"이 계약서 요약 좀 해줘" 하고 PDF를 ChatGPT에 통째로 붙여넣은 적 있으세요? 고객 명단을 엑셀째로 올려서 정리시키거나, 사내 보고서를 그대로 던져 윤문을 맡긴 경험도요. 솔직히 너무 편하죠. 그런데 그 자료가 지금 어디에 저장되고, 누가 볼 수 있고, AI 학습에 쓰이는지 한 번이라도 확인하고 입력하신 분은 많지 않을 거예요.
결론부터 말씀드리면, 개인 무료 계정에 회사 기밀이나 고객정보를 넣는 건 위험합니다. 다만 "무조건 쓰지 마세요"가 아니라, 설정 몇 개만 바꾸고 입력 기준만 정하면 훨씬 안전하게 쓸 수 있어요. 이 글은 2026년 6월 기준 OpenAI·Anthropic의 공식 데이터 정책과 한국 개인정보보호법 관점을 근거로, 직장인이 바로 적용할 수 있는 AI 보안 5원칙을 정리했습니다.
내가 입력한 자료, 진짜 어디로 갈까
가장 먼저 알아야 할 사실은 계정 종류에 따라 데이터 처리 방식이 완전히 다르다는 점이에요. 같은 ChatGPT라도 무료 계정인지, 회사가 계약한 Team·Enterprise 계정인지에 따라 학습 사용 여부가 달라집니다.
| 구분 |
학습에 사용? |
보관 정책 |
한 줄 요약 |
| ChatGPT Free·Plus·Pro (개인) |
기본 ON (직접 꺼야 함) |
기록 유지, 학습 데이터셋에 포함 가능 |
위험 — 설정 변경 필수 |
| ChatGPT Team·Enterprise·API |
기본 사용 안 함 |
API는 남용 모니터링용 최대 30일 후 삭제, 상품별 예외 확인 필요 |
학습 측면은 비교적 안전 |
| Claude 개인(Free·Pro·Max) |
사용자가 선택 (허용 시 사용) |
허용하면 최대 5년 / 거부하면 30일 |
선택 상태 확인 필요 |
| Claude for Work·API |
사용 안 함 |
상업용 약관 적용 |
학습 측면은 비교적 안전 |
핵심은 이거예요. 개인 계정은 "내가 막지 않으면 흘러갈 수 있는" 구조이고, 회사가 정식 계약한 업무용 계정은 "기본적으로 학습에는 쓰이지 않는" 구조입니다. 다만 학습 제외와 법적 보존 명령 제외는 같은 말이 아니에요. 그래서 같은 자료라도 어느 계정에 넣느냐가 안전의 큰 부분을 결정하지만, 민감정보는 여전히 입력 기준을 따로 세워야 합니다.
원칙 1. 개인 ChatGPT는 '학습 사용'부터 꺼라
OpenAI 공식 안내에 따르면, ChatGPT Free·Plus·Pro 개인 계정은 기본적으로 대화가 모델 학습에 사용되도록 켜져 있습니다. 사용자가 직접 꺼야 학습에서 제외돼요. 의외로 이 토글을 한 번도 본 적 없는 분이 많습니다.
끄는 방법은 30초면 됩니다.
- ChatGPT 화면 우측 상단 프로필 클릭 → 설정(Settings)
- 데이터 컨트롤(Data Controls) 메뉴 진입
- "모든 사용자를 위한 모델 개선(Improve the model for everyone)" 토글을 OFF
주의할 점이 두 가지 있어요. 첫째, 토글을 꺼도 대화 기록 자체가 삭제되는 건 아닙니다. 학습 데이터셋에서 제외될 뿐, 기록은 계정에 남을 수 있어요. 둘째, 학습을 꺼놨더라도 답변에 '좋아요/싫어요' 피드백 버튼을 누르면 그 대화는 학습에 쓰일 수 있습니다. 민감한 내용을 다룰 때는 피드백 버튼도 누르지 마세요.
이 설정은 기기와 상관없이 계정 전체에 적용되니, 회사 PC와 개인 폰을 따로 만질 필요는 없습니다. (출처: OpenAI Help Center, 2026년 6월 확인)
원칙 2. Claude도 '학습 허용' 여부를 확인하라
Claude를 쓰신다면 한 번 더 점검이 필요해요. Anthropic은 2025년 8월 28일 소비자 약관을 변경하면서, 개인(Free·Pro·Max) 사용자의 채팅과 코딩 세션을 모델 학습에 사용할 수 있도록 정책을 바꿨습니다. 사용자가 가입·접속 시 허용/거부를 선택하게 했고, 기존 사용자 선택 기한은 2025년 10월 8일이었어요.
