면 이 부분이 특히 중요합니다.

고객사는 앞으로 AI 사용 여부를 더 자주 물어볼 가능성이 높습니다.

특히 대기업, 금융사, 병원, 교육기관, 공공기관 고객은 AI 기능이 들어간 서비스에 대해 더 많은 자료를 요구할 수 있습니다.

예를 들어 다음과 같은 질문이 나올 수 있습니다.

귀사는 업무에 어떤 AI 도구를 사용하나요?

고객 데이터가 ChatGPT에 입력되나요?

개인 계정 사용을 허용하나요?

입력 금지 정보 기준이 있나요?

AI 결과물은 사람이 검토하나요?

AI 사용 기록이나 교육 이력을 보관하나요?

고객 데이터가 모델 학습에 사용되나요?

AI 관련 내부 정책 문서가 있나요?

이 질문에 답하려면 평소에 정리해둔 자료가 있어야 합니다.

정책이 없고, 기록이 없고, 사용 현황도 모른다면 고객사의 보안, 컴플라이언스 검토에서 불리할 수 있습니다.

ChatGPT 업무 사용 관리는 내부 보안 문제이면서 동시에 B2B 영업 자료가 될 수 있습니다.

아홉 번째, 회사가 바로 확인할 체크리스트

ChatGPT를 업무에 쓰고 있다면 다음 항목부터 확인해보면 좋습니다.

직원들이 개인 계정으로 ChatGPT를 쓰고 있는가?

회사가 승인한 업무용 AI 도구 목록이 있는가?

개인정보와 고객정보 입력 금지 기준이 있는가?

계약서, 소스코드, 영업비밀 입력 제한이 있는가?

결과물을 그대로 외부에 보내지 않도록 검토 절차가 있는가?

AI 사용 관련 직원 교육을 했는가?

부서별 사용 목적과 범위를 정리했는가?

고객사가 물어볼 때 제출할 정책 문서가 있는가?

AI 기능이 고객 서비스에 들어가는 경우 AI 기본법 검토를 했는가?

모델 제공사나 도구를 바꿀 때 재검토하는 절차가 있는가?

처음부터 거창한 시스템을 만들 필요는 없습니다.

하지만 최소한 우리 회사가 어떤 AI 도구를 쓰고 있는지, 어떤 업무에 쓰는지, 어떤 정보를 넣지 않기로 했는지는 정리해야 합니다.

AI 도구 사용 목록을 만드는 것이 ChatGPT 업무 사용 관리의 첫 단계입니다.

Kompli 관점에서 보면

ChatGPT 업무 사용은 단순한 생산성 문제가 아닙니다.

회사가 어떤 AI 도구를 쓰고 있는지, 어떤 데이터가 들어가는지,

어떤 결과물이 나오는지, 어떤 기준으로 관리하는지 설명할 수 있어야 합니다.

이 설명 가능성이 쌓이면 AI 컴플라이언스의 기초가 됩니다.

Kompli는 이런 흐름을 더 쉽게 관리하기 위해 준비하고 있습니다. AI 자산 목록, 사용 목적, 위험 수준, 고지 필요 여부, 개인정보 처리 포인트, 증빙 문서를 한곳에서 관리할 수 있어야 회사가 실제로 대응하기 쉬워지기 때문입니다.

ChatGPT를 업무에 쓰는 회사라면 지금 당장 모든 것을 완벽하게 갖출 필요는 없습니다.

하지만 최소한 “우리 회사는 어떤 AI를 쓰고 있고, 어떤 기준으로 관리하고 있다”는 말은 할 수 있어야 합니다.

AI 컴플라이언스는 거창한 법률 검토에서만 시작되는 것이 아니라, 사내 AI 사용 현황을 정리하는 일에서 시작됩니다.

함께 보면 좋은 글

생성형 AI를 쓰는 회사도 AI 기본법 대상일까

AI 기본법과 EU AI Act는 무엇이 다를까?

대부분의 회사는 자기들이 어떤 AI를 쓰는지도 모른다

대부분의 회사는 자기들이 어떤 AI를 쓰는지도 모른다

AI 서비스 출시 후 규제 대응을 하려면 늦는 이유

AI 서비스 출시 후 규제 대응을 하려면 늦는 이유

정리하면

ChatGPT를 업무에 쓰는 것은 이제 자연스러운 일이 되었습니다.

하지만 회사 차원에서는 사용 기준 없이 방치하면 안 됩니다.

누가 쓰는지, 어떤 정보를 입력하는지, 어떤 결과물을 어디에 활용하는지, 고객정보나 개인정보가 들어가는지 확인해야 합니다.

그리고 AI 기능이 고객 서비스로 들어간다면 AI 기본법, 투명성 고지, 생성형 AI 결과물 표시, 고영향 AI 해당 여부까지 이어질 수 있습니다.

ChatGPT는 업무 효율을 높이는 도구이지만, 회사가 관리하지 않으면 보안, 개인정보, 컴플라이언스 리스크가 될 수 있습니다.

AI 기본법, AI 규제, AI 컴플라이언스 관련 내용을 계속 정리해서 올릴 예정입니다.