AI에 이용자 정보 넣어도 될까

사회복지사가 대화형 AI를 업무에 쓸 때 이용자·직원 개인정보를 지키는 기준과 실무 절차입니다.

업데이트 2026년 9월 20일읽는 데 약 14분입문

클라우드 AI에 이용자 이름을 그대로 적어 보낸 순간, 그 이름은 서비스 사업자의 서버로 전송됩니다. 실명·연락처·기관명 등은 입력 전에 줄이거나 대괄호로 바꾸고, 원래 이름과 대괄호를 짝지은 치환 표는 기관 내부에 따로 보관합니다. 다만 이름을 바꿨다고 자동으로 ‘익명정보’가 되는 것은 아닙니다. 다른 정보나 치환 표로 다시 알아볼 수 있다면 여전히 개인정보로 다뤄야 합니다.

이 글은 2026년 9월 20일을 기준으로 개인정보 보호법과 개인정보보호위원회의 생성형 AI 서비스 이용자 개인정보 보호 가이드를 확인해 고쳤습니다.

지금까지 다른 글들에서 “AI에 넣기 전에 개인정보를 지우세요”라는 안내를 짧게 반복해왔습니다. 이 글은 그 내용을 한곳에 모아, 무엇을 지우고 어떻게 바꿔 넣는지, 서비스 설정은 어디를 확인하는지, 기관 규정과는 어떻게 맞춰야 하는지까지 순서대로 정리합니다.

클라우드 AI에 입력한 내용은 외부로 전송됩니다

웹이나 앱에서 쓰는 클라우드 AI에 글자를 입력하면 AI 서비스를 운영하는 회사의 서버로 전송됩니다. 서버로 간 내용이 학습에 쓰이는지, 어느 국가에서 처리되는지, 얼마 동안 보관되는지는 서비스와 계약 종류·설정에 따라 다릅니다. 개인정보보호위원회도 업무 자료 입력 전 학습 활용, 기록 삭제 설정, 외부 연동과 국외 이전 여부를 확인하라고 안내합니다.

대화 기록 저장을 끄거나 학습 활용을 거부하는 설정은 필요한 보호조치지만, 개인정보를 보낼 법적 근거와 기관 승인을 대신하지 않습니다. 기관이 승인한 서비스인지, 개인정보 처리 업무의 위탁인지 제3자 제공인지, 국외 이전이 있는지 먼저 담당자에게 확인합니다.

넣지 말아야 할 것

아래 항목은 AI에 그대로 입력하지 않습니다.

실명 — 이용자, 보호자, 직원, 동료 등 사람 이름 전체
주민등록번호·생년월일 — 정확한 나이만으로도 특정에 도움이 되므로, 나이도 정확한 숫자 대신 연령대로 적습니다
주소·연락처 — 전화번호, 이메일, 상세 주소
기관명·부서명 — 검색하면 소속이 드러나는 표현
사진 — 얼굴이 나온 사진, 신분증 사진
진단명·병력 등 민감정보의 조합 — 진단명 하나만으로는 특정이 안 되더라도, 나이·거주 지역·가족 상황과 함께 넣으면 조합만으로 누구인지 드러날 수 있습니다
소수의 사람만 해당하는 특이 정보 — “우리 기관에서 올해 이 서비스를 받은 사람은 2명뿐”처럼 드문 조건은, 이름을 지워도 조합 자체가 신원을 가리킵니다

입력 전에 식별 단서를 줄이는 법

식별 정보를 알아보기 쉬운 표시로 바꾸면 직접적인 노출 위험을 줄일 수 있습니다. 그러나 치환 표나 다른 정보로 다시 알아볼 수 있다면 법에서 말하는 익명정보가 아닙니다. 이 글에서는 법적 익명화가 아니라 입력 최소화와 치환이라는 실무 표현을 씁니다.

