생성형 AI 개발과 활용을 위한 개인정보 처리 기준 쉽게 보기

생성형 AI를 회사 업무에 붙이기 시작하면 가장 먼저 나오는 질문이 있습니다.

“우리 서비스가 개인정보를 처리하는 걸까?”

ChatGPT 같은 도구를 단순히 업무 보조로 쓰는 경우도 있고, 고객 상담 내용을 요약하거나, 내부 문서를 검색하게 하거나, 자체 AI 기능을 서비스에 넣는 경우도 있는데요. 이때 프롬프트, 첨부파일, 학습 데이터, 로그 안에 개인정보가 들어가면 단순한 AI 도입 문제가 아니라 개인정보 처리 문제가 됩니다.

개인정보보호위원회는 2025년 8월 「생성형 인공지능(AI) 개발, 활용을 위한 개인정보 처리 안내서」를 통해 생성형 AI를 개발하거나 활용할 때 사업자가 어떤 흐름으로 개인정보 리스크를 봐야 하는지 정리했습니다. 오늘은 이 내용을 사업자 관점에서 쉽게 풀어볼게요.

먼저 “개인정보가 들어가는지”부터 봐야

생성형 AI에서 개인정보는 생각보다 쉽게 들어갑니다.

고객 이름, 연락처, 상담 내용, 계약서, 이력서, 진료 기록, 민원 내용, 결제 내역, 업무 로그, 첨부파일 안의 식별 정보까지 모두 문제가 될 수 있어요.

특히 실무에서는 “우리는 AI 모델을 직접 만드는 게 아니라 API만 쓰니까 괜찮지 않나?”라고 생각하는 경우가 많은데요. API를 쓰더라도 회사가 고객 데이터를 넣고, 결과를 받아 서비스에 활용한다면 개인정보 처리 흐름을 확인해야 합니다.

즉 핵심은 “모델을 직접 만들었는가”보다 AI를 통해 어떤 데이터가 들어가고, 어디로 전달되고, 얼마나 보관되고, 누가 접근하는가입니다.

목적 설정 단계: 왜 AI에 개인정보가 필요한지 설명할 수 있어야

안내서에서 가장 먼저 보는 단계는 목적 설정입니다.

생성형 AI를 왜 쓰는지, 그 목적을 위해 개인정보가 꼭 필요한지, 개인정보 없이도 같은 목적을 달성할 수 있는지를 먼저 따져봐야 해요.

예를 들어 고객 상담 요약 AI를 만든다고 해볼게요. 이때 고객 이름과 전화번호까지 AI에 넣어야 상담 요약이 가능한지, 아니면 상담 내용만 비식별 처리해서 넣어도 되는지 확인해야 합니다.

개인정보 처리에서는 “있으면 편하다”가 기준이 되기 어렵습니다. 목적에 필요한 범위 안에서 최소한으로 처리하는 것이 기본이에요.

전략 수립 단계: 처음부터 개인정보를 덜 쓰는 구조를 고민해야

두 번째는 전략 수립입니다.

이 단계에서는 AI 개발 방식과 활용 방식을 정하면서 개인정보 리스크를 줄이는 방법을 설계해야 해요.

예를 들면 이런 선택지가 있습니다.

개인정보를 아예 넣지 않는 방식

이름, 연락처 등 식별 정보를 마스킹하는 방식

가명처리된 데이터를 쓰는 방식

민감정보는 입력 단계에서 차단하는 방식

로그 보관 기간을 짧게 설정하는 방식

외부 AI API로 전송되는 데이터를 제한하는 방식

중요한 건 나중에 문제가 생긴 뒤 수정하는 게 아니라, 처음 설계 단계에서 개인정보가 덜 흐르도록 만드는 것입니다.

학습, 개발 단계: 학습 데이터와 프롬프트를 같이 봐야

생성형 AI에서는 “학습 데이터”만 중요한 게 아닙니다.

서비스 운영 중 이용자가 입력하는 프롬프트, 업로드하는 파일, RAG 검색에 쓰는 문서,

테스트 데이터, 로그 데이터도 개인정보 이슈가 될 수 있어요.

특히 자체 모델을 만들거나 오픈소스 LLM을 미세조정하는 경우에는 학습 데이터 안에 개인정보가 섞여 있는지 더 주의해야 합니다.

공개 데이터라고 해서 항상 자유롭게 쓸 수 있는 것도 아니에요. 공개된 웹페이지, 게시글, 문서 안에도 개인정보가 포함될 수 있습니다.

그래서 개발 단계에서는 데이터 출처, 처리 근거, 개인정보 포함 여부, 마스킹 여부, 접근 권한을 함께 기록해야 합니다.

적용, 관리 단계: 출시 후에도 계속 관리해야

AI 기능은 출시했다고 끝나는 게 아닙니다.

