상세페이지 문구를 다듬을 때, 진상 고객 문의에 답장을 쓸 때, 견적서 초안을 잡을 때. AI에 일을 시키는 순간에는 대개 남의 정보가 같이 딸려 들어간다. 주문자 이름과 연락처가 그대로 붙어 있는 상담 내역을 통째로 복사해 붙여넣는 식이다.

이게 문제가 되는지 아닌지를 명확히 아는 사장님은 많지 않다. 개인정보보호위원회는 2026년 5월 19일 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」를 발간하면서, 이런 질문 8가지를 골라 답을 정리했다. 사업자의 법적 책임을 따지는 문서가 아니라 쓰는 사람 입장에서 무엇을 확인하고 어떤 설정을 만져야 하는지를 다룬 자료다.

개인정보위는 발간 배경으로 생성형 AI를 아는 20~60대 성인의 약 89%가 개인정보 침해 위험을 걱정한다는 조사 결과를 들었다.

8가지 질문은 이렇게 나뉜다

가이드가 고른 8가지는 민원·정책제안·상담 사례에서 추린 것이다.

• 내가 입력한 내용이 AI 학습에 쓰이는가
• 어디까지가 넣으면 안 되는 정보인가
• 대화를 삭제하면 정말 지워지는가
• 내 대화가 해외로 나가는가
• 메일·캘린더·문서 같은 외부 서비스 연동은 안전한가
• AI 답변에 남의 개인정보가 나왔다면 어떻게 하나
• 이미 공개된 정보는 마음대로 써도 되는가
• 연동 권한은 어떻게 관리하나

사업자가 특히 걸리는 대목 세 가지

첫째, 업무 자료 입력이다. 가이드는 주민등록번호·여권번호·계좌번호·비밀번호·인증코드 같은 정보는 입력을 삼가라고 못박는다. 여기까지는 대부분 지킨다. 문제는 그다음이다. 가이드는 업무 관련 자료를 넣을 때는 소속 조직의 AI 이용 지침을 먼저 확인하고 반출 절차를 따르라고 한다. 1인 사업자라면 확인해 줄 조직이 없다. 그 판단을 본인이 해야 한다는 뜻이다.

또 하나 눈여겨볼 대목은, 하나하나는 안전해 보이는 대화도 쌓이면 특정인을 식별할 수 있게 된다는 지적이다. 주문번호 하나, 지역 하나, 구매 품목 하나는 별것 아니어도 같은 대화창에 계속 쌓이면 얘기가 달라진다.

둘째, 삭제가 삭제가 아니라는 점이다. 가이드는 대화를 지워도 화면에서만 사라질 뿐 운영·보안·오류 점검·법령 준수 목적으로 서버에 남아 있을 수 있다고 설명한다. 이미 입력한 내용이 모델 개선에 반영됐거나 익명화된 형태로 남아 있을 수도 있다. "지웠으니 됐다"는 사후 조치로는 부족하다는 뜻이다. 순서가 반대여야 한다 — 넣기 전에 거른다.

셋째, 국외 이전과 외부 연동이다. 글로벌 AI 서비스는 대화 내용·파일·접속 기록이 해외로 전송될 수 있다. 가이드는 민감한 자료를 넣기 전에 이전 국가·목적·보관 기간을 확인하라고 안내한다. 메일이나 캘린더, 결제, 문서를 AI에 연동할 때는 권한을 필요한 기능으로만 좁히고, 과도한 접근을 요구하면 연동 자체를 재고하라고 한다. 안 쓰는 연동은 주기적으로 해제하는 것이 원칙이다.

실제로 손볼 것은 설정 두 개

가이드가 반복해서 말하는 실천 항목은 결국 두 가지 설정으로 모인다.

• 학습 활용 설정 — 입력한 글·파일·이미지·음성이 모델 개선에 쓰이는지 확인하고,
• 거부(옵트아웃) 선택지가 있으면 켠다. 서비스마다 방식이 다르므로 쓰는 도구별로 따로
• 확인해야 한다
• 대화 기록 설정 — 기록 저장이 기본값인지 확인하고, 필요 없으면 끈다. 로그아웃 후
• 기기에 남은 파일은 지운다

이 두 개는 한 번 만져두면 끝나는 일이다. 반면 "이 문장에 고객을 특정할 수 있는 정보가 들어 있나"를 매번 확인하는 일은 습관의 영역이다.

이 가이드로 해결되지 않는 것

이 문서는 이용자 대상 안내 자료다. 그 자체로 위반 시 처벌 규정이 따라붙는 문서가 아니다. 반대로 말하면, 사업자가 고객의 개인정보를 다루는 문제는 이 가이드와 별개로 개인정보 보호법이 그대로 적용된다.

사업자 관점의 기준은 다른 문서에 있다. 개인정보위는 2025년 8월 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」를 따로 발간했다. 생성형 AI의 생애주기를 목적 설정 → 전략 수립 → 학습·개발 → 시스템 적용·관리 4단계로 나누고, 상용 서비스를 그대로 가져다 쓰는 경우까지 포함해 단계별로 확인할 사항을 정리한 자료다. 고객 데이터를 AI에 본격적으로 태우려 한다면 이용자 가이드가 아니라 이쪽을 봐야 한다.

한눈에 정리

• 핵심: 개인정보위가 2026.5.19 이용자용 가이드 발간 — 8가지 질문에 대한 확인·설정 방법을 정리
• 누가 해당되나: 업무에 생성형 AI를 쓰는 모든 사람. 특히 확인해 줄 조직이 없는 1인 사업자
• 무엇을 확인해야 하나: ① 학습 활용 설정(옵트아웃) ② 대화 기록 저장 설정 ③ 외부 서비스 연동 권한 범위
• 가장 자주 걸리는 것: 고객 상담 내역·업무 자료 통째 붙여넣기. 하나씩은 안전해 보여도 쌓이면 식별 가능
• 주의할 점: 대화 삭제는 화면에서만 사라질 수 있다 — 넣기 전에 거르는 것이 순서
• 사업자 기준은 따로: 고객 데이터를 다룬다면 2025.8 「개발·활용을 위한 개인정보 처리 안내서」를 볼 것
• 출처
• 개인정보보호위원회 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」(2026.5.19 발간,
• https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12084)
• 대한민국 정책브리핑 카드뉴스 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」
• (https://www.korea.kr/news/cardnewsView.do?newsId=148967924)
• 개인정보보호위원회 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」
• (2025.8, 개인정보 포털 지침자료,
• https://www.privacy.go.kr/front/bbs/bbsView.do?bbsNo=BBSMSTR_000000000049&bbscttNo=20836)
• 개인정보보호위원회 보도자료 「생성형 인공지능(AI) 개발·활용 위한 개인정보 처리 기준
• 제시한다」(2025.8.6,
• https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11410)

(출처 확인일: 2026-08-27)