보고서부터 계약서까지 AI로…직장에 커지는 정보유출 위험
영국 직장인 2000명 조사…문서 작성·데이터 분석·일정 관리에 AI 확산
업무 효율 높였지만 보안·오류·책임 기준 미비…기업별 사용 원칙 마련해야
생성형 인공지능이 직장인의 검색과 아이디어 정리를 넘어 보고서와 계약서, 회의록 등 실제 업무 문서를 다루기 시작했다. 문서 초안을 만들고 긴 보고서를 요약하며, 외국어 자료를 번역하는 일도 AI가 맡는다. 엑셀 자료를 분석하거나 발표자료의 구조를 잡는 용도로도 활용된다.
업무 속도는 빨라졌지만 새로운 위험도 커지고 있다. 직원이 고객정보나 계약조건, 사업계획을 외부 AI 서비스에 입력하면 회사의 정보가 통제 범위 밖으로 나갈 수 있다. AI가 잘못 만든 숫자와 문장이 검증 없이 보고서에 들어가면 의사결정의 오류로 이어질 가능성도 있다.
어도비가 영국 성인 2000명을 대상으로 실시한 조사에 따르면 응답자의 27%가 문서 작성과 편집, 교정, 요약에 AI를 사용했다. 데이터 분석과 코딩, 스프레드시트 업무에 활용한다는 응답은 23%였다. 회의 기록과 일정, 아이디어 관리 등 업무 관리에 사용하는 비율은 22%로 나타났다(어도비·2026년).
AI는 특정 기술부서의 도구에서 일반 사무도구로 이동하고 있다. 문제는 기업의 보안규정과 직원 교육, 결과물 검증 절차가 이러한 사용 속도를 따라가지 못한다는 점이다. AI 도입의 핵심 과제도 사용 허용 여부에서 안전하게 사용할 수 있는 업무 체계를 만드는 문제로 바뀌고 있다.
AI가 가장 먼저 들어온 문서 업무
직장인은 업무시간의 상당 부분을 문서에서 보낸다. 이메일을 작성하고 보고서를 읽으며 회의 내용을 정리한다. 계약서와 제안서, 인사자료, 고객문의도 대부분 문서 형태로 처리된다. 생성형 AI가 업무 현장에 빠르게 확산한 배경이다.
문서 업무는 AI가 강점을 보이기 쉬운 영역이다. 완성된 정답을 만드는 것보다 초안을 작성하거나 형식을 바꾸는 일이 많기 때문이다. 사람이 목적과 핵심 내용을 제시하면 AI가 문장과 구조를 만들고, 담당자가 수정하는 방식으로 시간을 줄일 수 있다.
어도비 조사에서 소비재 업종 종사자의 50%는 AI를 문서 작성과 편집, 교정, 요약에 활용한다고 답했다. 정보기술·통신 분야 응답자의 47%는 데이터 분석과 코딩, 스프레드시트 작업에 AI를 사용했다. 마케팅 분야에서는 44%가 일정과 회의, 아이디어 관리에 AI를 활용했다(어도비·2026년).
AI의 활용 범위는 전통적인 사무직에만 한정되지 않았다. 에너지·자원 분야에서는 번역과 현지화 업무가 주요 활용 영역으로 나타났다. 부동산 업종에서는 채용과 입사 지원, 고객 대응 등 인사·운영 분야에서 AI를 사용했다.
직원들이 AI에 맡기는 업무는 화려한 콘텐츠 제작보다 일상적인 반복 업무에 가깝다. 이메일 초안과 문법 교정, 보고서 요약처럼 매일 발생하지만 많은 시간을 차지하는 일이다. AI가 직장의 기본 도구로 자리 잡는 과정도 이처럼 눈에 잘 띄지 않는 문서 업무에서 진행되고 있다.
몇 시간을 줄였는지보다 무엇을 입력했는가
기업은 생성형 AI의 도입 효과를 시간 절감과 생산성으로 평가하는 경향이 있다. 보고서 작성 시간이 줄고 회의록을 자동으로 정리하면 직원이 더 중요한 업무에 집중할 수 있다는 논리다. 그러나 업무시간을 줄였다는 사실만으로 도입의 성과를 판단하기는 어렵다.
AI에 어떤 정보를 입력했는지가 더 중요한 문제다. 영업담당자가 거래처별 계약조건을 넣고 비교를 요청하거나 인사담당자가 지원자의 이력서를 입력할 수 있다. 연구개발 직원이 공개 전 기술자료를 요약하도록 지시할 가능성도 있다.
공개형 AI 서비스의 입력창은 회사 내부 시스템이 아니다. 서비스 약관과 설정에 따라 입력정보가 저장되거나 서비스 개선에 활용될 가능성이 있다. 기업용 서비스는 일반적으로 강화된 보호 기능을 제공하지만 제품과 계약에 따라 보관기간과 관리 방식이 다르다.
