다키클라우드, 기업 AI 도입 확산 맞춘 핵심 데이터 통제 4대 기준 제시

-단순 질의응답 넘어 AI 에이전트 확산…프라이버시에서 데이터 주권으로 문제 확대

-입력 항목·보존 기간·연동 권한·삭제 회수권 등 4가지 체크리스트 확인 제안

-에이전트 메모리·로그 관리 필수…‘입력 통제’ 넘어 ‘작업 실행 권한 통제’ 필요

클라우드 및 인공지능 솔루션 기업 다키클라우드가 생성형 AI 환경에서 제기되는 ‘입력 정보의 흐름과 저장’에 대한 개인적 의문이 엔터프라이즈 환경에서는 데이터 주권(Data Sovereignty)과 기업 거버넌스 책임으로 직결되고 있다고 지적하며, 안전한 AI 활용을 위한 4대 데이터 통제 기준을 10일 발표했다.

생성형 AI가 단순 검색이나 텍스트 요약을 넘어 사내 ERP, 데이터베이스와 연동되는 업무 자동화 및 AI 에이전트(Agent)로 고도화되면서 사용자가 시스템에 위임하는 정보의 양과 민감도 역시 급증하고 있다. 한국언론진흥재단 미디어연구센터가 실시한 조사에 따르면 성인 이용자의 88.7%가 AI의 개인정보 침해 가능성을 우려하는 것으로 나타났다. 개인정보보호위원회 역시 모델 학습 활용 여부, 대화 기록 보관 정책, 옵트아웃(Opt-out) 권한 등을 명시하도록 ‘개인정보 처리방침 작성지침’과 ‘생성형 AI 이용자 보호 가이드’를 잇따라 배포하며 제도적 방어선을 구축하고 있다.

다키클라우드는 이러한 프라이버시 이슈가 기업 환경으로 넘어가면 계약서, 고객 DB, 핵심 소스코드, 연구개발 자료 등 기업의 존립을 좌우하는 데이터 주권 문제로 비화한다고 분석했다. 특히 직원의 단순 주의 환기를 넘어 조직 차원의 체계적인 통제선이 마련되어야 한다며 다음의 4가지 핵심 질문을 점검할 것을 권고했다.

첫째, ‘무엇을 입력하는가(입력 데이터 범위)’다. 개인은 제3자의 개인정보 포함 여부를 따져야 하며, 기업은 취급하는 업무 데이터의 보안 등급에 따라 어떤 AI 서비스에 입력을 허용할지 조직적 가이드라인을 세워야 한다.

둘째, ‘입력한 정보는 어떻게 사용되고 얼마나 남는가(사용 및 보존 주기)’다. AI 모델의 파인튜닝 학습 배제와 대화 기록 저장은 물론, 자율 에이전트가 축적하는 장기 기억(Memory)과 시스템 운영 감사 로그(Log)의 저장 기한 및 암호화 수준을 관리해야 한다.

셋째, ‘무엇과 연결되는가(연동 및 툴 사용 범위)’다. 에이전트가 외부 API, 사내 메신저, 클라우드 저장소 등과 연계될 때 데이터가 단일 AI 모델 밖으로 전파되므로, 에이전트에 허용되는 시스템 접근 권한(IAM)을 최소 권한 원칙에 따라 철저히 제어해야 한다.

넷째, ‘사용을 중단하거나 정보를 삭제·변경할 수 있는가(삭제 및 회수 권한)’다. 학습 배제 설정뿐 아니라 공급업체(Vendor) 변경 시 기존 연동 권한을 즉시 회수하고, 저장된 벡터 데이터, 로그, 메모리를 완전 파기할 수 있는 통제권을 기업이 확보하고 있어야 한다.

특히 최근 부상한 AI 에이전트는 프롬프트 인젝션(Prompt Injection) 공격이나 시스템 과권한 부여 위험이 상존한다. 에이전트가 실제 작업 실행 권한을 갖게 되면서 통제의 관점은 ‘어떤 텍스트를 입력했는가’에서 ‘AI가 실질적으로 시스템에서 무엇을 수행할 수 있는가’로 전환되고 있다는 설명이다. 결제, 삭제, 발송 등 비가역적 액션에는 반드시 관리자 사전 승인(Human-in-the-loop) 체계를 필수 적용해야 한다.

다키클라우드 관계자는 “데이터 통제 체계 구축이 퍼블릭 클라우드나 외부 상용 AI 도입을 배제하라는 뜻은 아니다”라며 “비즈니스 효율성과 보안성을 양립하기 위해 민감도에 따라 자체 통제 영역과 외부 위임 영역을 명확히 구분하고, 언제든 데이터와 권한을 회수할 수 있는 주권을 기업 스스로 유지해야 한다”고 강조했다.

Welaunch  서아림 기자

​스타트업∙딥테크 뉴스 전문 미디어-위런치

Copyright ⓒ Welaunch. All rights reserved.

보도자료/기고  : editor@welaunch.kr

광고/제휴 문의 : we@welaunch.kr