[ChatGPT 업무 03] AI 개인정보｜고객 정보를 AI에 넣어도 되나, 넣기 전에 확인할 것

※ 2026년 10월 27일 기준 (처음 작성 2026년 9월 23일 / 고친 내용: 개인정보 보호법 현행 시행본(2026년 9월 11일) 원문 다시 대조, 입력 판단표와 국외 이전 안내 빈칸 양식 추가, 과태료 표 보강)

고객이 보낸 항의 메일을 그대로 복사해 AI에 붙여 넣고 “정중한 답변으로 다듬어 줘”라고 합니다. 이름도 연락처도 주문번호도 그대로 들어갑니다. 편하지만, 이래도 되는지 마음이 걸립니다.

먼저 알아 둘 세 가지입니다.

• 고객 정보를 AI 서비스에 넣어 처리하게 하면 개인정보 처리위탁이 될 수 있습니다. 위탁이라면 문서로 하고 수탁자를 공개해야 합니다(개인정보 보호법 제26조 제1항·제2항)
• 해외 서비스라면 국외 이전 문제가 따로 생깁니다(제28조의8)
• 안전조치 의무는 언제나 따라옵니다(제29조). 어기면 3천만원 이하 과태료입니다(제75조 제2항 제5호)

즉 “넣어도 되나”의 답은 무엇을 넣느냐, 어떤 서비스에 넣느냐, 무엇을 해 두었느냐에 달려 있습니다.

[ChatGPT 업무 01] ChatGPT 업무 활용법, [ChatGPT 업무 02] AI 저작권에 이어 세 번째 글입니다.

AI 개인정보 한눈에 보기

상황	정리	근거
AI에 고객 정보를 넣어 처리	처리위탁에 해당할 수 있음	제26조
위탁하면	필수 내용이 담긴 문서로	제26조 ① 1~3호
위탁하면	업무 내용과 수탁자 공개	제26조 ②
어기면	1천만원 이하 과태료	제75조 ④
해외 서비스	국외 이전 — 별도 동의 또는 처리방침 공개 등	제28조의8 ①
민감정보	별도 동의 없으면 처리 금지	제23조 ①
주민등록번호	법령 근거 없으면 처리 금지	제24조의2 ①
안전조치	언제나 의무, 위반 시 3천만원 이하 과태료	제29조, 제75조 ② 5호
동의 없이 제3자 제공	5년 이하 징역 또는 5천만원 이하 벌금	제71조 1호

AI에 고객 정보를 넣는 것은 법적으로 무엇인가

개인정보를 남에게 넘기는 행위는 크게 둘로 나뉩니다. 제3자 제공은 받는 쪽이 자기 목적으로 쓰는 것이고, 처리위탁은 내 업무를 대신 처리하게 하는 것입니다. 둘의 차이는 개인정보 제3자 제공과 처리위탁 차이에서 자세히 다뤘습니다.

AI 서비스에 고객 문의를 넣어 답변 초안을 만들게 하는 것은 내 업무(고객 응대)를 처리하게 하는 쪽에 가깝습니다. 그래서 처리위탁 규정을 먼저 봐야 합니다.

한 가지 더. 위탁이든 아니든 그 정보를 처음 받을 때의 목적 범위를 벗어나면 안 됩니다. 개인정보 보호법 제15조 제1항은 수집 목적의 범위에서 이용할 수 있다고 정합니다. 주문 처리를 위해 받은 연락처를 전혀 다른 목적에 쓰는 것은 별개의 문제가 됩니다.

위탁이라면 해야 할 두 가지 — 문서와 공개

제26조 제1항은 개인정보 처리 업무를 위탁할 때 다음 내용이 포함된 문서로 하도록 정합니다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
2. 개인정보의 기술적·관리적 보호조치에 관한 사항
3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

제2항은 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하도록 정합니다. 실무에서는 개인정보 처리방침에 적어 두는 방식이 일반적입니다. 처리방침 만드는 법은 개인정보처리방침 만들기에 정리해 두었습니다.

