AI 보안 도입 체크리스트 2026, 권한·로그·데이터 보호 기준

AI 보안 도입은 새 AI 도구를 하나 더 쓰느냐의 문제가 아니라, 회사 데이터가 어디로 들어가고 누가 결과물을 볼 수 있으며 문제가 생겼을 때 무엇을 추적할 수 있는지를 정하는 문제입니다. 특히 ChatGPT Enterprise, Microsoft 365 Copilot, Gemini, Claude, 사내 LLM 앱처럼 업무 데이터와 연결되는 도구는 구매 전 기능 비교보다 권한과 로그 기준을 먼저 봐야 합니다.

이 글은 AI 보안 솔루션을 하나로 추천하려는 글이 아닙니다. 작은 팀이나 B2B SaaS 운영자가 AI 기능을 도입하기 전 확인해야 할 기준을 권한, 데이터 보호, 로그, 비용, 운영 책임 순서로 정리한 체크리스트입니다.

먼저 결론부터

AI 보안 도입은 다음 다섯 가지가 문서로 남아야 진행할 만합니다.

1. 어떤 데이터가 AI 도구에 입력되는지 분류돼 있어야 합니다.
2. 관리자, 일반 사용자, 외부 협력사의 권한 경계가 분리돼 있어야 합니다.
3. 프롬프트, 파일 업로드, 외부 공유, API 호출 로그를 확인할 수 있어야 합니다.
4. 모델 학습 사용 여부, 보관 기간, 삭제 요청 경로가 약관이나 관리 콘솔에서 확인돼야 합니다.
5. 파일럿 비용뿐 아니라 보안 운영 인력, 감사 대응, DLP 연동 비용까지 같이 계산해야 합니다.

이 다섯 항목이 비어 있으면 기능이 좋아도 운영 리스크가 남습니다. 반대로 이 기준이 맞으면 비싼 엔터프라이즈 플랜을 쓰더라도 검토할 이유가 생깁니다.

1. 입력 데이터부터 세 단계로 나눕니다

AI 도구에 들어가는 데이터는 모두 같은 위험도가 아닙니다. 도입 전에 최소한 아래처럼 나눠야 합니다.

• 공개 가능 데이터: 블로그 문안, 공개 제품 설명, 일반 FAQ처럼 외부 노출 위험이 낮은 자료
• 내부 업무 데이터: 회의록, 고객 문의, 매출 요약, 운영 문서처럼 회사 안에서만 쓰는 자료
• 제한 데이터: 고객 개인정보, 계약서 원문, 계정 정보, 미공개 재무자료, 의료·법률·분쟁 관련 자료

초기 파일럿은 공개 가능 데이터와 내부 업무 데이터 일부로만 시작하는 편이 안전합니다. 제한 데이터까지 연결하려면 별도 승인, 접근 제어, 보관 기간, 삭제 절차가 필요합니다.

2. 관리자 권한과 사용자 권한을 분리합니다

AI 도구는 일반 SaaS보다 권한 경계가 흐려지기 쉽습니다. 사용자는 문서를 업로드하고, AI는 그 문서를 요약하거나 새 답변을 만들며, 결과물이 다른 사람에게 공유될 수 있습니다. 그래서 도입 전에는 다음 항목을 확인해야 합니다.

이 표를 채우지 못하면 AI 기능보다 기존 계정 관리부터 정리해야 합니다.

3. 로그가 없으면 파일럿 범위를 줄입니다

AI 보안에서 로그는 사후 책임 소재를 확인하는 최소 장치입니다. 모든 대화를 영구 저장해야 한다는 뜻은 아닙니다. 최소한 누가 언제 어떤 워크스페이스에서 어떤 파일을 연결했는지, 어떤 외부 앱이나 API가 호출됐는지 확인할 수 있어야 합니다.

팀 단위 도입이라면 다음 로그를 우선 봅니다.

• 사용자 로그인과 관리자 설정 변경 내역
• 파일 업로드, 공유, 삭제 기록
• 외부 커넥터와 API 키 생성 기록
• 워크스페이스 또는 프로젝트별 사용량
• 정책 위반이나 차단 이벤트

로그 기능이 엔터프라이즈 플랜에만 있다면 가격 비교표에서 그 비용을 따로 떼어 계산해야 합니다. 월 구독료는 낮아 보여도 감사 대응이 안 되면 실제 운영 비용이 커질 수 있습니다.

