글 요약
공공기관 생성형 AI 도입 가능할까? N2SF 보안통제와 외부 클라우드 이용 절차 관련 확인 방법과 주의사항을 정리했습니다.
2026년 현재 공공기관도 생성형 AI를 도입할 수 있습니다. 다만 공개형 AI에 업무자료를 바로 입력하는 방식이 아니라, 정보의 C·S·O 등급분류와 위험평가, 외부 전송 통제, 클라우드 안전성 검토, 계약·운영·종료 절차를 거친 ‘조건부 도입’이어야 합니다.
목차
가장 빠른 판정 기준은 간단합니다. 공개 인터넷형 생성형 AI에는 원칙적으로 O등급으로 판정된 정보만 활용하고, S등급 정보가 프롬프트·첨부파일·검색 인덱스·로그 등의 경로로 외부에 전송되지 않도록 막아야 합니다. 개인정보가 있다면 N2SF 등급과 별도로 개인정보 처리의 적법성도 검토해야 합니다.
따라서 “CSAP 인증 서비스이니 바로 계약해도 된다”거나 “공개된 자료이니 아무 통제 없이 입력해도 된다”는 판단은 위험합니다. 기관의 정보보안담당 부서가 업무 대상, 데이터 흐름, 서비스 자격, 통제 수준과 계약 조건을 함께 확인해야 실제 도입 가능 여부가 결정됩니다.
핵심 요약
- 공공기관 생성형 AI 도입 가능할까? N2SF 보안통제와 외부 클라우드 이용 절차의 적용 대상과 현재 기준을 먼저 확인합니다.
- 공공기관 생성형 AI 도입, 먼저 가능 여부부터 판정하기 항목에서 가장 중요한 조건을 확인합니다.
- C·S·O 등급과 공개형 생성형 AI의 허용 범위 항목에서 신청 또는 이용 순서를 확인합니다.
- N2SF 5단계와 생성형 AI 보안통제 설계 항목에서 제외 조건과 주의사항을 확인합니다.
- 도입 가능: N2SF는 생성형 AI와 외부 클라우드를 일률적으로 금지하지 않습니다.
- 공개형 AI의 기본선: 모델 2 참조구조에서는 활용 업무정보를 O등급으로 한정하고 S등급의 외부 전송을 차단합니다.
- 인증만으로 끝나지 않음: 보안인증 여부와 별개로 기관의 안전성 검토, N2SF 통제 설계, 계약 조건 확인이 필요합니다.
- 외부 클라우드 절차: 대상 확정부터 등급분류, 위험평가, 서비스 검증, 계약, 이용정보 등록, 운영점검, 반환·파기까지 관리해야 합니다.
- 개인정보는 별도 심사: 처리 근거, 목적 제한, 최소처리, 위탁·제3자 제공·국외 이전 여부를 추가로 확인해야 합니다.
공공기관 생성형 AI 도입, 먼저 가능 여부부터 판정하기
지금 검토를 진행할 수 있는 경우
다음 조건을 충족할 수 있다면 생성형 AI 도입 검토를 진행할 수 있습니다. 기관이 허용할 업무를 구체적으로 정하고, 입력되는 정보와 출력물의 흐름을 파악하며, 위험에 맞는 보안통제를 적용할 수 있어야 합니다. 단순히 직원 개인의 생산성 향상을 이유로 일반 소비자용 AI 계정을 임의 사용하는 것은 기관 차원의 도입과 구분해야 합니다.
- 요약·번역·초안 작성 등 허용 업무가 명확하다.
- 프롬프트, 첨부파일, 연동 데이터와 로그의 C·S·O 등급을 판단할 수 있다.
- 기관이 승인한 서비스, 계정, 단말과 접속 경로만 사용하도록 제한할 수 있다.
- S등급 자료와 개인정보의 외부 전송을 탐지·차단할 수 있다.
- 서비스의 저장 위치, 보존 기간, 학습 이용 여부와 재위탁 구조를 확인할 수 있다.
