고객 문의 100건을 정리해야 합니다. AI에 붙여 넣으면 10분이면 끝납니다. 그런데 그 문의에는 이름과 전화번호와 주문번호가 섞여 있습니다. 넣어도 될까요.

이 질문에 "안 됩니다"라고만 답하는 조언은 실무를 멈추게 하고, "괜찮아요"라고 답하는 조언은 나중에 사고를 만듭니다. 실제 기준은 그 사이에 있고, 다행히 꽤 명확합니다.

개인정보보호위원회는 생성형 AI 개발·활용을 위한 개인정보 처리 안내서를 통해 AI 수명주기 단계별로 개인정보를 어떻게 다뤄야 하는지 제시하고 있습니다. 여기서는 그 기준을 비개발자 실무자가 판단할 수 있는 형태로 옮깁니다.

이 글은 일반적인 실무 안내이며 개별 사안의 법률 자문이 아닙니다. 규모가 크거나 민감정보가 포함된 처리는 반드시 개인정보 담당자·법무 검토를 거치세요.

먼저 정리할 두 가지 축

대부분의 혼란은 서로 다른 두 질문을 하나로 섞어서 생깁니다.

  1. 무엇을 넣는가 — 개인을 알아볼 수 있는 정보인가, 아닌가.
  2. 어디에 넣는가 — 입력한 내용이 학습에 쓰이는 서비스인가, 아닌가.

이 두 축을 교차하면 실무 판단은 네 칸으로 정리됩니다.

flowchart TD
  S([입력하려는 자료]) --> Q1{개인을 알아볼 수
있는 정보인가?}
  Q1 -- 아니오 --> OK1([그대로 사용 가능])
  Q1 -- 예 --> Q2{학습에 쓰이지 않는
환경인가?}
  Q2 -- 아니오 --> NO([입력 금지
먼저 가림 처리])
  Q2 -- 예 --> Q3{그 목적으로 수집한
정보인가?}
  Q3 -- 아니오 --> NO2([목적 외 이용
별도 근거 필요])
  Q3 -- 예 --> OK2([안전조치 후 사용])

1. '개인을 알아볼 수 있는가'가 핵심

이름·연락처·주소·주문번호처럼 특정 개인을 지목할 수 있으면 개인정보입니다. 여기서 실무자가 자주 놓치는 건 조합입니다. 이름을 지웠어도 "○○동 거주, 3월 12일 주문, 회원등급 VIP"가 남아 있으면 사실상 한 사람이 특정될 수 있습니다.

반대로 "배송이 늦어 불만"이라는 문의 내용 자체는 개인정보가 아닙니다. 내용과 식별자를 분리할 수 있다면 대부분의 업무는 그대로 진행됩니다. 실무에서 필요한 건 금지가 아니라 이 분리 습관입니다.

가림 처리(가명처리)의 최소 실무

  • 이름 → 고객A, 고객B로 치환. 원본 대응표는 AI에 넣지 않고 별도 보관합니다.
  • 연락처·주소·주문번호 → 삭제하거나 [연락처]처럼 자리표시자로 대체.
  • 날짜 → 필요 없으면 지우고, 필요하면 월 단위로 뭉갭니다.
  • 희귀한 조건(특이 직업, 소수 지역) → 범주를 넓힙니다("△△업계 종사").

이 네 가지만 해도 문의 분석·유형 분류·응대 문구 개선 같은 대부분의 업무가 가능해집니다.

2. 학습에 쓰이는 서비스인가

같은 자료라도 어디에 넣느냐에 따라 위험이 완전히 달라집니다. 무료 요금제는 입력 내용이 모델 개선에 활용되는 것이 기본값인 경우가 많고, 기업용·유료 요금제에서 이 활용을 끌 수 있는 구조가 일반적입니다.

안내서는 이용자 관점에서도 이 부분을 명확히 하도록 요구하는 방향입니다. 입력 정보가 학습에 활용되는지, 거부(옵트아웃) 절차는 무엇인지, 부적절한 답변에 어떻게 이의를 제기하는지를 처리방침에 담도록 기준이 강화됐습니다.

실무 확인 순서: 설정에서 학습 활용을 껐는가 → 대화 기록 보관 기간은 얼마인가 → 삭제하면 서버에서도 지워지는가 → 데이터가 어느 나라에 저장되는가. 마지막 항목은 국외 이전 고지 이슈로 이어지므로 특히 중요합니다.

3. 원래 그 목적으로 받은 정보인가

가장 자주 간과되는 축입니다. 배송을 위해 받은 주소를 마케팅 분석에 쓰면, AI를 안 쓰더라도 목적 외 이용입니다. AI는 이 문제를 만들지 않고 드러낼 뿐입니다.

실무적으로는 이렇게 접근합니다. 지금 하려는 분석이 고객에게 설명했을 때 놀랄 만한 일인가를 자문해 보세요. 놀랄 것 같다면 근거가 필요한 처리입니다.

4. 지금 바로 정해두면 좋은 사내 규칙 5줄

긴 지침보다 짧은 규칙이 실제로 지켜집니다.

  1. 고객 이름·연락처·주소·주문번호는 어떤 AI에도 그대로 넣지 않는다.
  2. 넣기 전 가림 처리를 하고, 대응표는 AI 밖에 둔다.
  3. 회사가 승인한 서비스의 학습 활용은 꺼둔 상태로만 쓴다.
  4. 계약서·인사기록·미공개 재무자료는 가림 처리해도 넣지 않는다.
  5. 실수로 넣었다면 숨기지 말고 30분 안에 담당자에게 알린다.

다섯 번째가 특히 중요합니다. 사고 자체보다 숨겨진 사고가 훨씬 큰 문제가 됩니다.

5. 실수로 넣었을 때

당황해서 대화만 지우는 것이 가장 흔한 대응인데, 순서가 틀렸습니다.

  1. 기록부터 남깁니다. 무엇을, 언제, 어느 서비스에, 몇 명분을 넣었는지. 지우고 나면 이걸 복원할 수 없습니다.
  2. 해당 서비스의 학습 활용 설정을 확인하고, 켜져 있었다면 그 사실을 기록합니다.
  3. 대화·업로드 파일을 삭제하고, 서버 보관 정책을 확인합니다.
  4. 담당자에게 보고합니다. 규모와 항목에 따라 통지·신고 의무가 생길 수 있습니다.

정리

AI 개인정보 문제는 "AI를 쓰지 말라"로 해결되지 않습니다. 실제로 필요한 건 세 가지 질문을 습관으로 만드는 것입니다. 개인을 알아볼 수 있는가, 학습에 쓰이는가, 원래 그 목적으로 받은 정보인가. 이 세 개를 통과하면 대부분의 업무는 안전하게 진행할 수 있고, 통과하지 못하면 가림 처리라는 값싼 해법이 먼저 있습니다.