운영 중에는 이용자 입력값이 계속 쌓이고, 로그가 남고, 모델이나 API 제공사가 바뀔 수 있고, 기능 업데이트로 처리 범위가 달라질 수 있어요.

예를 들어 처음에는 단순 요약 기능이었는데, 나중에 고객 맞춤 추천 기능이 추가되면 개인정보 처리 목적과 범위가 달라질 수 있습니다. 이 경우 기존 검토 내용을 그대로 두면 안 됩니다.

생성형 AI 서비스는 기능 변경, 모델 변경, 데이터 변경이 생길 때마다 개인정보 처리 기준도 같이 다시 봐야 합니다.

이용자에게 무엇을 알려야 할지도 중요

개인정보 처리에서 투명성은 매우 중요한 원칙입니다.

이용자는 자신의 정보가 AI에 들어가는지, 어떤 목적으로 활용되는지,

외부 서비스로 전송되는지, 결과가 자동 생성되는지 알 수 있어야 해요.

물론 모든 기술 구조를 길게 설명하라는 뜻은 아닙니다.

하지만 적어도 이용자가 합리적으로 이해할 수 있도록 AI 사용 사실, 개인정보 처리 목적, 보관 기간, 제3자 제공 또는 위탁 여부, 권리 행사 방법은 정리되어 있어야 합니다.

이 부분은 단순히 법무 문구만의 문제가 아니라 실제 서비스 UX와도 연결됩니다.

고지 문구가 너무 늦게 나오거나, 너무 작게 숨겨져 있거나, 사용자가 보기 어려운 위치에 있으면 실무적으로 리스크가 커질 수 있어요.

내부 거버넌스가 없으면 관리가 금방 무너져

안내서에서 말하는 마지막 흐름은 AI 프라이버시 거버넌스입니다.

쉽게 말하면 회사 안에서 AI와 개인정보를 누가, 어떤 기준으로, 어떻게 관리할지 정하는 거예요.

실무에서는 이게 생각보다 어렵습니다. 개발팀은 기능 구현을 보고, 법무팀은 약관과 정책을 보고, 보안팀은 접근 통제를 보고, 사업팀은 고객 요구사항을 보는데요. 이 정보가 따로 흩어지면 “우리 회사가 어떤 AI에 어떤 개인정보를 쓰는지”조차 파악하기 어려워집니다.

그래서 최소한 아래 항목은 내부적으로 관리해야 합니다.

운영 중인 AI 기능 목록

각 AI 기능의 개인정보 처리 여부

입력 데이터와 출력 데이터의 종류

외부 API 또는 모델 제공사 사용 여부

로그 보관 기간

접근 권한

고지 문구와 개인정보 처리방침 반영 여부

변경 이력과 검토 기록

사업자가 바로 확인해야 할 체크리스트

생성형 AI를 개발하거나 활용하고 있다면 아래 질문부터 확인해보면 좋아요.

AI에 개인정보가 입력되나요?

개인정보 없이도 같은 목적을 달성할 수 있나요?

입력 데이터에서 이름, 연락처, 민감정보를 제거하거나 마스킹하나요?

외부 AI API로 전송되는 데이터가 있나요?

프롬프트와 응답 로그를 얼마나 보관하나요?

이용자에게 AI 사용 사실과 개인정보 처리 내용을 알리고 있나요?

AI 기능 변경 시 개인정보 검토도 다시 하나요?

내부에서 AI 기능 목록과 처리 현황을 관리하고 있나요?

문제가 생겼을 때 대응 절차가 있나요?

검토 기록과 증빙 문서를 남기고 있나요?

이 중 몇 개라도 답하기 어렵다면, 아직 개인정보 처리 기준이 회사 안에 제대로 정리되지 않았을 가능성이 큽니다.

정리하면

생성형 AI 개인정보 처리는 “AI를 쓰지 말자”는 이야기가 아닙니다.

오히려 AI를 제대로 쓰기 위해서는 무슨 데이터를 넣고, 왜 넣고, 어디로 보내고, 얼마나 보관하고, 누가 책임지는지를 정리해야 한다는 뜻에 가깝습니다.

특히 AI 기능이 서비스 안에 들어가기 시작하면, 개인정보보호법과 AI 규제는 따로 움직이지 않습니다. AI 기능 목록, 데이터 흐름, 고지 문구, 안전조치, 증빙 문서가 함께 관리되어야 해요.

Kompli도 바로 이런 문제의식에서 출발했습니다. 회사가 운영 중인 AI를 먼저 파악하고, 개인정보와 규제 리스크를 함께 점검하고, 나중에 고객사나 내부 감사에서 요구받을 수 있는 자료를 남길 수 있도록 돕는 방향을 보고 있습니다.

함께 보면 좋은 글

생성형 AI를 쓰는 회사도 AI 기본법 대상일까?

AI 서비스 출시 후 규제 대응을 하려면 늦는 이유

대부분의 회사는 자기들이 어떤 AI를 쓰는지도 모른다