- 장애·침해사고 발생 시 접속 차단, 계정 회수, 로그 확인과 비상 격리가 가능하다.
- 계약 종료 시 데이터 반환·이관·파기와 증명자료 확보가 가능하다.
당장 사용을 멈추고 재검토해야 하는 경우
업무자료의 등급을 모르는 상태에서 직원이 개인 계정으로 공개형 AI에 자료를 붙여 넣고 있다면 먼저 사용 범위를 재검토해야 합니다. 주민등록번호, 민원 내용, 인사자료, 내부 의사결정 자료, 미공개 사업계획, 접근키, 소스코드, 시스템 구성정보 등이 포함될 가능성이 있는데도 입력 차단이나 로그 관리가 없다면 도입 준비가 끝난 상태로 보기 어렵습니다.
기관전용 또는 폐쇄형 AI라고 해서 자동으로 모든 자료를 처리할 수 있는 것도 아닙니다. 전용 환경은 공개 인터넷형 모델과 정보 흐름이 다르므로 저장소, 모델 학습, 운영자 접근, 외부 API 호출, 장애지원 경로까지 별도로 모델링해야 합니다. 구체적인 자료 등급은 문서 제목만 보고 정하지 말고 법령상 비공개 기준, 업무 영향도, 다른 정보와 결합했을 때의 위험을 함께 평가해야 합니다.
주의사항
N2SF는 기존 망분리를 즉시 폐지한다는 뜻이 아닙니다. 정보서비스의 위험에 따라 통제를 차등 적용하는 체계이며, 필요한 구간에는 네트워크 격리, 일방향 전송, 별도 승인 절차가 계속 요구될 수 있습니다.
C·S·O 등급과 공개형 생성형 AI의 허용 범위
N2SF 적용의 출발점은 업무정보를 기밀정보(C), 민감정보(S), 공개정보(O)로 분류하는 것입니다. 이 분류는 단순한 문서 라벨 작업이 아닙니다. 생성형 AI에서는 원문뿐 아니라 프롬프트, 첨부파일, 검색증강생성용 인덱스, 출력물, 대화 이력, 보안로그도 각각 정보 객체로 식별해야 합니다.
| 판정 항목 | 공개 인터넷형 AI | 기관전용·폐쇄형 AI | 필수 확인 |
|---|---|---|---|
| O등급 정보 | 모델 2에서 활용 가능하나 통제 필요 | 기관 설계에 따라 활용 가능 | 공개 상태, 결합 위험, 저작권, 개인정보 포함 여부 |
| S등급 정보 | 외부 AI 전송 차단이 기본 | 별도 위험평가와 강화 통제 필요 | 저장 위치, 운영자 접근, 암호화, 외부 연동 |
| C등급 정보 | 공개형 서비스 입력 대상으로 판단하면 안 됨 | 격리 수준과 관련 규정에 따른 별도 설계 | 접근권한, 네트워크 격리, 반출 통제, 감사 |
| 개인정보 | 비식별 여부만으로 즉시 허용 불가 | 처리 근거와 수명주기별 보호조치 필요 | 위탁, 제3자 제공, 국외 이전, 재식별 위험 |
O등급도 무통제 입력은 아니다
O등급은 ‘인터넷에 입력해도 무엇이든 괜찮다’는 뜻이 아닙니다. 이미 공개된 보도자료라도 아직 공개되지 않은 수정 이력이나 담당자 연락망이 첨부될 수 있고, 여러 공개자료를 결합해 새로운 민감성이 생길 수도 있습니다. 저작권이나 이용허락 문제가 있는 자료도 별도로 확인해야 합니다.
공개 인터넷의 생성형 AI를 다루는 모델 2 참조구조에서는 활용 업무정보를 O등급으로 한정합니다. 동시에 승인된 서비스와 단말, 이용자·단말 인증, 프롬프트 및 콘텐츠 필터링, 정보등급 식별, 정보 흐름 통제, 로그와 감사를 적용하도록 제시합니다. 즉 O등급 판정은 통제의 종료점이 아니라 외부 AI 활용을 검토할 수 있는 출발선입니다.
