사내 생성형 AI 가이드라인: 태국 PDPA에 맞춘 10개 항목

AI를 금지하면 회사는 아무것도 볼 수 없습니다

영업팀은 고객 답장 초안을 AI에 맡기고, 회계팀은 Excel 파일 요약을 AI에 맡깁니다. 대부분 개인 이메일로 가입한 무료 계정입니다. 회사가 승인하지 않은 AI를 업무에 쓰는 것을 섀도 AI(승인받지 않은 AI 도구 사용)라고 하며, 금지를 공지한 회사에서도 일어납니다.

금지해도 사용은 멈추지 않습니다. 직원은 자기 휴대전화로 계속 쓰고, 고객 데이터가 유출되면 회사는 가장 늦게 압니다. 효과 있는 정책은 어떤 도구를, 어떤 데이터에, 막히면 누구에게 물어볼지를 분명히 적습니다. 금지, 기업용 플랜, 사내 AI 가운데 무엇을 고를지 아직 정하지 못했다면 직원이 고객 데이터를 ChatGPT에 붙여 넣을 때를 먼저 읽어 보십시오.

한 장짜리 정책, 10개 항목

직원이 기억하는 정책은 한 장을 넘지 않습니다. 도구 목록과 데이터 등급표는 별첨으로 두어, 정책을 다시 공지하지 않고도 고칠 수 있게 합니다. 아래 예문은 그대로 써도 됩니다.

한국계 기업의 태국 법인이라면 본사 지침을 한국어로만 배포해서는 부족합니다. 고객의 LINE 대화나 직원 서류를 AI에 붙여 넣는 사람은 태국인 직원이기 때문입니다. 본사 방침과 태국 PDPA를 함께 반영한 한 장을 태국어와 한국어로 만들고, 두 판의 내용이 다를 때 어느 쪽이 우선하는지도 적어 둡니다.

1. 목적과 적용 범위: "회사 업무에 AI를 쓰는 직원, 외주 인력, 인턴에게 적용합니다. 개인 휴대전화 사용도 포함합니다." 2. 승인된 도구와 계정: "별첨 목록의 도구만 회사 계정으로 사용합니다. 추가 요청은 IT 부서로 합니다." 3. 데이터 등급: "데이터는 공개, 내부, 개인정보, 기밀의 4등급입니다. 어디에 넣을 수 있는지는 별첨 표를 따릅니다. 애매하면 더 높은 등급으로 취급합니다." 4. 고객과 직원의 개인정보: "업무에 필요 없는 이름, 전화번호, 신분증 번호는 지웁니다. 건강 정보 같은 민감정보는 DPO의 사전 승인을 받습니다." 5. 결과 확인: "AI의 결과는 초안입니다. 사용하는 사람이 원본과 대조한 뒤 내보내며, 직접 쓴 것과 같은 책임을 집니다." 6. 고객 고지: "자동 응답 시스템과 대화하는 고객에게는 첫 메시지에서 알리고, 담당자 연결 요청에 응합니다." 7. 권리와 기록: "AI로 한 작업도 다른 업무처럼 고용 계약을 따릅니다. 고객에게 납품하는 작업의 프롬프트와 결과는 그 문서의 보존 기간만큼 보관합니다." 8. 사고와 연락처: "등급이 다른 데이터를 잘못 넣었다면 당일 안에 [이름과 연락 수단]으로 신고합니다. 신고했다는 이유로 징계하지 않습니다." 9. 교육과 동의: "모두 1시간 교육을 받고 이 정책에 동의해야 회사 AI 계정을 받습니다." 10. 6개월마다 검토: "[정책 책임자]가 6개월마다 검토하며, 법률이나 공급업체 조건이 바뀌면 앞당깁니다."

직원이 고객 데이터를 AI에 붙여 넣을 때 PDPA가 요구하는 것

회사가 수집한 고객 데이터에 대해, 회사는 태국 개인정보보호법(PDPA, 2019년 제정)상 데이터 컨트롤러(개인정보 처리 책임자)입니다. 직원이 고객 명단을 AI에 붙여 넣으면 데이터는 외부 업체로 넘어가지만, 책임은 회사에 남습니다.

2026년 10월 태국 개인정보보호위원회 사무국(PDPC)은 AI 관련 개인정보 보호 가이드라인을 발표했습니다. 법적 구속력은 없습니다. PDPA와 함께 읽으면 정책이 다뤄야 할 점은 네 가지입니다.

