생성형 AI 도구에 별도의 정책 규칙이 필요한 이유는 무엇입니까?
생성형 도구는 기존 정보를 검색하거나 정리하는 데 그치지 않고 새로운 텍스트, 이미지, 음성 또는 코드를 만들어 내므로, 주된 위험의 초점이 입력 내용에서 출력 내용으로 옮겨갑니다. 검색 도구는 직접 확인할 수 있는 페이지를 반환하지만, 생성형 도구는 지어낸 사실이나 차용한 표현, 편향된 관점이 포함될 수 있는 초안을 확신에 찬 어조로 제시합니다. 정책은 입력과 출력 양쪽을 모두 다뤄야 합니다.
NIST 생성형 AI 프로파일은 생성형 AI에 고유하거나 생성형 AI로 인해 심해지는 위험을 열두 가지 제시합니다. 일반적인 소규모 기업에서는 이 중 다섯 가지가 정책의 핵심을 이룹니다. 환각은 거짓 내용을 확신에 차서 제시하는 것이고, 데이터 프라이버시 위험은 정보 유출이나 무단 공개이며, 지식재산 위험은 보호되는 콘텐츠를 복제하거나 영업비밀을 노출하는 것입니다. 정보 무결성 위험은 사실과 의견을 구분하지 않거나 불확실성을 밝히지 않는 콘텐츠를 말합니다. 마지막으로 NIST가 인간과 AI의 구성이라고 부르는 항목에는 자동화 편향과 과도한 의존이 포함됩니다.
이 규칙을 허용되는 사용에 관한 규칙과 같은 문서에 넣을 수 있습니다. 많은 소규모 기업이 그렇게 합니다. 이 페이지는 콘텐츠 관련 조항에 초점을 맞춥니다. 일반적인 정보이며 법률 자문이 아닙니다.
| NIST 프로필의 위험 | 실제 업무에서의 활용 모습 | 해당 사안에 적용되는 정책 조항 |
|---|---|---|
| 허구 생성 | 지어낸 통계 또는 해당 내용이 없는 페이지를 출처로 제시한 인용 | 사용하기 전에 출처를 직접 열어 모든 사실적 주장을 대조하여 확인 |
| 데이터 개인정보 보호 | 개인별 맞춤 메일 초안을 만들기 위해 붙여 넣은 고객의 연락처 목록 | 승인된 계정별로 허용되는 정보 등급 |
| 지식재산권 | 특정 작가의 화풍임을 알아볼 수 있는 이미지 또는 라이선스가 적용된 프로젝트에서 복사한 코드 | 스타일 프롬프트, 재사용 및 라이선스 확인에 관한 규칙 |
| 정보 무결성 | 추측을 사실로 단정하는 요약 | 검토한 초안에서도 불확실성이 드러나도록 합니다 |
| 과도한 의존 | 데이터를 읽지 않고 AI가 생성한 분석을 그대로 받아들이기 | 사람이 직접 내려야 하는 결정 명시 |
직원용 ChatGPT 사용 정책에는 어떤 내용이 있어야 합니까?
직원용 ChatGPT 사용 정책에는 사용할 계정, 프롬프트에 절대 입력해서는 안 되는 정보, 답변 확인 방법, 문의 대상을 명시해야 합니다. 같은 규칙을 Claude, Gemini, Copilot 등 유사한 도우미에도 적용해야 합니다. 이해하기 쉽도록 제목에 특정 제품명을 쓰는 것은 괜찮지만, 팀이 다른 도구를 추가할 때마다 다시 작성할 필요가 없도록 규칙을 정해야 합니다.
가장 중요한 구분은 개인 계정과 회사 계정입니다. 같은 도우미라도 개인용 요금제와 기업용 요금제는 학습, 보관, 관리자 통제에 관한 조건이 다를 수 있습니다. 예를 들어 Microsoft 문서에 따르면 조직에서 사용하는 Copilot Chat에는 데이터 보호 부속약정이 적용되며, 프롬프트와 응답은 기반 모델 학습에 사용되지 않습니다. 통제 기능은 요금제에 따라 다릅니다. 이를 당연하게 여기지 말고, 승인하는 각 도구에 대해 같은 내용의 설명을 확인한 날짜와 함께 기록해야 합니다.
조항 예시: "[도우미]는 [회사] 업무용 계정으로만 사용합니다. 간단한 질문이라도 회사 업무에 개인 계정을 사용하지 않습니다. 개인 계정에는 당사와 제공업체 간의 계약이 적용되지 않기 때문입니다."