같은 문서도 처리 단계에 따라 등급이 달라질 수 있다
공개된 통계자료는 O등급일 수 있지만, 이를 이용해 작성 중인 정책 대응안이나 기관 내부 평가가 자동으로 O등급이 되는 것은 아닙니다. 생성형 AI가 만든 출력물도 사람이 검토하기 전에는 사실 오류, 비공개 정보의 추론, 차별적 표현이나 허위 인용이 포함될 수 있으므로 별도 객체로 관리해야 합니다.
검색증강생성 방식에서는 원본 저장소만 볼 것이 아니라 문서가 잘게 나뉘어 저장되는 벡터 인덱스, 검색 결과, 캐시와 질의 로그도 확인해야 합니다. 원문을 삭제했는데 인덱스나 백업에 남아 있는 경우까지 종료·파기 설계에 포함해야 합니다.
N2SF 5단계와 생성형 AI 보안통제 설계
N2SF 기본 절차는 준비(Prepare), 등급분류(Categorize), 위협식별(Identify), 보안대책 수립(Select), 적절성 평가·조정(Assess)의 5단계입니다. 참조구조의 통제 목록을 그대로 구매 목록으로 바꾸기보다 기관의 업무, 사람, 단말, 네트워크, 데이터와 외부 서비스 사이의 흐름을 먼저 그려야 합니다.
1단계와 2단계: 범위를 정하고 정보 객체를 분류한다
먼저 “직원이 문서 초안을 만드는 업무”처럼 대상 업무와 책임부서를 구체적으로 정합니다. 이어서 사용자, 관리자, 승인 단말, 공개형 AI, 프록시, 문서저장소, 로그시스템을 식별합니다. 프롬프트, 첨부파일, 출력물, 대화 이력, API 호출 기록까지 C·S·O로 분류하고 등급 판정 근거를 남깁니다.
3단계: 우회와 유출 경로를 위협으로 식별한다
주요 위협은 미승인 계정 사용, 개인 단말 접속, 프록시 우회, S등급 자료의 복사·붙여넣기, 파일명이나 메타데이터를 통한 노출, 악성 프롬프트, AI 출력의 무검증 재사용, 관리자 계정 탈취, 로그 미수집 등입니다. 외부 플러그인이나 커넥터가 켜져 있다면 제3의 서비스로 정보가 다시 전달되는 경로도 조사해야 합니다.
4단계와 5단계: 통제를 선택하고 실제 차단 여부를 시험한다
생성형 AI용 통제에는 승인 서비스·단말 제한, 단말 무결성 확인, 보안 패치, 악성코드 차단, 계정 생성·변경·회수 관리, 프록시 경유 강제, 허용목록 기반 통신, 우회접속 차단, 데이터 유형·등급 기반 전송 차단, 최소권한, 감사로그와 비상 격리가 포함될 수 있습니다.
통제를 문서에 적는 것만으로는 충분하지 않습니다. S등급 표식이 있는 문장, 주민등록번호 형식, 암호화된 압축파일, 이미지 속 문자, 확장자를 바꾼 파일 등을 이용해 차단 시험을 수행해야 합니다. 정상 업무가 과도하게 차단되는지도 함께 확인하고, 예외 승인 절차와 사후 검토 기한을 정합니다.
해설서에 제시된 통제는 모든 기관에 똑같이 적용되는 절대 목록이 아닙니다. 기관 환경과 위협, 관련 규정에 따라 추가·수정·삭제할 수 있지만, 왜 그렇게 조정했는지와 남은 위험을 누가 승인했는지 입증할 수 있어야 합니다.
외부 클라우드 이용은 검토부터 종료까지 관리한다
행정기관과 공공기관의 외부 클라우드 이용은 원칙적으로 금지된 것이 아닙니다. 신규 구축이나 시스템 교체 시 보안성, 안정성, 확장성, 비용효율성을 종합해 클라우드 이용을 검토할 수 있습니다. 다만 서비스 자격 확인과 기관의 보안성 검토는 별개의 과정입니다.