4. 데이터 학습 사용 여부를 약관이 아니라 설정에서 확인합니다

AI 도구의 데이터 처리 정책은 서비스마다 다릅니다. 중요한 것은 마케팅 문구가 아니라 관리자가 확인하고 통제할 수 있는 설정입니다. 모델 학습 사용 여부, 데이터 보관 기간, 삭제 요청 경로, 고객 데이터와 서비스 운영 데이터의 구분을 확인해야 합니다.

예를 들어 Microsoft 365 Copilot은 Microsoft 365 데이터 경계와 권한 모델 안에서 설명되고, Google Cloud는 AI 보안과 Model Armor 같은 보호 계층을 별도 문서로 제공합니다. Anthropic도 기업용 보안과 컴플라이언스 문서를 공개합니다. 이런 공식 문서를 기준으로 우리 회사의 데이터 등급과 맞는지 확인해야 합니다.

5. DLP와 파일 공유 정책을 같이 봅니다

AI 보안 도입은 DLP를 새로 사는 문제로만 보면 좁습니다. 실제로는 파일 공유 정책, 브라우저 확장 프로그램, 클라우드 드라이브 권한, CRM·헬프데스크 커넥터가 함께 움직입니다.

다음 질문에 답할 수 있어야 합니다.

• 고객 정보가 포함된 파일을 AI 도구에 업로드할 수 있는가?
• 업로드를 막는다면 예외 승인자는 누구인가?
• Google Drive, OneDrive, Notion, Slack 같은 커넥터가 어떤 범위까지 읽는가?
• AI 결과물을 외부 링크로 공유할 수 있는가?
• 민감 키워드나 개인정보 패턴을 차단할 수 있는가?

기능 소개 페이지보다 관리자 콘솔에서 실제로 켜고 끌 수 있는 항목을 확인하는 것이 중요합니다.

6. 비용은 보안 운영 비용까지 합쳐 봅니다

AI 보안 도입 예산은 단순히 사용자당 월 요금으로 끝나지 않습니다. 다음 비용을 함께 잡아야 합니다.

파일럿은 30일보다 90일이 낫습니다. 첫 달에는 신기해서 사용량이 튀고, 둘째 달에는 실제 반복 업무가 남으며, 셋째 달에는 유지할 계정과 줄일 계정이 보입니다.

7. 구매 전 체크리스트

구매 검토 회의에서는 아래 항목을 한 장으로 정리해도 충분합니다.

• 도입 목적: 문서 요약, 고객지원, 마케팅 문안, 개발 보조 중 무엇인지
• 사용 데이터: 공개 가능, 내부 업무, 제한 데이터 중 어디까지 허용할지
• 권한 기준: 관리자, 사용자, 외부 협력사의 역할 분리 여부
• 로그 기준: 사용자 활동, 파일 연결, 외부 공유, API 호출 확인 가능 여부
• 데이터 처리: 학습 사용 여부, 보관 기간, 삭제 요청 방식
• 비용 기준: 라이선스, API, 보안 옵션, 운영 인력 비용
• 중단 기준: 민감 데이터 업로드, 로그 부재, 비용 초과, 사용자 미사용 기준

이 체크리스트가 비어 있으면 구매보다 파일럿 범위를 줄이는 것이 먼저입니다.

함께 볼 글

• AI 업무 자동화 ROI 체크리스트 2026
• SaaS AI 기능 보안 체크리스트 2026
• 팀 SaaS 접근 권한 회수 체크리스트 2026

참고 출처

• Microsoft 365 Copilot privacy and protections
• Google Cloud AI security
• Google Cloud Model Armor
• NIST AI Risk Management Framework
• OWASP Top 10 for Large Language Model Applications
• Anthropic security and compliance

마무리

AI 보안 도입은 도구 이름보다 운영 기준을 먼저 정하는 일이 좋습니다. 어떤 데이터가 들어가고, 누가 볼 수 있고, 문제가 생겼을 때 어떤 로그로 확인할 수 있는지가 정리돼야 합니다. 그다음에 기능, 가격, 사용성을 비교하면 과한 구독을 줄이고 필요한 보안 옵션에는 예산을 배정할 수 있습니다.