내 회사 데이터, 안전하게 굴리려면? — AI 데이터 기본 5강

01데이터가 새서 회사가 흔들린 한국 사례 3건

김지백 강사에 따르면 데이터 사고는 항상 "설마 우리가?" 하는 회사에서 터집니다. 깨끗한 데이터를 모아두는 것까지는 4강에서 끝났지만, 그 잘 정리된 데이터가 새 나가면 그 자체가 무기가 되어 회사로 돌아옵니다. 다음 3건은 한국에서 실제로 벌어진 일입니다.

① SKT 유심 정보 유출 — 약 2,300만 명 (2025)

2025년 4월 SK텔레콤은 이동통신 가입자 약 2,300만 명의 USIM 식별번호·IMSI·전화번호 등이 외부로 유출됐다고 발표했습니다. 정부 합동조사 결과 BPFDoor 계열 악성코드가 인증 서버에 1년 가까이 숨어 있었음이 확인됐고, 과징금·소송·유심 무상 교체 비용을 합쳐 잠정 손실이 1조 원대로 추정됐습니다. 사장님 신호등: "한 번 새면 회수 불가" — 카드는 정지가 되지만 유출된 개인정보는 영원히 떠돕니다.

② 삼성전자 ChatGPT 소스코드 유출 (2023)

삼성전자 반도체 사업부의 한 직원이 사내 소스코드 디버깅을 위해 ChatGPT에 일부 코드를 그대로 붙여넣었습니다. 3건이 보고됐고, 그 직후 삼성전자는 사내 생성형 AI 사용을 전면 금지했습니다. "직원 한 명의 편의가 회사 핵심 기밀을 외부 학습 데이터로 만든" 전형적 사고로, 이후 한국 대기업의 ChatGPT 사내 정책은 모두 이 사건을 참조해 만들어졌습니다. 방치 비용: AI에 입력된 자료는 회수가 불가능하며, 그 회사가 어떤 작업을 하고 있었는지가 외부 모델 학습 통계에 흔적으로 남습니다.

③ LG유플러스 개인정보 약 30만 건 유출 (2023)

LG유플러스는 2023년 초 약 29만 7천 명의 고객 정보(이름·전화번호·생년월일·주소 등 26개 항목)가 유출됐다고 발표했습니다. 방통위 과징금 약 68억 원이 부과됐고, 유출 원인은 외부 해킹과 내부 시스템 권한 관리 미비가 복합적으로 작용했습니다. 3건의 공통점: 어느 경우에도 "데이터 자체가 잘못된" 사고는 없었습니다. 데이터를 누가, 어디서, 어떻게 다루느냐의 거버넌스가 무너졌을 뿐입니다.

02사장님이 알아야 할 거버넌스 3축 — 저장·공유·보호

거버넌스는 어렵지 않습니다. "이 데이터를 어디에 두고(저장) · 누가 볼 수 있게 하고(공유) · 어떻게 잠글까(보호)" 세 가지 질문만 답하면 끝입니다. 한국 개인정보보호법은 5인 미만 사업장에도 적용되니, 회사 크기와 무관하게 다 해당됩니다.

03사장님이 점심시간 안에 끝내는 거버넌스 5단계

3강이 마트 장보기, 4강이 냉장고 정리였다면, 5강은 금고에 자물쇠 채우기입니다. 한 번에 다 하지 마시고, 오늘은 1단계만 해보세요. 그것만 해도 사고 확률이 절반으로 줄어듭니다.

1단계. 회사 자료 보관 장소 한 줄로 정리

지금 회사의 자료가 어디 어디 흩어져 있는지 종이에 다 적어보세요. 보통 5~10곳이 나옵니다: 사장님 노트북, 경리 외장하드, 영업팀 구글 드라이브, 카카오톡 단톡방 첨부파일, 이메일 첨부, 메신저 공유링크… 5분 미니액션: 그중 "정식 보관소 1곳"을 골라 도장 찍으세요. 나머지는 정리 대상.