계약 전: 서비스 자격과 안전성을 확인한다
서비스명이나 회사명만 확인하지 말고 실제 계약하려는 상품·리전·기능 단위로 검토해야 합니다. 보안인증 및 보안검증 상태, 데이터 저장 국가와 위치, 고객 데이터의 모델 학습 이용 여부, 보존 기간, 삭제 방식, 재위탁 사업자, 관리자 접근, 암호화, 사고통지, 장애·재해 복구, 관제·모니터링 조건을 확인합니다.
현행 고시는 보안인증 서비스를 우선 고려하도록 하지만, 인증 보유가 기관의 N2SF 설계와 안전성 검토를 면제하는 것은 아닙니다. 제공자의 배상책임보험 가입 여부와 고시 별표 2의 안전성 점검요소도 검토 대상입니다. 일반 소비자용 해외 AI의 개인 계정 이용과 기관이 승인·계약한 클라우드 서비스 도입을 같은 것으로 판단해서는 안 됩니다.
계약 단계: 점검권과 데이터 처리 조건을 문서화한다
클라우드 계약은 경쟁입찰이 원칙이며, 법령에 따라 선정된 디지털서비스는 현행 고시가 정한 예외적 계약 방식을 이용할 수 있습니다. 실제 적용 가능한 계약 방식은 조달·계약 담당 부서가 최신 법령과 서비스 등록 상태를 확인해야 합니다.
계약서에는 보안 요구사항, 장애 대응시간, 사고통지, 로그 제공, 하도급·재위탁, 데이터 위치, 기관의 운영실태 점검권, 계약 종료 시 반환·이관·파기 방법과 증명자료를 반영해야 합니다. 기관 소속 공무원이나 임직원이 지침 준수, 보안인증 요건, 안전성과 설비 운영실태를 점검할 수 있어야 하며, 점검은 원칙적으로 제공자에게 15일 전에 목적과 일시를 통보하는 기준도 고려해야 합니다.
계약 후: 30일 등록과 운영점검을 놓치지 않는다
이용계약일부터 30일 이내에 고시 별표 1의 이용정보를 정보자원관리시스템에 등록할 수 있도록 조치해야 합니다. 담당자 지정, 계정 발급과 회수, 권한 정기검토, 취약점 조치, 로그 점검, 장애훈련, 서비스 약관 변경 감시도 운영계획에 넣는 것이 좋습니다.
제품 업데이트로 데이터 학습 옵션이나 외부 커넥터가 새로 활성화될 수 있으므로 최초 승인만으로 운영을 끝내면 안 됩니다. 서비스 기능, 이용약관, 저장 위치, 재위탁자, 인증 상태가 바뀌면 영향평가와 승인 범위를 다시 확인해야 합니다.
이용 종료: 반환·이관·파기 증빙을 확보한다
계약 종료 시에는 데이터를 반환받은 뒤 파기하거나, 반환 없이 파기하거나, 다른 사업자에게 이관한 뒤 기존 제공자에게 남은 데이터를 파기하는 방식 중 하나를 선택합니다. 파기는 복구할 수 없는 방법으로 수행하고 완료 증명자료를 확보해야 합니다.
온라인으로 데이터를 반환받는 경우에는 암호화와 전용선·VPN 등 안전한 경로를 사용합니다. 원본뿐 아니라 복제본, 백업, 캐시, 임시파일, 검색 인덱스와 지원 과정에서 만들어진 진단자료가 계약상 파기 범위에 포함되는지도 확인해야 합니다.
실무 도입 순서와 PC·모바일 운영 차이
실무에서는 다음 순서로 진행하면 누락을 줄일 수 있습니다. 먼저 도입 대상을 확정하고 N2SF 적용계획을 수립합니다. 이어 입력자료·프롬프트·첨부파일·검색 인덱스·출력물·로그를 분류하고, 위치·주체·객체 관계를 모델링합니다. 그다음 서비스 자격, 보안통제, 안전성, 개인정보를 검토한 뒤 계약과 운영조건에 반영하고, 계약 후 등록과 운영점검을 수행합니다.
