개인정보보호위원회는 생성형 AI 이용 과정에서 개인정보가 노출될 경우 이용자와 기업이 따라야 할 대응 절차를 27일 공개했다. 자기소개서 작성, 계약서 검토, 내부 보고서 정리 등 업무에 AI를 활용하는 과정에서 개인정보가 답변에 포함돼 유출되는 사례를 막기 위한 조치다.
정부가 제시한 절차는 다섯 단계다. 우선 개인정보가 포함된 AI 답변을 다른 사람에게 전송하거나 게시하지 않도록 공유를 중단해야 한다. 이후 개인정보가 포함된 화면을 캡처해 증빙 자료를 확보한 뒤 문제가 된 대화와 업로드한 파일을 삭제한다. AI와 연결된 외부 앱이나 플러그인의 연동 권한도 회수해야 한다.
마지막 단계는 AI 서비스 사업자에 대한 신고다. 이용자는 서비스의 신고·피드백·고객센터를 통해 개인정보가 포함된 답변이 생성된 사실을 알리고 해당 대화와 파일 삭제를 요청할 수 있다. 사업자는 이 요청을 접수하면 필요한 조치를 취해야 한다.
이번 지침은 AI 활용이 확대되면서 기업 내부에서도 개인정보 처리 리스크가 커지고 있다는 판단에 따른 것이다. 특히 채용, 계약, 고객 응대 등 개인정보가 빈번히 입력되는 업무 영역에서 AI를 사용할 경우 사전에 프롬프트 입력 범위와 정보 공유 수준을 정해둘 필요가 있다.
다만 이번 절차는 권고 사항으로, 사업자의 구체적인 삭제 시한이나 미이행 시 제재 기준은 아직 마련되지 않았다. 기업은 자체 AI 사용 가이드라인에 개인정보 노출 시 대응 절차를 포함하고, 직원 대상 교육을 병행해야 할 것으로 보인다.