재직자 38%가 '회사 몰래 AI'…형사 무죄여도 징계해고는 정당

삼성SDS 조사, 미승인 개인 AI 계정 업무 활용 38% 기술유출 검거 82.7%가 내부자…개보위 "삭제해도 서버에 남아"

회사가 승인하지 않은 개인 인공지능(AI) 계정을 업무에 쓰는 국내 재직자가 38%에 이른다. 삼성SDS가 재직자 1천750명을 상대로 조사해 이달 1일 공개한 국내 기업 생성형 AI 활용 실태 자료에서다. 회사 문서를 대화창에 붙여넣었다가 징계를 받느냐 마느냐는 정보의 등급이 아니라 사내 규정과 징계 절차의 정비 수준에서 갈린다. 형사재판에서 무죄를 받고도 해고가 정당하다고 판단된 사건이 있고, 반대로 기밀을 유출하고도 해고가 무효가 된 사건이 있다.

◆ 미승인 계정 38%, 업무용 AI 하루 3.25시간

같은 조사에서 업무에 생성형 AI를 쓰는 이용자의 하루 평균 사용 시간은 3.25시간이었다. 업무 시간의 3분의 1 이상이 대화창 앞에서 흘러간다.

활용 범위도 넓다. 잡플래닛이 지난해 4월 내놓은 직장인 조사를 보면 응답자의 78.9%가 회사 업무에서 챗GPT를 더 자주 썼다. 목적 1위는 글 작성과 문서 요약(40.1%)이었다. 문서 요약은 원문을 통째로 붙여넣는 작업이라 유출에 가장 취약한 지점이다.

실제로 입력해 본 사람도 적지 않다. 베리타스테크놀로지스가 국내 직장인 500명을 상대로 지난해 8월 발표한 조사에서 32%가 회사 민감정보를 AI에 직접 넣어 봤다고 답했다. 미국 직장인을 상대로 한 같은 시기 조사에서는 고객·재무 데이터 입력 경험이 57%였다.

◆ 소스코드·회의록 넣었다 사용 제한… 대학은 규정 명문화

앞선 사례는 이미 나왔다. 삼성전자 반도체 부문에서는 엔지니어가 프로그램 오류를 고치려 소스코드를 챗GPT에 입력했다. 사내 회의록 전문을 올린 직원도 함께 적발됐다. 회사는 사용을 금지하고 징계 방침을 경고했다. 당시 사내 설문에서 임직원의 65%가 생성형 AI 사용에 보안 위험이 있다고 답했다.

기관도 규정을 손본다. 평택대학교는 인공지능 윤리 규정을 제정해 학생 성적과 인사·급여 등 비공개 자료의 외부 입력을 금지했다. 위반하면 징계 절차에 회부하도록 명문화했다.

경찰청 국가수사본부가 이달 4일 내놓은 기술유출 범죄 검거 분석을 보면 179건 가운데 82.7%가 기업 내부자 소행이었다. 유출 경로가 저장장치에서 대화창으로 옮겨가는 중이다.

◆ 무죄여도 해고 정당, 절차 빠지면 해고 무효

법원 판단의 축은 사규다. 서울고등법원의 2021년 해고무효확인 판결은 형사상 무죄를 받았더라도 사내 보안규정을 위반했다면 징계해고가 정당하다고 봤다.

반대 방향의 판단도 있다. 서울행정법원은 지난 6월 기밀을 유출한 직원이라도 취업규칙이 정한 징계 절차를 빠뜨렸다면 해고의 효력을 인정할 수 없다고 판단했다.

IT·개인정보 관계자는 지난 2월 기고에서 "AI는 도구일 뿐 운용해 가치를 창출한 주체는 회사"라고 짚었다. 퇴사 시 AI 결과물을 무단 반출·미반환하면 배임죄가 성립한다는 지적이다.

◆ '삭제' 눌러도 서버 백업망엔 남는다

개인정보보호위원회가 지난 5월 펴낸 생성형 AI 서비스 이용자 보호 가이드는 화면에서 대화를 지워도 서버 백업망에 일정 기간 남는다고 안내한다. 입력하는 순간 회수가 불가능하다.

가이드는 입력창에 주민번호·계좌번호·인증코드 등 민감정보를 넣지 말라고 권고했다. 국가정보원은 공공기관 AI 보안 가이드북에서 15개 위협과 30개 대책을 제시했다. 생성형 AI를 쓸 때 비공개 모드 설정과 사전 보안성 검토도 규정했다. 2026년도 사이버보안 실태평가지표에는 AI 보안 항목이 신설됐다.

◆ 전면 차단 7.7%… 막을수록 숨는 '섀도우 AI'

막는 것이 능사도 아니다. 메가존클라우드와 CIO코리아가 지난 3월 내놓은 리포트를 보면 사내 생성형 AI 사용을 전면 금지한 기업은 7.7%에 그쳤다. 전담 조직이나 인력이 아예 없는 기업은 35.4%였다.

정보보안 업계는 외부 AI 접속을 일률 차단하면 직원들이 개인 기기로 우회하는 '섀도우 AI'가 심해진다고 본다. 보안 통제력이 오히려 떨어진다는 지적이다. 학습 제외를 선택하는 옵트아웃 설정을 쓰더라도 데이터센터 저장 과정의 해킹 위험까지 없어지지는 않는다. 노무 업계에서는 가이드라인과 취업규칙이 정비되지 않은 상태에서 경미한 입력만을 이유로 중징계를 내리면 부당징계 판정을 받는다고 본다.

기업법무를 다루는 이 관계자는 이달 4일 "소스코드나 설계도면을 외부 AI 서비스에 넣는 행위도 새로운 영업비밀 유출 경로"라며 "디지털 업무환경 전반을 관리 대상으로 봐야 한다"고 진단했다.