- 프롬프트, 사용 로그, AI의 답변도 사람을 식별할 수 있다면 개인정보가 될 수 있습니다. - 고객 데이터를 자기 목적의 모델 학습에 쓰는 업체는 또 하나의 데이터 컨트롤러가 될 수 있습니다. - 업체가 태국 밖에 데이터를 저장한다면 데이터를 받는 국가에 충분한 보호 수준이 있어야 합니다. 법이 정한 예외에 해당하면 예외입니다. - 유출이 생기면 PDPC에 지체 없이, 가능하면 인지한 때부터 72시간 안에 신고합니다. 정보주체의 권리를 해칠 위험이 낮다면 예외입니다. 위험이 높으면 정보주체에게도 알립니다.

태국의 AI 법안은 아직 수정 중이고, 디지털경제사회부와 ETDA(전자거래개발청)가 낸 조직용 생성형 AI 거버넌스 가이드라인은 2024년 말에 나왔습니다. 그래서 정책은 지금 시행 중인 PDPA 위에 세웁니다. 해외 규제는 다가오는 AI 규제에 정리했습니다. 이 장은 실무 안내이며 법률 자문에 해당하지 않습니다. 공지하기 전에 법무팀이나 DPO의 검토를 받으십시오.

데이터 4등급, 등급별로 넣을 수 있는 도구

직원이 법을 외울 필요는 없습니다. 눈앞의 데이터가 어느 등급인지만 알면 됩니다. 많은 회사에는 이미 데이터 분류 체계가 있습니다. AI 정책은 개인정보를 별도 등급으로 떼어 내는 것만 더합니다. PDPA에 고유한 규칙이 있고, 고객의 LINE 대화나 입사 지원서처럼 매일 업무에 나오기 때문입니다.

누군가 실수했을 때 누가, 언제까지, 무엇을 하는가

대비해야 할 사고는 등급이 다른 데이터를 다른 도구에 넣는 일입니다. 신고 절차는 당일에 신고할 마음이 들 만큼 짧아야 합니다. PDPA의 72시간은 회사가 안 때부터 계산하기 때문입니다.

1. 실수한 사람이나 발견한 사람이 당일 안에 정책 책임자에게 알립니다. 2. 사고를 기록합니다. 어떤 데이터인지, 몇 명분인지, 어떤 도구인지, 누구의 계정인지. 3. 가능하면 대화를 삭제하고, 공유 링크를 끊고, 계정이 노출됐다면 비밀번호를 바꿉니다. 4. DPO가 PDPC나 정보주체에게 알려야 하는지를 72시간 안에 판단합니다. 5. 원인을 고치고 이 사례를 교육에 넣습니다.

6개월마다 하는 검토에서는 도구 목록이 실제 사용과 맞는지, 공급업체 조건이 바뀌었는지, 새 법이 나왔는지를 봅니다.

초안부터 공지까지 1주

석 달 걸려 쓴 정책은 공지하는 날 이미 낡아 있기 쉽습니다. 첫 주에는 쓸 수 있는 판을 목표로 하고, 검토 때마다 고칩니다.

- 월요일: 부서별로 어떤 AI를 무엇에 쓰는지 익명으로 조사합니다. - 화요일: 도구를 고르고 기업용 계정을 엽니다. ChatGPT Enterprise, Microsoft 365 Copilot, Google Workspace의 Gemini는 허락 없이 기업 고객의 데이터를 모델 학습에 쓰지 않는다고 밝히고 있습니다. 다만 실제로 계약하는 플랜의 조건을 읽어 보십시오. - 수요일: 한 장짜리 정책과 4등급 표 초안을 쓰고 법무팀이나 DPO에게 보여 줍니다. 한국계 법인이라면 이날 태국어판도 함께 만듭니다. - 목요일: 부서마다 1시간, 그 부서의 실제 업무로 교육합니다. - 금요일: 공지하고 모두의 동의를 받은 뒤, 첫 검토일을 달력에 넣습니다.

정책이 실패하는 세 가지 경우

첫째는 전면 금지입니다. 직원은 회사가 보지 못하는 곳에서 계속 씁니다. 둘째는 승인된 도구가 없는 정책입니다. 직원은 무료 계정으로 돌아갑니다. 셋째는 책임자가 없는 정책으로, 질문에 답하거나 검토할 사람이 없습니다. 공지하기 전에 초안을 이 목록으로 점검하십시오.