직원이 생성형 AI 프롬프트에 절대 입력해서는 안 되는 정보는 무엇입니까?
직원은 비밀번호, 키 또는 기타 비밀 정보를 프롬프트에 절대 입력해서는 안 되며, 기밀 정보, 고객 정보 또는 개인정보는 승인된 업무 절차에서 허용하는 경우에만 입력해야 합니다. 영국 국가 사이버 보안 센터의 지침은 모델 제공 기관이 질의 내용을 볼 수 있다고 설명하며, 공개될 경우 문제가 생길 수 있는 질의는 제출하지 말 것을 권고합니다.
업로드한 파일도 프롬프트로 간주합니다. 차트를 요청하려고 첨부한 스프레드시트에는 질문에 필요하지 않은 열까지 모든 열이 포함됩니다. "업로드하기 전에 필요하지 않은 열을 삭제합니다"라는 정책 조항은 따르기 쉽고 흔히 발생하는 사고를 예방합니다.
예시 조항: "붙여넣거나 업로드하기 전에 과제에 필요하지 않은 내용을 모두 삭제해야 합니다. 비밀 정보는 절대 포함해서는 안 됩니다. 등록부에서 해당 도구와 과제의 사용을 승인한 경우가 아니라면 고객 정보나 개인정보를 포함해서는 안 됩니다. 확신이 서지 않으면 먼저 [책임자]에게 문의해야 합니다."
생성된 콘텐츠는 사용 전에 어떻게 검토해야 합니까?
생성된 콘텐츠는 용도에 맞는 수준으로 검토해야 합니다. 개인적인 아이디어 구상은 간단히 훑어보면 되지만, 고객에게 전달할 결과물은 모든 주장의 근거를 추적해야 하며, 법률·재무·안전 관련 내용은 자격을 갖춘 검토자가 확인해야 합니다. 정책에는 결과물 유형별 검토 책임자를 명시해야 하며, 대개 이를 발송하거나 게시할 사람이 맡습니다.
가상의 15명 규모 채용 컨설팅 회사 펜윅 탤런트의 적용 사례입니다. 컨설턴트가 다음과 같이 요청합니다. "재무 이사를 대상으로 리즈 지역의 관리회계사 채용에 관한 150단어 분량의 시장 동향을 작성합니다." 초안은 올해 수요가 급증했고 급여가 특정 비율만큼 올랐다고 말하며, 이름이 명시된 급여 조사 자료를 인용합니다. 컨설턴트는 해당 조사 자료도 수치도 찾을 수 없습니다.
미흡한 결과물을 그대로 둔 경우: "[조사]에 따르면 올해 리즈의 관리회계사 수요가 급증했으며, 급여는 [수치]만큼 올랐습니다." 검토 후 문안: "이번 분기에 채용을 지원한 직무 전반에서 재무 책임자들이 가장 자주 물은 내용은 퇴사 사전 통보 기간과 혼합 근무 조건이었습니다. 채용 제안 단계에서 기존 고용주가 잔류 조건을 제시하는 사례가 늘고 있습니다." 검토 후 문안은 펜윅이 직접 관찰한 내용만 사용합니다. 이 수정의 근거가 된 정책 조항: "직접 열어 확인할 수 없는 통계, 조사, 결과는 모두 삭제합니다."
이 내용이 직무와 어떻게 연결되는지 궁금하십니까?
제공 예정인 팀 체험 프로그램 살펴보기 ↗직원이 콘텐츠가 AI로 생성되었다는 사실을 밝혀야 하는 경우는 언제입니까?
최소한 직원은 초안의 상당 부분이 AI로 생성된 경우 검토자에게 이를 알려야 하며, 공개를 요구하는 고객 계약, 플랫폼 규정 또는 게시 규정을 따라야 합니다. 그 외의 공개 여부는 독자와 맥락에 따라 회사가 선택할 사항입니다.
공개된 사례는 다양합니다. May 2023에 발표된 보스턴시의 직원용 임시 지침은 직원에게 AI 사용 여부와 사용한 모델을 밝히도록 요청하며, "이 설명은 ChatGPT 3.5로 생성하고 담당 직원이 편집했습니다"와 같은 출처 문구를 제안합니다. 공공기관에는 적합한 방식입니다. 소규모 대행사는 일반적인 문안의 경우 검토자에게 내부적으로 알리는 것으로 충분하다고 판단하고, 생성된 이미지나 합성 음성에만 외부 표시를 할 수 있습니다.
