공공기관 AI 교육 전 보안·개인정보 체크리스트

체크리스트의 목적

공공기관 생성형 AI 교육에서 보안 안내를 마지막 주의 문구로만 다루면 실습 과정에서 판단하기 어렵습니다. 교육 전에 도구, 계정, 자료, 실습, 결과물, 보관을 나누어 확인해야 참가자가 같은 기준으로 움직일 수 있습니다.

이 문서는 특정 기관의 보안 규정을 대신하지 않습니다. 기관의 정보보안 지침, 개인정보 처리 기준, 계약된 AI 서비스 조건이 우선이며, 확인되지 않은 경우에는 외부 공개가 가능한 비식별 교육용 자료만 사용하는 보수적인 구성이 안전합니다.

1. 도구와 계정

• 기관이 사용을 허용한 생성형 AI 서비스인지 확인합니다.
• 개인 계정, 기관 계정, 교육용 임시 계정 중 어떤 방식인지 정합니다.
• 입력 내용이 모델 학습이나 서비스 개선에 사용되는지 설정과 계약 조건을 확인합니다.
• 대화 기록과 업로드 파일의 보관 기간, 삭제 방법을 확인합니다.
• 파일 업로드, 외부 링크 열기, 플러그인·커넥터 사용 권한을 확인합니다.
• 참가자가 다중인증과 비밀번호 관리 기준을 지킬 수 있는지 확인합니다.

도구 이름이 같아도 계정 유형과 관리 설정에 따라 데이터 처리 범위가 다를 수 있습니다. 강사가 사용하는 화면만 기준으로 준비하면 참가자의 무료 계정이나 기관 계정에서 실습 기능이 보이지 않을 수 있습니다.

2. 입력 자료 분류

실습 자료는 최소한 다음 세 범주로 나누어 봅니다.

구분	예시	교육 원칙
공개 가능	이미 공개된 보도자료, 공개 통계, 교육용 가상 문서	출처와 최신성 확인 후 사용
내부 업무	공개 전 초안, 내부 회의 자료, 계약·사업 검토 정보	기관 승인과 허용 도구 확인 전 입력 금지
개인정보·민감정보	주민등록번호, 연락처, 건강·인사·민원 상세 정보	교육 자료에서 제거하고 가상 데이터로 대체

이름을 홍길동으로 바꾸는 것만으로 비식별화가 끝나지 않을 수 있습니다. 부서, 날짜, 사건 내용, 희귀한 직무가 결합되면 개인을 추정할 수 있으므로 문맥 전체를 확인해야 합니다. 교육 자료에는 실제 기관명, 직원명, 민원인 정보, 내부 시스템 주소, 계정 식별자를 넣지 않는 편이 안전합니다.

3. 파일 업로드 전 확인

• 파일 속 본문뿐 아니라 머리말·꼬리말, 메모, 주석, 숨은 시트도 확인합니다.
• 문서 속 작성자, 경로, 버전 같은 메타데이터가 남아 있는지 확인합니다.
• 여러 문서를 압축한 파일에 불필요한 원본이 섞이지 않았는지 확인합니다.
• 교육용 복사본을 만들고 원본과 명확히 다른 파일 이름을 사용합니다.
• 업로드가 꼭 필요한지, 필요한 부분만 텍스트로 옮길 수 있는지 먼저 판단합니다.

파일 전체 업로드는 편리하지만 참가자가 내용을 빠르게 훑어보기 어렵습니다. 실습 목표가 요약이나 문장 교정이라면 필요한 공개 구간만 추출한 교육용 문서를 제공하는 편이 통제하기 쉽습니다.

4. 프롬프트와 실습 설계

프롬프트 예시에도 실제 개인정보나 내부 사업명을 넣지 않습니다. 가상의 조직과 데이터를 사용하고, 참가자가 자신의 실제 자료를 붙여 넣지 않도록 실습 시작 전에 입력 금지 항목을 화면과 자료에 명시합니다.

실습은 되돌릴 수 있는 작업부터 시작합니다. 요약, 분류, 초안 작성처럼 결과를 검토한 뒤 버릴 수 있는 작업이 적합합니다. 자동 발송, 외부 게시, 결재, 원본 파일 덮어쓰기, 대량 삭제처럼 외부 영향이 있는 작업은 기본 교육에서 직접 연결하지 않고 사람 승인 단계를 설명합니다.

5. 출력 결과 검수

생성형 AI의 문장은 자연스러워도 내용이 정확하다는 뜻은 아닙니다. 결과물마다 다음 항목을 확인합니다.

1. 사람·기관·사업·제품의 고유명사가 원문과 같은가?
2. 날짜, 금액, 비율, 합계가 원자료와 일치하는가?
3. 법령·지침·통계의 버전과 출처를 원문에서 확인했는가?
4. 원문에 없는 단정, 원인, 평가가 추가되지 않았는가?
5. 개인정보와 내부 정보가 출력이나 파일 이름에 남지 않았는가?
6. 최종 승인자와 수정 책임자가 정해져 있는가?

교육 산출물에는 “AI 생성” 표시 자체보다 어떤 원문을 기준으로 누가 무엇을 검수했는지 남기는 절차가 중요합니다. 조직의 기록 관리 기준이 있다면 해당 양식을 따릅니다.

6. 교육 뒤 보관과 정리

• 실습 대화와 업로드 파일을 유지할 필요가 있는지 확인합니다.
• 임시 계정과 공유 링크의 사용 기간을 정하고 종료 후 회수합니다.
• 참가자가 만든 프롬프트에 실제 내부 정보가 남지 않았는지 확인합니다.
• 공유할 템플릿은 담당자가 다시 검토하고 버전을 표시합니다.
• 오류나 정보 노출이 발견됐을 때 보고할 내부 경로를 안내합니다.

교육 담당자용 최종 확인

교육 시작 전에 “사용 가능 도구”, “입력 금지 정보”, “사용할 예시 파일”, “결과 검수 방법”, “종료 후 삭제 범위” 다섯 가지를 한 장으로 정리하면 참가자가 실습 중에 다시 확인할 수 있습니다. 판단이 필요한 기관 내부 규정은 강의 자료에서 임의로 해석하지 않고 담당 부서의 확인을 받습니다.

이 체크리스트를 바탕으로 과정 구성을 검토하려면 공공기관 생성형 AI 실무교육 페이지에서 3시간·8시간 선택지와 준비물을 함께 확인할 수 있습니다.