짧게 답하면, 쓸 수 있습니다. 다만 어떤 요금제로, 어떤 정보를, 어떤 계약 아래에서 넣는지를 먼저 정해야 합니다. 같은 ChatGPT라도 개인용 요금제와 업무용 요금제는 학습과 보관 방식이 다르고, 입력하는 정보가 개인정보나 직무상 비밀이라면 법적 의무도 함께 따라옵니다.
이 글은 소규모 법률사무소, 의원, 컨설팅 회사처럼 별도 보안팀이 없는 조직을 위해 생성형 AI를 쓰기 전에 확인할 점을 정리한 것입니다. 법률 자문이 아니며, 구체적인 판단은 각 조직의 상황에 맞게 검토하시기 바랍니다.
왜 많은 회사가 처음에는 사용을 막았을까
2023년 3월, 삼성전자 반도체(DS) 부문에서 직원들이 소스코드 오류 확인과 회의 내용 요약을 위해 ChatGPT에 사내 정보를 입력한 사례가 보도되었습니다. 이후 2023년 5월, 삼성전자 일부 부문은 사내 PC에서 생성형 AI 사용을 일시적으로 제한했습니다. 당시 이유로 알려진 것은 외부 서버에 전송된 데이터는 회수와 삭제가 어렵다는 점이었습니다.
이 사례가 보여 주는 것은 "AI가 위험하다"가 아니라 입력한 내용이 어디로 가고 얼마나 남는지 모른 채 쓰면 통제가 어렵다는 점입니다. 지금은 업무용 요금제와 계약 조건이 다양해졌기 때문에, 금지보다 기준을 정해 쓰는 쪽이 현실적입니다.
체크리스트 1: 입력한 내용이 학습에 쓰이는가
개인용 요금제는 기본적으로 대화가 모델 개선에 쓰이도록 설정된 경우가 많습니다.
- 개인용(ChatGPT Free·Plus·Pro, Claude Free·Pro·Max, 개인 Google 계정의 제미나이): 학습 끄기 설정을 직접 확인해야 합니다. 설정 방법은 "제미나이·ChatGPT·클로드 학습 끄기 설정법"에 단계별로 정리했습니다.
- 업무용(ChatGPT Business·Enterprise, Claude Team·Enterprise, Google Workspace): 기본적으로 학습에 쓰이지 않습니다.
직원이 개인 계정으로 업무 자료를 넣는 이른바 "섀도우 AI"도 같은 문제입니다. 관련 내용은 "섀도우 AI: 직원들이 몰래 ChatGPT를 사용할 때"를 참고하세요.
체크리스트 2: 학습을 꺼도 얼마나 보관되는가
학습을 끄는 것과 보관하지 않는 것은 다릅니다. 2026년 11월 기준 각 사의 안내에 따르면 다음과 같습니다.
| 서비스(개인용) | 학습을 끈 뒤의 보관 |
|---|---|
| 제미나이 | 최대 72시간, 사람이 검토한 대화는 최대 3년 |
| ChatGPT | 기록에 남음, 임시 채팅은 30일 보관 후 삭제 |
| 클로드 | 30일 |
보관되는 동안에는 오남용 감시를 위해 확인되거나 법적 절차의 대상이 될 수 있습니다. 보관 자체를 없애는 방식이 "제로 데이터 보존(ZDR)"입니다.
체크리스트 3: 데이터가 어느 나라에서 처리되는가
개인정보 보호법 제28조의8은 개인정보를 국외로 제공, 처리위탁, 보관하는 것을 원칙적으로 제한하고, 정보주체의 별도 동의나 처리위탁 사실의 공개 등 법이 정한 사유가 있을 때 이전을 허용합니다. 해외 AI 서비스에 고객이나 환자의 개인정보를 입력하는 경우 이 규정과의 관계를 검토해야 한다는 해석이 실무에서 많이 제시됩니다.
확인할 것:
- 서비스가 어느 국가, 어느 리전에서 데이터를 처리하는가
- 개인정보 처리방침에 이전 국가와 받는 자가 명시되어 있는가
- 우리 조직의 처리방침에도 이를 반영해야 하는가
체크리스트 4: 계약서(DPA)가 있는가
개인정보를 다룬다면 이용약관만으로는 부족한 경우가 많습니다. 처리 목적, 보관 기간, 재위탁, 보안 조치를 정한 데이터 처리 계약(DPA) 또는 처리위탁 계약이 있는지 확인하세요. 개인용 요금제는 보통 이런 계약을 별도로 체결하지 않습니다.