문서로 하지 않거나 공개하지 않으면 각각 1천만원 이하의 과태료 대상입니다(제75조 제4항).

그 밖에 위탁자가 지는 의무도 있습니다.

• 수탁자를 교육하고 처리 현황을 점검·감독해야 합니다(제26조 제4항)
• 수탁자는 위탁받은 범위를 넘어 이용하거나 제3자에게 제공할 수 없습니다(제5항)
• 수탁자가 다시 위탁하려면 위탁자의 동의를 받아야 합니다(제6항)
• 수탁자가 법을 위반해 생긴 손해배상책임에서는 수탁자를 소속 직원으로 봅니다(제7항)

마지막 항이 특히 중요합니다. 맡겼다고 책임이 넘어가지 않습니다.

해외 AI 서비스라면 국외 이전 문제가 따로 있다

대부분의 생성형 AI 서비스는 서버가 해외에 있습니다. 제28조의8 제1항은 개인정보를 국외로 제공·처리위탁·보관하는 것을 원칙적으로 금지하고, 다음 경우에만 허용합니다.

허용 사유	내용
1호	정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
2호	법률·조약 등에 특별한 규정이 있는 경우
3호	계약 체결·이행을 위해 처리위탁·보관이 필요한 경우로서, 제2항 각 호의 사항을 처리방침에 공개했거나(가목) 전자우편 등으로 정보주체에게 알린(나목) 경우
4호	이전받는 자가 보호위원회가 고시하는 인증을 받고 필요한 조치를 한 경우
5호	이전되는 국가의 보호 수준이 실질적으로 동등하다고 보호위원회가 인정한 경우

소상공인에게 현실적인 길은 3호 가목입니다. 개인정보 처리방침에 국외 이전 사실을 적어 공개하는 방식입니다. 이때 알려야 할 사항은 제2항 각 호입니다.

1. 이전되는 개인정보 항목
2. 개인정보가 이전되는 국가, 시기 및 방법
3. 이전받는 자의 성명(법인이면 명칭과 연락처)
4. 이전받는 자의 이용목적 및 보유·이용 기간
5. 이전을 거부하는 방법, 절차 및 거부의 효과

바꿔 말하면, 처리방침에 아무것도 적어 두지 않은 상태에서 고객 정보를 해외 AI 서비스에 넣는 것은 위험합니다.

처리방침 국외 이전 안내 — 빈칸 양식 (예시)

아래 표는 제28조의8 제2항 각 호의 다섯 가지를 그대로 옮겨 빈칸 양식으로 만든 것입니다. 실제로 무엇을 적을지는 쓰는 AI 서비스의 약관과 계약서를 보고 정해야 하며, 모르는 칸을 추측해서 채우면 안 됩니다.

적어야 할 항목	적는 방식(예시)
이전되는 개인정보 항목	예: 고객 문의에 포함된 ○○, ○○
이전되는 국가, 시기 및 방법	예: ○○(국가) / 서비스 이용 시마다 / 네트워크를 통한 전송
이전받는 자	예: ○○(서비스 운영 법인 명칭) / 연락처 ○○
이전받는 자의 이용목적, 보유·이용 기간	예: 문의 답변 초안 작성 / ○○까지
이전을 거부하는 방법, 절차, 거부의 효과	예: ○○로 요청 / 거부하면 해당 서비스를 이용한 응대가 제한됨

입력 금지 — 민감정보와 고유식별정보(주민등록번호)

두 가지는 선이 더 뚜렷합니다.