여기서 중요한 차이가 있습니다.
- 학습을 '허용'했다면 → 데이터 보관 기간이 최대 5년으로 늘어납니다.
- 학습을 '거부'했다면 → 기존처럼 30일 보관 후 삭제됩니다.
만약 그동안 별생각 없이 "허용"을 눌렀거나 기억이 안 난다면, Claude의 개인정보 설정(Privacy Settings)에서 지금 바로 거부로 바꿀 수 있어요. 언제든 변경 가능합니다. 단, 이미 학습에 들어간 데이터는 되돌릴 수 없으니, 그동안 회사 자료를 많이 넣었다면 앞으로의 입력 기준을 다시 세우는 게 맞습니다.
참고로 이 변경은 상업용 약관이 적용되는 Claude for Work·Government·Education·API에는 적용되지 않습니다. 즉 회사가 계약한 업무용 Claude는 원칙적으로 학습에 쓰이지 않아요. (출처: Anthropic 공식 발표, 2026년 6월 확인)
원칙 3. '삭제하면 끝'이라는 착각을 버려라
가장 많이 하는 오해가 "찜찜하면 대화 삭제하면 되지"입니다. 그런데 삭제가 항상 영구 삭제를 보장하지는 않아요.
실제 사례를 보면 명확합니다. 2025년 5월, 미국 법원은 뉴욕타임스(NYT)가 OpenAI를 상대로 낸 저작권 소송 과정에서 OpenAI에 ChatGPT 대화 로그를 표준 삭제 정책과 무관하게 보존하라고 명령했습니다. 이후 약 2,000만 건의 익명화된 로그를 제출하라는 판결로까지 이어졌어요. 사용자가 삭제 버튼을 눌렀어도, 외부 소송이나 법적 명령이 걸리면 데이터가 보존되고 열람될 수 있다는 현실을 보여준 사건입니다.
여기서 꼭 구분해야 할 점이 있어요. 이 보존 명령에서 ChatGPT Enterprise·Edu와 무보관(Zero Data Retention) API 데이터는 제외됐지만, ChatGPT Team은 영향 대상에 포함된 것으로 OpenAI가 설명했습니다. 따라서 "회사 계정이면 모두 법적 보존 명령에서도 안전하다"고 이해하면 안 됩니다. Team 계정은 학습 사용 측면에서는 개인 계정보다 안전하지만, 법적 보존 명령이나 소송 대응 범위에서는 Enterprise·Edu 또는 ZDR API와 다를 수 있어요.
교훈은 분명합니다. "나중에 지우면 되지"라는 전제 자체가 위험합니다. 애초에 남으면 안 되는 정보는 처음부터 입력하지 않는 게 유일하게 확실한 방법이에요.
원칙 4. 입력 금지 데이터를 미리 분류하라
매번 "이건 넣어도 되나?" 고민하면 결국 실수합니다. 그래서 입력 전에 기준을 정해두는 것이 핵심이에요. 아래 분류표를 책상에 붙여두고 쓰시길 권합니다.
| 절대 금지 (개인계정 입력 X) |
조건부 허용 (비식별화 후) |
자유 입력 가능 |
| 고객 이름·연락처·주민번호 |
통계로 가공한 매출 추이 |
공개된 업계 동향 |
| 계약서·견적서 원본 |
익명 처리한 사례 ("A고객사") |
일반 업무 글쓰기 윤문 |
| 임직원 인사·급여 정보 |
회사명을 가린 보고서 초안 |
공개 자료 요약·번역 |
| 미공개 재무·전략 자료 |
숫자를 마스킹한 데이터 |
아이디어 브레인스토밍 |
| 소스코드·API 키·비밀번호 |
구조만 남긴 샘플 데이터 |
공개 매뉴얼 기반 질문 |
판단 기준은 간단합니다. "이 내용이 그대로 외부에 유출돼도 회사에 문제가 없는가?" 한 가지만 자문하세요. 조금이라도 망설여지면 '절대 금지' 칸으로 보내는 게 안전합니다.
특히 한국에서는 개인정보보호위원회가 2025년 8월 「생성형 AI 개발·활용을 위한 개인정보 처리 안내서」를 발간하며 AI 활용 전 과정의 개인정보 보호를 강조했어요. 직원이 업무 중 고객·임직원의 개인정보를 외부 AI에 입력하면, 회사 입장에서는 동의 없는 제3자 제공이나 국외 이전, 위탁 미고지 같은 개인정보보호법 위반 소지가 생길 수 있습니다. 개인의 편의가 회사의 법적 리스크로 번지는 구조라는 점을 기억하세요.
