사내 자료 유출 없이 AI 쓰기 — 건축 실무 보안 기준
“AI 쓰지 마”라고 하면 몰래 씁니다. 그게 제일 위험합니다. 현실적인 답은 무엇까지는 되는지 선을 그어 주는 것입니다.
1. 무엇이 위험한가
건축 실무 자료는 대부분 세 종류의 의무에 걸립니다.
| 의무 | 근거 | 대상 |
|---|---|---|
| 계약상 비밀유지 | 설계·감리·도급 계약의 비밀유지 조항, 별도 NDA | 도면, 사업계획, 발주처 내부자료 |
| 개인정보 보호 | 개인정보 보호법 | 입주자 명단, 임차인 정보, 담당자 연락처 |
| 보안각서 | 공공 발주 시 별도 각서 | 공공시설 도면, 보안시설 관련 자료 |
중요한 점: “AI가 학습에 쓰지 않는다”는 설정이 비밀유지 의무를 면제해 주지 않습니다. 계약이 금지하는 것은 대개 “제3자에게 제공하는 행위” 자체입니다.
2. 익명화 — 실무에서 실제로 통하는 기준
대부분의 검토는 고유명사 없이도 그대로 됩니다. 아래만 치환하면 위험이 크게 줄어듭니다.
- 발주처·시공사·설계사 상호 → “발주자”, “수급인”, “설계자”
- 현장명·지번·주소 → “대상지”, 또는 지역 단위까지만(“서울시 소재”)
- 담당자 이름·연락처 → 삭제 또는 직책만
- 계약금액 → 검토에 꼭 필요하지 않으면 삭제, 필요하면 비율로 변환
- 도면 표제란 → 이미지에서 잘라내기
반대로 남겨야 정확해지는 것도 있습니다. 용도지역, 규모, 층수, 구조형식, 발주 방식은 익명화 대상이 아니고 남겨야 답이 맞습니다. “다 지우면 안전하다”가 아니라 식별정보만 지운다가 기준입니다.
3. 요금제에 따라 무엇이 달라지나
| 구분 | 일반적인 특징 | 실무 판단 |
|---|---|---|
| 무료 플랜 | 대화 내용이 서비스 개선에 쓰일 수 있음 | 회사 자료 금지 |
| 개인 유료 | 학습 제외 설정 제공이 일반적 | 익명화 후 제한적 사용 |
| 기업·팀 플랜 | 학습 제외 기본, 관리자 정책·보관기간 설정 | 사내 규정과 함께라면 실무 가능 |
| API·자체 구축 | 데이터 흐름을 통제 가능 | 보안 요구가 높은 경우 선택지 |
약관은 바뀌므로, 도입 시점에 직접 확인하는 것이 원칙입니다. 특히 “학습 제외”와 “보관 기간”은 별개 항목입니다.
4. 사내 규정 만들기 — 한 장이면 충분합니다
거창한 규정은 지켜지지 않습니다. 실제로 작동하는 형태는 대체로 이렇습니다.
- 금지 목록을 짧게 — 발주처 상호, 지번, 개인정보, 미공개 사업계획, 공공 보안시설 자료. 다섯 줄이면 됩니다.
- 허용 목록을 분명하게 — 익명화된 계약서 조항, 일반 법규 질문, 문서 문체 정리, 사내 회의록(고유명사 제거 후).
- 도구를 지정 — 아무거나 쓰지 말고 회사가 계약한 것만.
- 검증 의무를 명시 — “AI 결과물을 그대로 대외 문서에 쓰지 않는다.”
- 사고 시 보고 경로 — 실수로 올렸을 때 숨기지 않게 만드는 것이 핵심입니다.
5. 이미 올려 버렸다면
- 해당 대화를 삭제하고, 서비스의 데이터 삭제 요청 절차가 있으면 함께 진행합니다.
- 학습 제외 설정을 즉시 켭니다(소급 적용은 안 되지만 이후는 막힙니다).
- 계약상 통지 의무가 있는지 확인합니다 — NDA에 유출 통지 조항이 있는 경우가 있습니다.
- 사내 보고 후 기록을 남깁니다. 숨기는 것이 가장 큰 위험입니다.
6. 도면 이미지는 특히 조심
도면 한 장에는 생각보다 많은 정보가 들어 있습니다.
- 표제란 — 발주처, 현장명, 설계자, 도면번호, 날짜
- 배치도 — 지번과 인접 지번, 방위
- 평면도 — 실 구성으로 용도와 사업 성격이 드러남
- 구조·설비 도면 — 공공시설이면 보안 대상
이미지를 넣을 때는 표제란을 잘라내는 것만으로도 위험이 크게 줄어듭니다.
자주 묻는 질문
Q. “학습에 사용하지 않음”이면 안전한가요?
학습 문제는 해결되지만 비밀유지 의무는 남습니다. 계약이 금지하는 것은 대개 제3자 제공 행위 자체이므로, 학습 여부와 무관하게 위반이 될 수 있습니다. 익명화가 먼저이고 설정은 그다음입니다.
Q. 회사가 AI 사용을 전면 금지했습니다.
비밀유지 리스크 때문이라면 정당한 조치입니다. 다만 전면 금지는 음성적 사용을 낳습니다. 익명화 기준을 담은 한 장짜리 규정을 제안해 보세요. 금지 목록 다섯 줄, 허용 목록 다섯 줄이면 대개 합의가 됩니다.
Q. 개인 계정으로 회사 일을 하면 어떻게 되나요?
가장 흔하면서 가장 위험한 형태입니다. 회사가 통제할 수 없고, 사고가 나도 파악이 안 됩니다. 회사 계약 도구를 쓰는 것이 개인에게도 안전합니다. 문제가 생겼을 때 “규정에 따라 사용했다”가 방어가 되기 때문입니다.