• 민감정보 — 사상·신념, 노동조합·정당 가입, 정치적 견해, 건강, 성생활 등에 관한 정보는 별도 동의나 법령 근거가 없으면 처리할 수 없습니다(제23조 제1항). 위반하면 5년 이하 징역 또는 5천만원 이하 벌금입니다(제71조 4호)
• 주민등록번호 — 법률·대통령령 등에서 구체적으로 처리를 요구·허용한 경우 등이 아니면 처리 자체가 금지입니다(제24조의2 제1항). 고유식별정보도 별도 동의나 법령 근거가 필요합니다(제24조 제1항)

건강 상담 내용, 진단서 사진, 신분증 사본을 AI에 넣어 요약시키는 일은 하지 마십시오.

안전조치 의무는 AI를 쓸 때도 그대로다

제29조는 개인정보가 유출되지 않도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 기술적·관리적·물리적 조치를 하도록 정합니다. 위반하면 3천만원 이하 과태료입니다(제75조 제2항 제5호).

AI를 쓰는 상황으로 옮기면 이런 것들입니다.

• 누가 어떤 업무에 어떤 AI 서비스를 쓰는지 정해 두기(개인 계정 무단 사용 금지)
• 고객 정보를 넣어도 되는 경우와 안 되는 경우를 내부 규칙으로 적어 두기
• 계정에 2단계 인증 걸기, 퇴사자 계정 정리하기
• 대화 기록에 남은 고객 정보는 주기적으로 삭제하기

가장 안전한 길 — 개인정보를 빼고 넣기(가명·익명처리)

법을 따지기 전에 가장 확실한 방법은 개인정보를 넣지 않는 것입니다. 대부분의 업무는 그래도 됩니다.

원래 문장	넣을 때
김○○ 고객님(010-1234-5678)이 3월 2일 주문한 상품이…	고객이 주문한 상품이…
서울시 ○○구 ○○아파트 101동 1202호로 배송된	아파트로 배송된
주문번호 20260302-114 건 환불 요청	환불 요청 건

이름·연락처·주소·주문번호를 지우고 상황만 넣어도 답변 초안의 품질은 거의 같습니다. 통계나 연구 목적이라면 가명정보 규정(제28조의2)도 있지만, 이는 특정 개인을 알아볼 수 없게 처리한 정보를 전제로 하는 제도라 일상 업무에서 “이름만 지웠다”는 것과는 다릅니다.

넣기 전에 세 칸으로 나눠 보기 (예시)

구분	입력하려는 내용(예시)	판단
넣어도 되는 쪽	개인을 알아볼 수 없는 문의 상황 요약, 상품 설명 초안, 일반적인 안내문 초안	개인정보가 없으면 이 글의 위탁·국외 이전 문제는 생기지 않습니다(회사 기밀은 별도로 판단)
멈추고 확인	이름은 지웠지만 주문번호·상세 주소·통화 내용이 남은 문의	다른 정보와 합쳐 특정 개인을 알아볼 수 있으면 여전히 개인정보입니다
넣지 않는 쪽	이름과 연락처가 그대로 있는 문의, 주민등록번호, 건강 상담·진단서·신분증 사본	민감정보와 주민등록번호는 법이 처리를 막거나 엄격히 제한합니다(제23조, 제24조의2)

AI가 학습하지 못하게 막는 설정은 어디까지 효과가 있나

생성형 AI 개인정보 문제에서 가장 많이 듣는 질문이 “학습에 쓰지 않게 설정하면 되지 않느냐”입니다. 많은 서비스가 대화 내용을 모델 학습에 쓰지 않도록 하는 설정이나 기업용 요금제를 제공합니다. 설정 위치와 조건은 서비스마다 다르고 자주 바뀌므로, 쓰는 서비스의 설정 화면과 약관을 직접 확인하십시오.

다만 설정이 법적 요건을 대신하지는 않습니다. 학습에 쓰이지 않더라도 입력한 자료는 전송되고 일정 기간 보관됩니다. 즉 외부에서 처리되는 것은 그대로이므로 다음은 남습니다.

• 위탁이라면 문서와 공개(제26조 제1항·제2항)
• 해외 서비스라면 국외 이전 요건(제28조의8 제1항)
• 안전조치 의무(제29조)

정리하면 학습 차단 설정은 위험을 줄이는 수단이고, 요건을 없애 주는 장치가 아닙니다.

