1. 안심해도 되는 영역 : Team / Enterprise 플랜의 기본 보호
회사가 계약한 Team, Enterprise 플랜은 두 가지가 동시에 보장됩니다.
- 전송 구간 암호화(TLS). 내 PC에서 AI 서버까지 가는 동안 누가 가로채도 읽을 수 없습니다.
- 모델 학습 사용 금지. 내가 보낸 대화, 파일은 다음 모델 학습 데이터로 쓰이지 않습니다.
Team / Enterprise 와 개인 플랜(Free, Pro, Max) 의 차이
Team / Enterprise
- 전송 구간 TLS 암호화
- 대화 내용이 다음 모델 학습에 쓰이지 않음
- 관리자가 워크스페이스 접근 정책을 통제
개인 플랜 : Free, Pro, Max
- Max도 예외 없음(설정에 따라 대화가 모델 학습에 사용됨)
- Claude Code로 주고받은 코드와 세션도 동일 적용
- 업무 자료는 회사가 계약한 플랜에서만 사용
- 의심스러우면 회사 IT, 보안팀에 확인
2. 개인정보는 주의 : 개인정보보호법이 정한 선
개인정보보호법은 살아 있는 개인을 식별할 수 있는 모든 정보를 보호 대상으로 봅니다. AI 도구라고 예외가 아닙니다.
분류 | 대표 항목 | 위험도 |
식별 정보 | 이름 + 주민등록번호, 전화번호, 이메일, 주소 | 높음 |
민감 정보 | 의료 정보, 금융 정보(계좌, 카드 번호) | 매우 높음 |
외부 자료 | 고객사로부터 받은 명단, 연락처 | 높음 |
이미지 | 사진, 영상에 식별 가능한 얼굴 포함 | 중간 |
내 정보가 아니어도 더 위험합니다. 본인 정보는 본인 책임이지만, 고객과 동료의 정보를 AI에 보내는 순간 회사가 법적 책임을 지는 사고가 됩니다.
3. 회사 기밀, 국가 기밀은 금지
"국가 기밀"이라는 말은 대부분의 임직원에게 와닿지 않습니다. 핵심은 회사 기밀까지 같은 선에 놓고 보는 것입니다.
분야 | 금지 자료 |
미공개 재무 | 분기 실적 발표 전 수치, 내부 추정치 |
M&A, 투자 | 협상 자료, 투자 검토 문서 |
미공개 제품 | 기술, 특허, 로드맵 자료 |
NDA | 고객사, 파트너로부터 받은 비밀 유지 대상 자료 |
인사 | 평가, 연봉, 구조조정 계획 |
판단 기준 한 줄. "이게 외부로 새면 누가 곤란해지는가?"를 한 번 떠올립니다. 본인 외에 누군가가 곤란해지면 금지 영역입니다.
4. 어쩔 수 없이 다뤄야 한다면 : 익명화, 마스킹
"보내지 말라"만으로는 일이 안 됩니다. 민감 데이터로 분석, 요약, 자동화를 만들어야 한다면, AI에 보내기 전에 가립니다.
원칙 세 가지.
- 식별자는 가명으로. 이름, 번호, ID는 '고객 A', 'C001'처럼 치환합니다.
- 절대 수치는 비율, 범주로. 25억 원 → '전년 대비 +20%', 실주소 → '수도권 A지점'.
- 매핑표는 내 PC에만. 원본과 가명을 잇는 표는 AI에 함께 보내지 않습니다.
5. API 키, 비밀번호는 절대 금지 : `.gitignore` 가 마지막 자물쇠
절대 원칙.
- AI 대화창에 키, 비밀번호, 토큰을 직접 입력하지 않습니다.
- 코드에 담긴 키는
.env파일로 분리하고,.env는.gitignore에 반드시 등록합니다.
- GitHub에 한 번이라도 push했다면 history에 남아 있습니다. 즉시 재발급합니다.
- public repo에 올라간 키는 평균 1~5분 안에 자동 스캐너 봇이 발견합니다.
6. 보내기 전 5초 체크리스트
파일을 첨부하거나 긴 텍스트를 붙여 넣기 직전, 다음 다섯 질문을 머릿속으로 한 번 훑습니다. 하나라도 YES면 그 부분을 가리거나 빼고 다시 시작합니다.
개인정보가 포함되었습니까? (이름, 번호, 이메일, 주소 등)
회사 기밀, 미공개 자료입니까? (재무, M&A, 인사, NDA)
API 키, 비밀번호, 토큰이 들어있습니까?
회사 AI 사용 정책에 어긋나지 않습니까?
익명화, 마스킹할 수 있는데 가리지 않은 채로 보내려 합니까?
하나라도 YES면 멈춥니다. 그 부분을 가리거나 빼고 다시 시작합니다.
7. 자주 빠지는 함정
"이건 회사 자료가 아니라 내 메모니까 괜찮겠지". 메모에 적어둔 고객 이름, 수치도 모두 민감 정보입니다. 메모라는 형식이 면죄부가 되지 않습니다.
"public이 아니라 private repo니까 키 박아도 OK". 협업자가 늘어나면 통제가 어려워지고, 누군가가 실수로 권한을 풀면 즉시 노출됩니다. 키는 어떤 repo든 넣지 않습니다.
"이미 한 번 보냈는데 어쩔 수 없지". 키는 즉시 재발급, 자료는 회사 보안 담당에게 보고. 늦은 보고는 항상 더 큰 사고로 번집니다.