사람은 대괄호 + 구분 글자: [이용자A], [이용자B], [직원A], [보호자A]
기관·부서는 대괄호: [기관명], [부서명]
나이는 연령대로: “47세” 대신 “40대”
날짜는 꼭 필요할 때만: 정리에 필요 없는 날짜는 아예 빼도 됩니다. 필요하면 “3월 초”처럼 범위로
소수만 해당하는 특성은 일반화: “휠체어를 쓰는 유일한 이용자” 같은 표현은 “이동에 보조기구가 필요한 이용자”처럼 풀어씁니다

바꿔 넣을 때는 치환 표를 따로 만들어 손에 들고 작업합니다. 원래 이름과 대괄호 표기를 짝지은 표입니다.

이용자A = 이○○
이용자B = 박○○
직원A = 김○○
기관명 = ○○종합사회복지관

AI가 만든 결과를 기관 문서로 옮길 때, 이 표를 보면서 [이용자A]를 다시 실명으로 하나씩 바꿉니다. 치환 표는 AI에 넣지 않고, 내 컴퓨터에만 보관합니다.

원문 기록에서 실명 복원까지 순서도. 원문 기록, 치환하기, AI에 넣기(강조, 여기서 외부로 전송됨), 결과 받기, 실명 복원 순서로 이어지고, 치환하기 아래에는 내 PC에만 보관하는 치환 표가 있어 실명 복원 단계에서 다시 참조된다. — AI에 넣기 전 개인정보를 지키는 순서 — 치환 표는 AI에 넣지 않고 내 컴퓨터에만 둔다

서비스 설정 확인하기

주요 대화형 AI 서비스에는 내가 나눈 대화 내용을 모델 학습(AI가 더 똑똑해지도록 데이터를 학습 재료로 쓰는 것)에 사용하지 않도록 막는 설정이나, 업무용으로 별도 제공되는 플랜이 있는 경우가 많습니다. 다만 메뉴 이름과 위치, 정책은 서비스마다 다르고 자주 바뀝니다.

사용하는 서비스의 공식 도움말·개인정보 처리방침·기관 계약서에서 아래 항목을 확인합니다.

입력 자료를 모델 학습이나 서비스 개선에 쓰는지
대화 기록과 업로드 파일의 보관 기간·삭제 방법
처리 국가와 국외 이전 항목·목적·기간
외부 앱·플러그인·검색 기능이 자료를 추가로 보내는지
기관용 계약에서 처리위탁자, 재위탁자와 사고 대응 책임을 어떻게 정했는지

일반 이용자용 무료 계정과 기관용 계약의 조건이 다를 수 있습니다. 직원 개인 계정으로 기관 자료를 처리하지 않습니다.

기관 규정이 우선입니다

소속 기관에 AI 사용 지침이나 정보보호 규정이 이미 있다면, 이 글의 내용보다 그 규정을 따릅니다. 규정이 없거나 애매한 상황이라면, 개인 판단으로 넘어가지 말고 상급자나 정보보호 담당자에게 먼저 확인하세요.

개인정보를 AI 서비스에서 처리하려면 단순히 이름을 지우는 것 외에도 적법한 처리 근거와 필요한 최소 범위가 있어야 합니다. 외부 사업자가 기관을 대신해 처리한다면 개인정보 보호법 제26조의 위탁 요건과 공개 사항을, 국외에서 제공·위탁·보관한다면 제28조의8의 국외 이전 요건을 기관 담당자가 검토해야 합니다.

