우리 회사 AI 데이터 보호

AI를 도입하겠다는 결심보다 먼저 나오는 질문은 "우리 데이터를 밖으로 내보내지 않고 할 수 있습니까"입니다. 답은 전부 안에 두거나 전부 밖에 두는 것이 아니라, 무엇을 안에 둘지 정하고 그 기준을 AI에도 똑같이 적용하는 데 있습니다.

AI를 쓰면 데이터는 어디로 새나

• 직원이 외부 AI에 붙여넣는 데이터: 회의록, 고객 자료, 소스 코드가 프롬프트로 회사 밖에 나갑니다. 메일 첨부나 USB와 같은 유출 경로입니다.
• 사내 AI가 너무 많이 보여주는 데이터: 사내 AI는 사용자가 접근할 수 있는 문서를 모두 찾아 답에 씁니다. "전체 공유"로 열어 둔 인사·재무 문서가 질문 한 번에 드러납니다.
• AI 에이전트가 쓰는 계정: 에이전트는 사람 대신 문서를 읽고 메일을 보내고 시스템에 명령을 내립니다. 넓은 권한의 공용 계정과 코드에 적힌 자격증명이 새로운 통로가 됩니다.

먼저 정할 것: 무엇을 안에 둘 것인가

민감하지 않은 업무는 외부 모델이 더 빠르고 저렴합니다. 나누는 기준을 문서로 정해 두어야 도입 후에도 흔들리지 않습니다.

무엇을 하나

데이터에 라벨을 붙이고 이동을 통제합니다

• 자동 분류: 주민번호·카드번호 등 민감정보를 자동으로 식별
• 유출 차단: 메일·USB·웹 업로드·복사를 정책으로 통제
• 라벨 암호화: 문서가 나가도 권한 없이는 열 수 없음
• AI 통제: 생성형 AI 입력 데이터까지 같은 정책 적용

사내 AI를 열기 전에 공유 범위를 정리합니다

너무 넓게 공유된 사이트·폴더·문서를 찾아 범위를 좁히고, 민감 라벨이 붙은 문서는 AI 답변에 쓰이는 범위를 따로 정합니다. AI가 새로 권한을 만드는 것이 아니라 이미 열려 있던 것을 드러내는 것이므로, 정리는 AI를 열기 전에 합니다.

AI 에이전트도 사람과 같은 기준으로 관리합니다

1. 에이전트는 사용자의 권한을 넘지 않는다. 넓은 권한의 공용 서비스 계정을 모두가 나눠 쓰지 않습니다.
2. 읽기와 쓰기를 구분한다. 메일 발송, 티켓 생성 같은 쓰기 동작은 사용자 확인을 거칩니다.
3. 연동 데이터 범위를 명시한다. 인사·재무처럼 민감한 범위는 기본 제외하고 필요할 때 따로 승인합니다.
4. 기록을 남기고 정기 점검한다. 무엇을 읽고 무엇을 실행했는지 남기고 분기마다 권한을 다시 봅니다.

에이전트가 쓰는 자격증명은 코드나 설정 파일이 아니라 금고에 두고, 사람 계정과 같은 감사 추적으로 관리합니다. 에이전트가 많아지면 Microsoft Agent 365로 회사 안의 모든 에이전트를 한 목록에 모아 주인과 권한을 정하고, 데이터·위협 정책을 같은 기준으로 겁니다. 직원 PC에서 일하는 코딩·업무 에이전트가 자격증명을 꺼내거나 위험한 명령을 실행하기 전에 막는 BeyondTrust AI Agent Security(출시 예정)도 준비하고 있습니다.

진행 방법

그다음

데이터 보호 기준이 서면 AI 과제를 넓혀도 같은 기준이 따라갑니다. 어떤 AI를 어디에 지을지는 우리 회사 AI 구축하기에서, AI를 이용한 외부 공격 대비는 외부 AI 공격에 대비하기에서 이어집니다.