직원은 문서 전체를 올리지 않고 일부만 복사했으므로 안전하다고 판단할 수 있다. 그러나 회사명이나 이름을 지워도 거래금액과 날짜, 사업내용을 조합하면 상대방을 추정할 수 있다. 여러 직원이 서로 다른 조각을 입력하면 조직의 핵심정보가 외부에 축적될 수도 있다.
문서 보안은 파일을 전송했는지만으로 판단할 수 없다. AI에 복사한 문장과 표, 프롬프트, 첨부 이미지도 정보 전송에 포함된다. 기업의 보안정책은 이메일과 이동식 저장장치뿐 아니라 AI 서비스에 입력되는 데이터까지 관리해야 한다.
직원은 쓰는데 회사는 모르는 ‘그림자 AI’
기업이 공식 AI 도구를 제공하지 않아도 직원들은 무료 서비스와 개인 계정을 이용한다. 업무가 빨라지고 상사가 결과만 확인한다면 사용 사실을 보고할 이유도 느끼지 못한다. 조직의 승인 없이 사용하는 ‘그림자 AI’가 늘어나는 배경이다.
그림자 AI는 사용 현황을 파악하기 어렵다. 보안부서는 어떤 서비스에 어떤 문서가 입력됐는지 확인할 수 없다. 문제가 발생해도 입력 기록과 결과물의 생성 과정을 추적하기 어렵고, 퇴사한 직원의 개인 계정에 업무자료가 남을 가능성도 있다.
AI를 전면 금지하는 정책은 그림자 사용을 더 숨길 수 있다. 직원이 이미 효율을 경험했다면 금지 공지만으로 사용을 멈추지 않을 가능성이 크다. 승인된 도구와 금지된 정보, 검토가 필요한 업무를 구체적으로 나누는 방식이 현실적이다.
어도비 조사에서 응답자의 19%는 AI 활용과 관련한 교육과 지침이 부족하다고 답했다. 회사 정책이 AI 사용을 제한한다는 응답은 14%였으며, 어떤 도구를 선택해야 하는지 모르겠다는 응답도 12%였다(어도비·2026년).
사용 지침이 없으면 직원마다 위험 판단이 달라진다. 한 부서는 고객정보 입력을 금지하지만 다른 부서는 같은 정보를 번역이나 요약에 사용할 수 있다. 조직 전체의 기준이 없으면 개인의 보안감각이 회사 정보의 안전성을 결정하게 된다.
AI가 만든 오류는 누가 책임지나
생성형 AI는 자연스러운 문장을 만들지만 사실을 확인하는 장치는 아니다. 자료가 부족하거나 질문이 모호하면 존재하지 않는 수치와 출처를 만들어낼 수 있다. 문장이 매끄러울수록 사용자는 오류를 발견하기 어려워진다.
어도비 조사에서 응답자의 20%는 AI 결과의 정확성을 우려했다. 17%는 AI가 만든 내용보다 사람의 판단을 선호한다고 답했다(어도비·2026년). 데이터 보안과 개인정보 문제를 지적한 응답은 22%로 가장 높았다.
오류는 업무 분야에 따라 다른 피해를 만든다. 홍보문안의 표현 오류는 수정할 수 있지만 계약조항과 재무수치, 안전기준의 오류는 법적·경제적 손실로 이어질 수 있다. 채용과 인사평가에 AI를 사용하면 편향과 차별 문제가 발생할 가능성도 있다.
AI가 초안을 만들었더라도 최종 책임은 업무를 수행한 직원과 조직에 남는다. 고객은 회사가 어떤 도구를 사용했는지보다 제공된 정보가 정확한지를 기준으로 책임을 묻는다. AI가 잘못 생성했다는 설명은 책임을 면제하는 근거가 되기 어렵다.
따라서 검토 절차는 문서의 위험도에 따라 달라야 한다. 내부 아이디어 메모와 외부에 제출하는 계약서에 같은 기준을 적용할 수 없다. 재무와 법무, 의료, 안전, 인사 분야의 문서는 담당자와 별도의 검토자가 확인하는 이중 절차가 필요하다.
문서 등급에 따라 AI 사용 범위 나눠야
기업이 가장 먼저 해야 할 일은 문서와 데이터를 등급별로 나누는 것이다. 공개된 자료와 일반 사내자료, 개인정보, 영업비밀, 국가·산업 보안정보를 구분해야 한다. 등급마다 사용할 수 있는 AI 서비스와 허용 작업을 정하면 직원도 판단하기 쉬워진다.
공개된 보도자료와 제품설명은 승인된 AI로 요약하거나 번역할 수 있다. 일반 사내자료는 기업용 계정에서만 처리하도록 제한할 수 있다. 고객 개인정보와 미공개 계약, 핵심기술 자료는 외부 서비스 입력을 금지하거나 내부 구축형 AI만 사용하도록 해야 한다.