체크리스트 5: 무엇을 입력하지 않을지 정했는가
가장 효과가 큰 조치는 입력 규칙입니다.
- 주민등록번호, 계좌번호, 건강정보 같은 민감한 정보는 입력하지 않습니다.
- 의뢰인이나 환자의 이름은 가명이나 일반화된 표현으로 바꿉니다.
- 소송 전략, 미공개 실적, 인수합병 정보처럼 고도의 비밀은 별도로 판단합니다.
- 결과물은 사람이 검토한 뒤 사용합니다.
참고할 공식 자료
개인정보보호위원회 "생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서"(2025년 8월). 생성형 AI의 생애주기를 단계별로 나누어 각 단계에서 확인할 최소한의 보호조치를 제시합니다. ChatGPT 같은 상용 모델을 활용해 서비스를 만드는 기업도 대상에 포함되며, 개인정보 보호책임자(CPO) 중심의 관리 체계를 강조합니다.
변호사의 비밀유지 의무. 변호사법 제26조는 변호사가 직무상 알게 된 비밀을 누설해서는 안 된다고 정합니다. 2026년 11월 보도에 따르면 대한변호사협회는 생성형 AI 활용 기준을 담은 가이드라인 제정을 준비하고 있으며, 초안에는 의뢰인 정보를 입력할 때 익명화·가명화를 고려하라는 내용이 담긴 것으로 알려졌습니다.
의료인의 정보 누설 금지. 의료법 제19조는 의료인과 의료기관 종사자가 업무상 알게 된 다른 사람의 정보를 누설하지 못하도록 정합니다. 문헌 검색이나 일반적인 질문에는 환자를 식별할 수 있는 정보가 필요하지 않으므로, 질문을 일반화해 입력하는 습관이 도움이 됩니다.
소규모 팀이 바로 쓸 수 있는 운영 기준
- 업무에는 학습이 기본으로 꺼진 업무용 요금제 또는 계약으로 보관 조건이 정해진 서비스를 씁니다.
- 개인 계정으로 업무 자료를 넣지 않도록 안내합니다.
- 입력 금지 정보 목록을 한 장으로 만들어 공유합니다.
- 서비스의 처리 국가와 DPA 유무를 기록해 둡니다.
- AI 결과물은 사람이 확인하고, 중요한 문서는 출처를 직접 엽니다.
Wysor의 경우
Wysor는 개인정보를 중시하는 전문가와 소규모 팀을 위한 AI 워크스페이스입니다.
- 제로 데이터 보존: Claude, GPT, Gemini, Grok, Mistral, Perplexity, 오픈소스 모델 제공업체와 제로 데이터 보존으로 연결되어, 입력이 제공업체에 보관되지 않습니다.
- 학습에 사용하지 않음: 입력한 내용은 모델 학습에 쓰이지 않습니다.
- EU 호스팅: AWS 프랑크푸르트 리전에서 운영합니다.
- DPA 포함: 무료 플랜을 포함한 모든 요금제에 데이터 처리 계약이 포함됩니다.
- 업무 도구: 문서 작성, 번역, 내 파일과의 채팅, Gmail·Outlook·IMAP 이메일 지원, 의학 논문과 법률 자료 검색을 한곳에서 쓸 수 있습니다.
무료 플랜이 있고, Plus는 월 19.99유로, Premium은 사용자당 월 29.99유로입니다. 어떤 정보를 입력할지는 각 조직의 방침에 따라 정하시면 됩니다.
자주 묻는 질문
회사에서 개인 ChatGPT 계정을 써도 되나요?
회사 규정에 따라 다르지만, 개인 계정은 학습 설정과 보관 기간을 회사가 관리할 수 없다는 점을 고려해야 합니다. 업무 자료를 다룬다면 업무용 요금제나 계약 조건이 정해진 서비스를 쓰는 편이 관리하기 쉽습니다.
학습만 끄면 보안 문제는 해결되나요?
학습 끄기는 앞으로의 모델 개선에 쓰이는 것을 막을 뿐, 서버 보관을 막지는 않습니다. 보관 기간, 처리 국가, 계약 여부를 함께 확인해야 합니다.
변호사나 의사가 생성형 AI를 써도 되나요?
직무상 비밀과 환자 정보를 다루는 만큼 신중해야 하지만, 쓸 수 없는 것은 아닙니다. 식별 정보를 빼고 입력하는 원칙을 세우고, 학습과 보관 조건이 명확한 서비스를 고르는 것이 출발점입니다. 변호사와 의료인을 위한 활용 방법은 "변호사를 위한 Wysor"와 "의사를 위한 AI"에서 볼 수 있습니다.