어기면 어떻게 되나 — 처벌 수위

어긴 내용	결과	근거
동의 없이 제3자에게 제공	5년 이하 징역 또는 5천만원 이하 벌금	제71조 1호
별도 동의 없이 민감정보 처리	5년 이하 징역 또는 5천만원 이하 벌금	제71조 4호
안전조치 미이행	3천만원 이하 과태료	제75조 ② 5호
위탁을 문서로 하지 않음	1천만원 이하 과태료	제75조 ④
수탁자를 공개하지 않음	1천만원 이하 과태료	제75조 ④
주민등록번호를 법적 근거 없이 처리	3천만원 이하 과태료	제24조의2 제1항, 제75조 ② 7호
수탁자가 위탁자 동의 없이 다시 위탁	2천만원 이하 과태료	제26조 제6항, 제75조 ③ 1호

직원이 마음대로 넣는 것을 막는 규칙 한 장

소상공인 사업장에서 실제로 사고가 나는 지점은 직원의 즉흥적인 붙여넣기입니다. 다음 다섯 줄을 사내 규칙으로 적어 두십시오.

1. 고객 이름·연락처·주소·주민등록번호는 AI에 넣지 않는다
2. 건강·진단서·신분증 관련 자료는 어떤 형태로도 넣지 않는다
3. AI는 회사가 정한 서비스와 계정으로만 쓴다
4. 고객 자료를 넣어야 하는 일은 사장에게 먼저 확인한다
5. 대화 기록은 월 1회 정리한다

쓰기 전 확인 목록

• 넣으려는 내용에서 개인을 알아볼 수 있는 부분을 지웠다
• 해외 서비스라면 처리방침에 국외 이전 사항을 적어 공개했다
• AI 서비스를 위탁으로 본다면 문서와 공개 요건을 갖췄다
• 민감정보·주민등록번호는 넣지 않는다
• 계정 관리와 기록 삭제 규칙을 정해 두었다
• 직원용 규칙을 한 장으로 적어 공유했다

자주 묻는 질문 (FAQ)

고객 이름과 전화번호를 ChatGPT에 넣어도 되나요?

권하지 않습니다. 넣는 순간 개인정보를 외부 서비스에서 처리하게 되는 것이라, 처리위탁 요건(제26조 제1항·제2항)과 해외 서비스라면 국외 이전 요건(제28조의8)을 먼저 갖춰야 합니다. 이름·연락처를 지우고 상황만 넣는 편이 안전합니다.

AI 서비스가 처리위탁에 해당하나요?

내 업무를 대신 처리하게 하는 구조라면 처리위탁으로 볼 여지가 큽니다. 개인정보 보호법 제26조는 위탁 시 필수 내용이 담긴 문서와 수탁자 공개를 요구합니다. 개별 서비스의 계약 형태에 따라 판단이 달라질 수 있으니, 고객 정보를 계속 다뤄야 한다면 전문가와 상의하십시오. 개인정보보호위원회에는 생성형 AI 개발·활용 개인정보 처리 안내서가 있지만, 고객 정보를 AI 서비스에 입력하는 경우를 처리위탁으로 본다는 공식 기준은 이 글을 쓴 시점에 확인하지 못했습니다. 그래서 “위탁에 해당할 수 있다”고 보고 요건을 점검하는 편이 안전합니다.

처리방침에 무엇을 적어야 하나요?

위탁을 한다면 위탁 업무 내용과 수탁자를 공개해야 합니다(제26조 제2항). 해외로 이전된다면 제28조의8 제2항 각 호(이전 항목, 국가·시기·방법, 이전받는 자, 이용목적과 기간, 거부 방법)를 적어 공개하는 방식이 제1항 제3호 가목의 길입니다.

유료 요금제를 쓰면 괜찮나요?