조항 예시: "초안의 상당 부분을 AI가 작성한 경우 검토자에게 알립니다. 고객에게 공개되는 AI 생성 이미지, 오디오 또는 동영상에는 [표시 문구]를 표시합니다. AI 사용에 관한 고객의 지침이 있으면 따르며, 해당 지침은 이 조항보다 우선합니다."
생성형 AI 정책에서 저작권과 이미지를 어떻게 다뤄야 합니까?
정책은 직원이 보호받는 저작물을 의도적으로 복제하지 못하도록 하고, 생성된 코드나 자료를 재사용하기 전에 이용허락 조건을 확인하도록 하며, 동의 없이 실존 인물의 이미지나 음성을 생성하는 행위를 금지해야 합니다. NIST의 위험 프로파일은 저작권·상표권으로 보호되거나 이용허락을 받아야 하는 콘텐츠를 더 쉽게 복제할 수 있다는 점과 영업비밀이 더 쉽게 노출될 수 있다는 점을 생성형 AI 위험으로 제시합니다.
AI 생성물에 관한 저작권법은 국가마다 다르고 아직 발전 중이므로, 회사가 모든 생성 결과물을 소유하거나 등록할 수 있다고 정책에서 약속해서는 안 됩니다. 불확실성을 회사가 어떻게 처리하는지 명시해야 합니다. 예를 들어 생성 이미지는 내부 시안에 자유롭게 사용하되, 고객 캠페인에 사용할 때는 먼저 도구의 이용 허가 조건과 고객의 지침을 확인하도록 합니다.
조항 예시: "이름을 지정한 생존 예술가나 브랜드의 스타일로 콘텐츠를 만들라는 프롬프트를 입력하거나, 저작권으로 보호되는 텍스트를 복제해 달라고 도구에 요청하지 않습니다. 실제 인물의 서면 동의 없이 그 인물의 이미지, 오디오 또는 동영상을 만들지 않습니다. 생성한 자료를 고객 업무에 사용하기 전에 도구의 상업적 이용 약관을 확인합니다." 해당 관할권에서 어떻게 적용되는지는 전문가의 조언을 받으시기 바랍니다.
어떤 결정은 사람이 직접 내려야 합니까?
채용, 급여, 성과, 신용, 민원, 보건이나 안전과 관련된 사안처럼 누군가에게 중대한 영향을 미치는 결정은 기초 자료를 검토하는 지정 담당자가 내려야 합니다. 생성형 도구는 이런 결정을 위한 초안 작성, 구조화, 요약을 도울 수 있지만, 결정을 내려서는 안 됩니다.
NIST의 프로필은 자동화 편향과 과도한 의존을 인간과 AI의 상호작용 구성에 따른 위험의 일부로 설명합니다. 정책에서는 간단한 검증 기준으로 이에 대응합니다. 결정을 내리는 사람은 도구가 한 말을 인용하지 않고도 그 결정을 설명할 수 있어야 합니다. 개인정보가 관련된 경우, AI 및 데이터 보호에 관한 ICO의 지침이 영국의 공식 참고 자료입니다. 현재 해당 페이지에는 데이터(이용 및 접근)법에 따라 지침을 검토 중이라고 명시되어 있습니다.
생성형 AI 정책이 적절한 수단이 아닌 경우는 언제입니까?
제품에 생성형 기능을 넣거나, 고객 데이터로 모델을 미세 조정하거나, 회사를 대신해 일반 대중과 대화하는 챗봇을 배포한다면 직원용 생성형 AI 정책만으로는 충분하지 않습니다. 이런 경우에는 직원 대상 규칙을 훨씬 넘어서는 제품, 보안, 법률 검토가 필요합니다.
또한 실습을 대신할 수도 없습니다. 초안에 지어낸 수치가 포함될 수 있다는 사실을 아는 것과 마감에 쫓기는 상황에서 그런 수치를 찾아내는 것은 다릅니다. Tosheo.ai는 이러한 실습 단계를 위해 개발 중입니다. 계획된 직무별 학습 과정에서는 매 수업이 실제 AI 도구를 사용하는 실습 과제로 끝나며, 공개된 채점 기준에 따라 평가됩니다. Tosheo.ai는 귀사의 정책을 작성하거나 집행하지 않습니다.
출처와 범위
NIST, 생성형 AI 프로필 (NIST AI 600-1), July 2024 ↗
NCSC, ChatGPT와 대규모 언어 모델: 어떤 위험이 있는가?, 14 March 2023 ↗
Microsoft Learn, Microsoft Copilot 및 Copilot Chat의 기업 데이터 보호, 16 October 2026 확인 ↗