실행 담당자가 준비할 산출물
최소한 업무 범위서, 데이터 흐름도, C·S·O 분류표, 위협 목록, 통제 설계서, 적절성 평가 결과, 개인정보 검토서, 서비스 안전성 확인자료, 계약 보안특약, 비상대응 절차와 종료·파기 계획을 준비하는 것이 좋습니다. 하나의 문서로 통합해도 되지만 등급 판정자, 통제 운영자, 위험 승인자의 역할은 구분해야 합니다.
PC와 모바일은 같은 계정이어도 위험이 다르다
PC에서는 승인 브라우저, 보안 에이전트, 프록시, 파일 업로드 차단과 클립보드 통제를 적용하기 비교적 쉽습니다. 반면 모바일 앱은 개인 사진첩, 음성입력, 카메라 촬영, 공유 메뉴, 다른 앱과의 연동을 통해 자료가 이동할 수 있습니다. 기관이 모바일 사용을 허용하려면 관리형 단말 여부, 앱 설치 출처, 화면 캡처, 로컬 저장, 생체인증, 분실 시 원격 잠금·삭제까지 별도로 점검해야 합니다.
공식 문서 열람도 모바일에서는 첨부파일 표와 별표가 축소되거나 다운로드 여부를 알아보기 어려울 수 있습니다. 최종 검토와 계약 조건 대조는 PC에서 원문 첨부파일, 시행일, 개정 이력과 별표까지 확인하는 편이 안전합니다. 모바일 확인 내용만으로 보안등급이나 계약 요건을 확정하지 않는 것이 좋습니다.
도입 전 최종 체크리스트
- 허용 업무와 금지 업무를 한 문장으로 구분했다.
- 개인 계정이 아닌 기관 승인 계정과 서비스만 사용하도록 했다.
- 프롬프트·파일·출력물·로그·인덱스를 각각 C·S·O로 분류했다.
- 공개형 AI에는 O등급만 전달되도록 기술적 차단을 시험했다.
- 프록시 우회, 개인 단말, 모바일 앱과 외부 플러그인 경로를 확인했다.
- 서비스의 인증·검증 상태와 실제 계약 상품의 범위가 일치하는지 확인했다.
- 저장 위치, 학습 제외 조건, 보존 기간, 재위탁과 국외 이전 여부를 확인했다.
- 개인정보 처리 근거와 위탁·제3자 제공 관계를 별도로 검토했다.
- 로그 보존, 관리자 권한, 사고통지, 비상 격리 절차를 정했다.
- 계약일부터 30일 이내 이용정보 등록 업무의 담당자를 지정했다.
- 운영실태 점검권과 종료 시 반환·이관·파기 증빙을 계약서에 반영했다.
- 정보보안담당 부서가 최신 공식 원문과 기관 내부 규정을 최종 확인했다.
개인정보와 제도 변경 등 예외 상황 확인하기
개인정보가 포함되면 N2SF 분류만으로 끝나지 않는다
개인정보가 포함된 생성형 AI 업무는 N2SF 등급분류와 별도로 개인정보보호 법령에 따른 검토가 필요합니다. 개인정보 처리 근거, 구체적인 목적, 최소처리 여부, 보유 기간과 안전조치를 AI 수명주기별로 확인해야 합니다. 외부 사업자가 개인정보를 처리한다면 위탁인지 제3자 제공인지, 국외 사업자나 해외 리전을 이용한다면 국외 이전에 해당하는지도 판단해야 합니다.
이름을 지웠다고 곧바로 개인정보가 아닌 것은 아닙니다. 부서, 직급, 사건 일자, 민원 내용 등과 결합해 개인을 알아볼 수 있다면 재식별 위험이 남습니다. 테스트 데이터도 실제 개인정보를 복사해 사용하지 말고, 목적을 충족할 수 있는 합성데이터나 안전하게 가공한 자료를 우선 검토해야 합니다.
