AI 도구를 사용할 때 개인정보를 보호하는 방법
AI 챗봇에 입력한 내용은 이를 제공하는 회사에 보이며, 온라인에 저장된 질의는 해킹되거나 유출되거나 실수로 공개될 수 있다(UK NCSC).
규제 당국과 사이버 보안 기관의 권고
- 민감한 정보는 공개 챗봇에 입력하지 않는다. 영국 국가사이버보안센터(NCSC)는 공개 AI 언어 모델에 질의할 때 민감한 정보를 포함하지 말고, 공개될 경우 문제가 될 질의도 제출하지 말 것을 권고한다(NCSC).
- 이용약관과 개인정보 처리방침을 먼저 읽는다. NCSC에 따르면 질의는 저장되며 언젠가 서비스 개발에 사용될 가능성이 거의 확실하므로, 민감한 질문을 하기 전에 이용약관과 개인정보 처리방침을 이해해야 한다(NCSC).
- 개인 정보는 빼고 입력한다. 스페인 개인정보보호 당국은 AI 도구에 전체 이름, 주소, 전화번호, 신분증 번호, 사람이 담긴 이미지 같은 개인 데이터나 의료·금융 정보 같은 민감한 정보를 공유하지 말고, 대신 가상의 사례를 설명할 것을 권한다(AEPD).
- 다른 사람의 이미지를 사용하지 않는다. 새로운 콘텐츠를 생성하기 위해 다른 사람, 특히 아동의 이미지를 사용하지 말아야 하며, 이는 개인정보 보호법을 위반할 수 있고 범죄가 될 수도 있다고 이 기관은 경고한다(AEPD).
- 직장에서는 소속 조직의 규칙을 따른다. 정보와 보안에 관한 규칙을 따르고, 조직과 직원, 고객에 관한 기밀 정보는 포함하지 않아야 한다(AEPD).
- 대화 기록 설정. 잉글랜드와 웨일스 판사 및 지원 인력을 위한 지침은 공개 AI 챗봇에서 가능하면 대화 기록을 비활성화하라고 안내한다. 이렇게 하면 데이터가 챗봇 학습에 사용되는 것을 막을 수 있지만, 기록을 꺼 두더라도 입력한 데이터는 외부에 공개되는 것으로 가정해야 한다고 경고한다(사법부 지침).
- 다른 사람이 작성한 콘텐츠를 처리하는 AI 도구는 주의한다. 이력서 같은 문서에 숨겨진 텍스트가 AI 시스템에 지시로 취급될 수 있다. NCSC는 이를 간접 프롬프트 인젝션이라 부르며, 이러한 공격은 완전히 완화되지 못할 수도 있다고 밝혔다(NCSC).
- 기업은 개인정보 관련 약속을 지켜야 한다. 미국 연방거래위원회(FTC)는 다른 이들이 사용하도록 AI 모델을 개발하고 호스팅하는 "model-as-a-service" 기업에 대해, 고객 데이터를 모델 학습 같은 비밀 목적에 사용하지 않겠다는 약속을 포함해 사용자와 고객에 대한 개인정보 보호 약속을 지키지 않으면 FTC가 집행하는 법률에 따라 책임을 질 수 있다고 경고했다(FTC).
- 데이터가 부적절하게 처리되었다고 생각되면 대부분의 경우 먼저 해당 조직에 우려를 제기한다. 영국에서는 조직의 답변에 만족하지 못하면 정보위원회(ICO)에 민원을 제기할 수 있다(ICO).
출처
- ChatGPT and large language models: what's the risk?, 영국 국가사이버보안센터, 2023년 3월 14일.
- Prompt injection is not SQL injection (it may be worse), 영국 국가사이버보안센터, 2025년 12월 8일.
- La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA, 스페인 개인정보보호청(AEPD), 2026년 1월 27일.
- Artificial Intelligence (AI) – Judicial Guidance (October 2025), 법원·재판소 사법부, 2025년 10월 31일.
- AI Companies: Uphold Your Privacy and Confidentiality Commitments, 미국 연방거래위원회.
- Check if you can complain, 영국 정보위원회.