원칙 5. 한 장짜리 사내 가이드라인을 만들어라
조직 차원에서 막으려면 거창한 보안 시스템보다 모두가 지킬 수 있는 한 장짜리 규칙이 더 효과적이에요. 아래 5줄만 정해서 공유해도 상당수 실수를 줄일 수 있습니다.
우리 팀 AI 사용 5줄 규칙 (예시 — 회사 상황에 맞게 수정하세요)
1. 고객정보·계약서·인사자료는 어떤 AI에도 입력하지 않는다.
2. 업무용 자료는 회사가 지정한 계정(Team/Enterprise)에서만 다룬다.
3. 개인 계정을 쓸 땐 '학습 사용' 설정을 반드시 끈다.
4. 회사명·실명·숫자는 가린 뒤(비식별화) 입력한다.
5. 헷갈리면 입력하지 말고 보안 담당자에게 먼저 묻는다.
이 다섯 줄을 신규 입사자 온보딩 문서나 사내 메신저 공지에 넣어두면, "몰라서 그랬다"는 사고를 크게 줄일 수 있어요. 규칙은 짧을수록 지켜집니다.
가능하다면 회사가 Team이나 Enterprise 계정을 도입하는 것이 개인 무료 계정 난립을 줄이는 현실적인 해결책이에요. 업무용 계정은 입력 데이터가 기본적으로 학습에 쓰이지 않고, 관리자가 사용 현황을 통제할 수 있거든요. 다만 법적 보존 명령까지 고려해야 하는 조직이라면 Team과 Enterprise·Edu, ZDR API의 차이를 별도로 확인해야 합니다. 개인이 각자 무료 계정으로 회사 자료를 다루는 상황 자체가 가장 위험한 구조입니다.
자주 묻는 질문 (FAQ)
Q. 학습 사용을 끄면 회사 자료를 마음껏 넣어도 되나요?
아니요. 학습 사용을 꺼도 대화 기록은 서버에 남을 수 있고, 소송 등 외부 요인으로 보존될 수 있습니다(원칙 3 참고). 학습 차단은 최소한의 방어일 뿐, 민감 정보 입력 금지가 더 우선입니다.
Q. 회사명만 가리면 안전한가요?
회사명 외에도 사업 내용·고유한 수치·계약 조건이 함께 있으면 누구 자료인지 추정될 수 있습니다. 식별 가능한 요소를 최대한 제거(비식별화)하고, 그래도 민감하면 입력하지 마세요.
Q. 무료 계정과 회사 Team 계정, 뭐가 그렇게 다른가요?
가장 큰 차이는 학습 사용입니다. 개인 무료·Plus·Pro는 기본 학습 ON이라 직접 꺼야 하고, Team·Enterprise·API는 기본적으로 학습에 사용하지 않습니다. 다만 NYT 소송의 로그 보존 명령 사례에서는 Enterprise·Edu와 ZDR API가 제외됐고, Team은 영향 대상에 포함된 것으로 설명됐습니다. Team은 학습 측면에서는 안전성이 높지만, 법적 보존 리스크까지 모두 제외된다고 보면 안 됩니다.
Q. Claude는 ChatGPT보다 안전한가요?
계정 종류에 달렸습니다. Claude 개인 계정도 2025년 8월 변경 이후 학습 허용 시 최대 5년 보관됩니다. 거부 설정을 해야 30일로 줄어요. 업무용 Claude for Work는 원칙적으로 학습에 쓰이지 않습니다.
오늘 바로 할 3가지
복잡해 보이지만 핵심은 단순합니다. 오늘 퇴근 전에 이 세 가지만 하세요.
- 개인 ChatGPT 설정 > 데이터 컨트롤 > '모델 개선' 토글 OFF. Claude를 쓴다면 개인정보 설정에서 학습 거부 상태를 확인하세요.
- 입력 금지 데이터 분류표(원칙 4)를 캡처해서 책상 옆에 붙이기. 고객정보·계약서·인사자료는 무조건 금지 칸입니다.
- 팀 메신저에 'AI 사용 5줄 규칙(원칙 5)'을 공유하고, 가능하면 회사에 업무용 계정 도입을 건의하기. 법적 보존 리스크까지 중요한 조직이라면 Team과 Enterprise·Edu, ZDR API의 차이도 함께 확인하세요.
AI를 안 쓰는 게 답이 아니라, 안전하게 쓰는 기준을 가진 사람이 결국 가장 잘 쓰는 사람입니다. 오늘 설정 하나 바꾸는 것부터 시작해 보세요.
✍️ 작성자 선정현 · 게시 2026-06-15
댓글
댓글 쓰기