공공 클라우드 제도 개선 발표와 현행 기준을 구분한다
국가정보원과 과학기술정보통신부는 2026년 4월 20일 공공 클라우드 시장 진입 검증절차 개선방안을 발표했습니다. 그러나 공개된 소개 자료만으로 세부 시행일과 최종 검증기준을 모두 확정할 수는 없습니다. 기사에 언급된 유예기간이나 장래 시행 시점을 현재 효력이 있는 확정 법령처럼 적용해서는 안 됩니다.
2026년 8월 7일 기준 도입 업무에서는 현재 시행 중인 행정안전부 고시와 N2SF 보안 가이드라인, 국가 클라우드 보안기준을 우선 확인해야 합니다. 향후 CSAP의 역할이나 검증체계가 달라질 가능성과 현재 기관이 지켜야 하는 이용기준도 구분해야 합니다.
특정 AI 상품의 이용 가능 여부는 계약 직전에 다시 확인한다
ChatGPT, Gemini, 국내 생성형 AI 등 특정 상품의 공공기관 이용 가능 여부를 브랜드명만으로 단정할 수 없습니다. 동일한 브랜드 안에서도 무료·개인용·기업용·API·전용 인스턴스는 데이터 저장, 학습 제외, 관리자 기능과 계약 조건이 다를 수 있습니다.
가격, 서비스 명칭, 인증 범위, 데이터 리전, 학습 정책과 이용약관은 수시로 바뀝니다. 도입 직전 KISA, 국가정보원, 행정안전부, 조달 관련 공식 목록과 해당 서비스의 공식 계약 문서를 다시 확인해야 합니다. 영업자료의 요약 문구보다 계약서와 공식 인증 범위를 우선해야 합니다.
판단 오류를 줄이는 방법
“공개자료”, “비식별 자료”, “인증 서비스”, “기관전용”이라는 표현만으로 사용을 승인하지 마세요. 실제 데이터 객체와 전송 경로, 계약 상품, 운영자 접근, 저장·학습·삭제 조건을 근거자료와 함께 확인해야 합니다.
공식 확인 경로: 한국인터넷진흥원의 국가 망 보안체계(N2SF) 실증 사례집에서 생성형 AI 활용과 외부 클라우드 협업 모델을 확인할 수 있습니다. 실증 사례는 그대로 복제하는 표준 설계도가 아니므로 기관의 네트워크, 연동 시스템과 보안정책에 맞게 재설계해야 합니다.
작성 기준과 공식자료 확인 안내
작성자: 고정정보 · 작성자 소개: Go to the Info
이 글은 2026년 8월 7일을 기준으로 국가정보원의 국가 망 보안체계(N2SF) 보안 가이드라인 1.0, 한국인터넷진흥원의 N2SF 실증 사례집과 도입 지원 자료, 행정안전부의 「행정기관 및 공공기관의 클라우드컴퓨팅서비스 이용 기준 및 안전성 확보 등에 관한 고시」, 개인정보보호위원회의 생성형 AI 개인정보 처리 안내서 등 공식자료를 토대로 정리했습니다.
제도, 고시, 인증 범위, 서비스 정책과 상품별 이용 조건은 이후 변경될 수 있습니다. 실제 사업 추진 전에는 국가정보원·KISA·행정안전부·개인정보보호위원회 및 해당 서비스의 최신 공식 원문을 확인하고 기관 정보보안·개인정보보호·계약 담당 부서의 검토를 받아야 합니다.
오류 신고: gttinfo01@gmail.com
이 글은 일반적인 정보 제공을 위한 자료이며 특정 기관의 보안성 검토, 법률 자문, 개인정보 영향평가 또는 계약 심사를 대신하지 않습니다. 구체적인 정보등급과 도입 가능 여부는 기관의 업무 특성, 최신 법령·지침, 실제 시스템 구성과 계약 조건에 따라 달라질 수 있습니다.