요금제는 법적 요건과 직접 관계가 없습니다. 학습 이용 여부나 보관 기간 같은 조건은 서비스 약관과 설정에서 정해지므로 확인이 필요하지만, 그것만으로 제26조·제28조의8의 의무가 사라지지는 않습니다.

직원이 개인 계정으로 고객 정보를 넣었습니다. 누구 책임인가요?

사업자가 개인정보처리자입니다. 제29조는 안전성 확보 조치를 의무로 정하고, 위반 시 3천만원 이하 과태료가 부과될 수 있습니다(제75조 제2항 제5호). 내부 규칙과 계정 관리가 되어 있지 않았다면 사업자 책임이 무거워집니다.

이름만 지우면 개인정보가 아닌가요?

아닙니다. 다른 정보와 합쳐 특정 개인을 알아볼 수 있으면 여전히 개인정보입니다. 주문번호, 상세 주소, 통화 내용이 함께 있으면 알아볼 수 있는 경우가 많습니다. 통계·연구 목적의 가명정보 제도(제28조의2)는 별도의 처리 요건을 전제로 합니다.

AI가 학습에 쓰지 않도록 설정하면 넣어도 되나요?

학습 제외 설정은 위험을 줄이는 수단이지, 법적 요건을 대체하지 않습니다. 입력한 자료는 전송·보관 과정에서 이미 외부에서 처리되므로, 위탁·국외 이전·안전조치 요건은 그대로 남습니다.

고객 이름을 A, B 같은 이니셜로 바꾸면 안전한가요?

이니셜만 바꿔도 주문번호·상세 주소·대화 내용이 함께 있으면 특정 개인을 알아볼 수 있는 경우가 많습니다. 개인정보 보호법 제28조의2는 가명정보를 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 동의 없이 처리할 수 있게 한 규정이라, 일상적인 고객 응대 업무에 그대로 적용되는 제도가 아닙니다. 실무에서는 누구인지 알아볼 수 없게 아예 빼고 넣는 편이 안전합니다.

고객이 문자나 메신저로 먼저 보내온 정보를 AI에 넣는 것도 문제가 되나요?

고객이 먼저 보냈다는 사정만으로 다른 용도로 쓸 수 있게 되지는 않습니다. 제15조 제1항은 수집 목적의 범위에서 이용하도록 정합니다. 문의 해결을 위해 받은 내용을 그 범위에서 처리하는 것과, 외부 AI 서비스에 넣어 처리하게 하는 것은 별개의 검토가 필요합니다. 위탁 요건(제26조)과 해외 서비스라면 국외 이전 요건(제28조의8)을 먼저 보십시오.

고객 정보를 AI에 넣었다가 유출되면 어떻게 되나요?

유출 시에는 정보주체 통지와 신고 의무가 따로 있고, 안전조치 위반에는 과태료가 부과될 수 있습니다. 동의 없이 제3자에게 제공한 경우라면 5년 이하 징역 또는 5천만원 이하 벌금 대상입니다(제71조 1호). 사고가 나면 바로 전문가와 상의하십시오. 통지 항목·72시간 기한·신고 대상은 개인정보 유출 통지·신고 기준에 정리했습니다.

근거 법령·자료

법령 이름을 누르면 국가법령정보센터 원문으로 이동합니다.

• 개인정보 보호법 제15조, 제17조, 제23조, 제24조, 제24조의2, 제26조, 제28조의2, 제28조의8, 제29조, 제71조, 제75조

※ 2026년 10월 27일 기준 국가법령정보센터의 법령 원문을 바탕으로 정리했습니다. 「개인정보 보호법」은 2026년 9월 11일 시행본(법률 제21445호, 2026년 3월 10일 일부개정)을 대조했습니다. 개별 서비스의 계약 형태에 따라 판단이 달라질 수 있으므로, 고객 정보를 계속 다루는 업무라면 전문가에게 확인하시기 바랍니다.

이 글의 그림은 AI로 만든 예시 이미지이며 실제 사진이 아닙니다.