안전하게 작업하는 순서

원문에서 실명, 연락처, 기관명 등 식별 정보가 있는지 확인하고 지웁니다.
지운 자리에 대괄호 표기([이용자A], [직원A], [기관명] 등)를 넣고, 원래 이름과 짝지은 치환 표를 따로 만들어 보관합니다.
대괄호로 바꾼 내용만 AI에 입력합니다. 아래 프롬프트를 함께 붙여 넣으면, AI가 빈 대괄호를 임의로 채우는 것을 줄일 수 있습니다.
AI에게 이렇게 입력하세요
```
아래 내용은 개인정보 보호를 위해 이름과 기관명을 대괄호로 바꾼 자료입니다.
[이용자A], [직원A], [기관명] 같은 표기는 실제 이름이 아니라 구분 기호입니다.
실명이나 기관명을 추측해서 채우지 말고, 표기 그대로 유지한 채 답변해 주세요.

[내용 붙여넣기]
```
AI가 만든 결과를 기관 문서로 옮기면서, 치환 표를 보고 [이용자A] 같은 표기를 다시 실명으로 하나씩 되돌립니다.
작업이 끝나면 기관 보관 기준에 따라 대화와 파일을 정리합니다. 화면에서 대화를 지워도 백업·법정 보관분까지 즉시 없어지는지는 서비스마다 다르므로, 공식 삭제 안내를 확인합니다.

붙여넣기 전 자기 점검 체크리스트

AI에 내용을 넣기 직전, 아래 항목을 하나씩 확인합니다.

실명이 남아 있지 않은가
주민등록번호·정확한 생년월일이 남아 있지 않은가
주소·전화번호·이메일이 남아 있지 않은가
기관명·부서명이 대괄호로 바뀌었는가
사진이나 신분증 이미지가 포함되지 않았는가
나이·지역·특이 상황을 조합했을 때 누구인지 짐작되지 않는가
대괄호로 바꾼 치환 표를 별도로 저장해뒀는가

다음 단계

개인정보를 지키는 기준을 익혔다면, 이제 실제 문서에 적용해봅니다. 방문 메모를 기록으로 정리하는 사례기록 작성법 이나, 흩어진 기록을 한 장으로 모으는 사례회의 자료 만드는 법 에서 오늘 정리한 대괄호 표기를 그대로 써볼 수 있습니다.

자주 묻는 질문

대괄호로 바꾸는 게 번거로운데, 꼭 해야 하나요?

시간이 들더라도 이 단계를 건너뛰지 않습니다. 클라우드 AI 서버로 전송된 내용은 기관이 직접 통제하기 어렵습니다. 다만 대괄호 치환만으로 안전이 보장되지는 않으므로, 남은 정보의 조합으로 개인을 알아볼 수 있는지도 함께 확인합니다.

치환 표를 따로 보관하라고 했는데, 어디에 두면 되나요?

치환 표 자체도 실명과 대괄호 표기를 함께 담고 있으므로 개인정보에 준해 다룹니다. 기관에서 다른 업무 문서를 보관하는 것과 같은 방식(기관 내부 저장 공간, 접근 권한이 제한된 폴더 등)으로 보관하고, AI 서비스에는 절대 입력하지 않습니다. 구체적인 보관 방법은 기관의 문서 보관 규정을 따르세요.

이미 실명을 넣고 대화를 시작해버렸어요. 어떻게 하나요?

추가 입력을 멈추고 해당 대화와 파일을 서비스에서 삭제합니다. 삭제만으로 끝내지 말고 기관의 개인정보 보호책임자나 사고 대응 담당자에게 어떤 정보가 어느 서비스로 전송됐는지 바로 알리세요. 유출 신고나 정보주체 통지가 필요한지는 기관 담당자가 개인정보 보호법과 사고 대응 절차에 따라 판단합니다.

확인한 공식 자료

확인 기준일은 2026년 9월 20일입니다. 특정 기관의 처리 근거, 위탁·제3자 제공 구분, 국외 이전 요건과 사고 신고 필요 여부는 이 글만으로 확정할 수 없습니다. 기관 개인정보 보호책임자나 법무 담당자가 실제 계약과 자료 항목을 보고 판단해야 합니다.

이 글은 AI로 초안을 쓰고 사람이 확인해 다듬었습니다.

이어서 볼 글 · AI 시작하기

내 컴퓨터에서 도는 AI 설치하기

로컬 AI를 설치하기 전에 외부 통신, 업데이트, 원격측정, 저장 장치와 백업을 확인하는 방법입니다. 개인정보를 넣을 수 있는 조건과 기관 승인이 필요한 경계를 정리했습니다.

바로 읽기