공공기관 생성형 AI 도입 FAQ
1. 공공기관은 생성형 AI를 사용할 수 있나요?
조건을 충족하면 사용할 수 있습니다. N2SF는 생성형 AI를 일률적으로 금지하지 않고 정보서비스 모델에 포함합니다. 다만 대상 업무와 데이터를 분류하고, 위험을 식별한 뒤 기관에 맞는 통제를 설계·평가해야 합니다.
2. 공개형 생성형 AI에는 어떤 자료를 입력할 수 있나요?
모델 2 참조구조에서는 O등급 업무정보로 한정합니다. S등급 정보가 프롬프트, 첨부파일, 외부 연동이나 로그를 통해 전송되지 않도록 차단해야 합니다. 실제 등급은 기관이 자료의 내용과 결합 위험을 평가해 결정합니다.
3. 인터넷에 공개된 문서는 바로 AI에 입력해도 되나요?
바로 입력할 수 있다고 단정하면 안 됩니다. 공개 문서에 비공개 수정 이력, 개인정보, 내부 메모가 섞였는지 확인하고 저작권과 정보 결합 위험도 검토해야 합니다. O등급이어도 승인 서비스·단말, 필터링과 로그 통제는 필요합니다.
4. CSAP 인증을 받은 서비스면 보안성 검토를 생략할 수 있나요?
생략할 수 없습니다. 보안인증 서비스는 우선 고려 대상이 될 수 있지만, 기관의 안전성 검토와 N2SF 통제 설계가 면제되는 것은 아닙니다. 실제 계약 상품과 인증 범위가 일치하는지도 확인해야 합니다.
5. 직원이 개인 ChatGPT나 다른 AI 계정을 업무에 써도 되나요?
기관 승인 없이 개인 계정을 업무에 사용하는 것은 피해야 합니다. 기관 승인 서비스와 단말, 관리되는 계정과 접속 경로를 사용해야 데이터 처리조건, 권한 회수, 로그, 사고대응을 통제할 수 있습니다.
6. 기관전용 AI라면 S등급 자료도 자유롭게 처리할 수 있나요?
자동으로 허용되는 것은 아닙니다. 기관전용·폐쇄형 AI는 공개 인터넷형 모델 2와 다른 구조이므로 저장 위치, 관리자 접근, 외부 API, 모델 학습, 백업과 삭제 경로를 별도로 평가하고 필요한 강화 통제를 적용해야 합니다.
7. 개인정보를 가명처리하면 외부 AI에 입력할 수 있나요?
가명처리 사실만으로 즉시 허용되지는 않습니다. 처리 근거와 목적, 최소처리, 재식별 위험, 위탁·제3자 제공·국외 이전 여부를 확인해야 합니다. 다른 정보와 결합해 개인을 알아볼 수 있는지도 검토해야 합니다.
8. 외부 클라우드 계약 후 반드시 해야 할 일은 무엇인가요?
계약일부터 30일 이내 이용정보 등록을 준비하고 운영점검을 시작해야 합니다. 계정·권한 관리, 로그 검토, 취약점과 장애 대응, 약관·인증 변경 감시도 계속 수행해야 합니다.
9. 계약이 끝나면 클라우드 데이터를 어떻게 처리하나요?
반환 후 파기, 반환 없는 파기, 다른 사업자 이관 후 파기 중 계약에 정한 방식으로 처리합니다. 복구 불가능한 파기를 요구하고 증명자료를 확보해야 하며, 온라인 반환에는 암호화와 전용선·VPN 같은 안전한 경로를 사용해야 합니다.
10. 가장 먼저 누구와 무엇을 확인해야 하나요?
기관 정보보안담당 부서와 허용 업무 및 입력자료의 등급부터 확인해야 합니다. 이후 개인정보보호, 정보화, 계약 담당자와 함께 서비스 자격, 안전성, 계약 특약, 이용정보 등록, 운영점검과 종료 계획을 검토하면 됩니다. 최종 결정 전에는 최신 공식 고시와 KISA·국가정보원 자료를 다시 확인해야 합니다.