2단계. 접근 권한 3단계로 단순화

복잡한 권한 체계는 안 지킵니다. 세 단계면 충분합니다: (A) 사장님·임원만 / (B) 부서장 이상 / (C) 전 직원. 인사·재무·계약서는 A, 영업 데이터는 B, 사내 공지는 C. 그 외에 카테고리를 만들지 마세요. 김지백 룰: 한 칸이라도 헷갈리는 문서가 있으면 권한을 한 단계 올리세요.

3단계. 2FA(이중인증) 사장님부터 켜기

2025년 한국인터넷진흥원(KISA) 자료에 따르면 비밀번호만 쓰는 계정은 2FA 적용 계정 대비 사고 발생률이 약 99% 높았습니다. 비밀번호 한 번 새도 두 번째 잠금장치가 살아 있으니까요. 5분 미니액션: 사장님 본인의 회사 이메일·드라이브·은행 앱에 2FA를 켜세요. 직원 의무화는 그다음입니다.

4단계. 백업 + 삭제 정책 한 페이지로

"매주 금요일 17시, 회사 자료를 클라우드에 자동 백업한다" 한 줄. "퇴직자 자료는 30일 보관 후 삭제, 거래처 자료는 계약 종료 후 1년 보관" 한 줄. 두 줄이면 충분합니다. 도구는 무료입니다 — Google Drive·OneDrive·NAS 어느 것도 됩니다.

5단계. 퇴사 체크리스트 만들기

개인정보 사고 통계에서 가장 큰 비중은 외부 해커가 아니라 퇴사자의 마지막 날 다운로드입니다. 퇴사 D-7부터: 권한 회수 예고 → 자료 인수인계 폴더 지정 → 마지막 날 권한 즉시 차단 → 1주일 내 다운로드 로그 점검. 사장님 신호등: 직원이 "그동안 감사했습니다" 라고 말한 날, 권한은 이미 회수되어 있어야 합니다.

04AI(ChatGPT·Claude)에 절대 넣으면 안 되는 5가지

2023년 삼성 ChatGPT 사건 이후 한국 대기업 절반 이상이 사내 생성형 AI 사용 가이드라인을 발표했습니다. 김지백 강사가 사장님·임원 대상 강의에서 가장 많이 받는 질문이 "그래서 ChatGPT에 뭘 넣으면 안 되나요?"입니다. 답은 다섯 가지로 정리됩니다.

• ① 고객 개인정보 — 이름·전화·주민번호·주소·이메일. 익명화하지 않은 채로 절대 입력 금지. 개인정보보호법 위반 + 손해배상 대상입니다.
• ② 직원 인사 자료 — 연봉표·인사평가·징계 기록. 누군가 한 명이라도 식별 가능하면 위험.
• ③ 거래처 비밀유지(NDA) 자료 — 계약서·견적·기술 사양. NDA에는 "제3자 AI 도구 입력" 조항이 점점 추가되고 있습니다.
• ④ 미공개 재무 디테일 — 분기 매출, 미체결 계약, 투자 협의 내용. 외부 모델 학습 통계에 회사 동향이 흘러갈 위험.
• ⑤ 회사 핵심 소스코드·레시피·운영 노하우 — 삼성 사례 그대로. "디버깅만 하면 끝나는 일"이 회사 경쟁력 유출이 됩니다.

도구 차원의 안전판도 있습니다. (1) ChatGPT·Claude의 학습 거부 옵션(Memory off, Data controls)을 켤 것 · (2) 기업용 요금제(ChatGPT Team/Enterprise, Claude for Work)를 쓰면 입력 데이터가 학습에 안 쓰임 · (3) 사내 자체 호스팅(Claude on AWS Bedrock·Azure OpenAI)을 검토. 비용은 월 4만~25만 원 사이에서 결정됩니다.

05핵심 정리 — 사장님이 오늘 기억할 한 줄

5강을 한 문장으로 압축하면 다음과 같습니다.

오늘 점심시간 안에 1단계(정식 보관소 1곳 정하기)만 해보십시오. 5단계는 5주에 나눠 한 단계씩이면 됩니다. 다음 6강에서는 잘 보관된 데이터를 가지고 AI에게 어떻게 잘 물어보면 더 좋은 답을 얻는지(데이터로 질문하는 법)를 다룹니다. 5강과 6강이 짝입니다 — 안전하게 잠근 뒤에야, 안심하고 꺼내 쓸 수 있습니다.