문서 전체를 입력할 필요가 있는지도 확인해야 한다. 질문에 필요한 최소한의 정보만 제공하고 이름과 연락처, 계좌번호, 주민등록번호 등을 제거하는 방식이 기본이다. 익명화한 정보도 다시 식별될 가능성이 있는지 살펴야 한다.
개인정보보호위원회의 ‘생성형 인공지능 개발·활용을 위한 개인정보 처리 안내서’도 개인정보의 처리 목적과 법적 근거, 투명성, 안전조치를 강조한다. AI 사용자는 서비스를 이용한다는 이유로 개인정보 보호 의무에서 벗어나지 않는다.
기준은 짧고 구체적이어야 한다. 수십 쪽의 원칙보다 ‘고객 명단 입력 금지’, ‘계약서 업로드 금지’, ‘대외문서는 출처 확인 후 승인’처럼 실제 행동을 알려주는 지침이 효과적이다. 자주 발생하는 업무 사례를 포함해 지속적으로 갱신할 필요가 있다.
승인된 도구와 기록 관리가 필요하다
기업은 직원이 안전하게 사용할 수 있는 공식 도구를 제공해야 한다. 기업용 계약에서는 입력 데이터의 학습 활용 여부와 저장 위치, 보관기간, 접근권한, 삭제 절차를 확인해야 한다. 하청 서비스와 외부 모델이 데이터를 어떻게 처리하는지도 살펴야 한다.
모든 직원에게 같은 권한을 줄 필요는 없다. 부서와 직무에 따라 사용할 수 있는 모델과 기능, 업로드 용량을 다르게 설정할 수 있다. 첨부파일 업로드와 외부 플러그인, 웹 검색 기능은 정보유출 가능성을 고려해 별도로 관리해야 한다.
AI를 이용해 작성한 중요 문서는 생성 사실과 검토자를 기록하는 방안도 필요하다. 어떤 자료를 기반으로 만들었고 누가 사실을 확인했는지 남겨야 문제가 발생했을 때 과정을 추적할 수 있다. 기록은 직원을 감시하기 위한 목적보다 결과물의 책임성을 확보하기 위한 장치다.
한국인터넷진흥원은 2025년 12월 인공지능 모델과 서비스를 외부 사이버 위협으로부터 보호하기 위한 ‘인공지능 보안 안내서’를 발간했고, 2026년 3월 수정본을 공개했다. AI 보안은 서비스 제공자만의 문제가 아니라 AI를 업무에 연결하는 기업의 접근통제와 운영관리까지 포함한다.
중소기업은 별도의 내부 AI와 보안조직을 구축하기 어렵다. 업종별 협회와 정부기관이 표준 지침과 검토항목, 안전한 도구 선정 기준을 제공할 필요가 있다. 규모가 작은 기업일수록 무료 공개형 서비스 의존도가 높아 정보유출 위험이 커질 수 있다.
경영진과 직원의 인식 차이 줄여야
AI 도입은 경영진이 생산성을 강조하고 직원에게 사용을 권하는 방식으로 진행되기 쉽다. 그러나 구체적인 실패 위험은 문서를 직접 다루는 실무자가 먼저 체감한다. 경영진의 기대와 직원의 불안이 다르면 공식 도입과 실제 활용 사이에 격차가 생긴다.
경영진은 빠른 성과를 원하지만 직원은 오류가 발생했을 때 책임이 자신에게 돌아올 것을 우려할 수 있다. AI 사용을 권장하면서 실수에는 개인 책임을 묻는 조직에서는 직원이 사용 사실을 숨기거나 결과를 충분히 검토하지 않는 문제가 생긴다.
회사 차원의 책임 원칙이 필요하다. 승인된 도구와 절차를 따른 직원에게는 조직이 책임을 분담해야 한다. 반대로 금지된 정보를 임의로 입력하거나 검토 없이 외부에 제출한 경우에는 책임 범위를 명확히 해야 한다.
교육도 기능 사용법에 머물러서는 안 된다. 좋은 질문을 만드는 방법과 함께 개인정보, 저작권, 영업비밀, 출처 확인, 편향 검토를 가르쳐야 한다. 직원이 결과를 비판적으로 검토할 수 있어야 AI가 생산성 도구로 기능한다.
생산성 평가는 절감 시간만으로 부족하다
AI 도입 효과를 측정할 때 작성시간 감소만 보면 실제 비용을 놓칠 수 있다. 초안은 빨리 만들었지만 검증과 수정에 더 많은 시간이 들 수 있다. 오류로 인한 재작업과 고객 불만, 정보유출 사고까지 포함하면 순효과가 달라진다.
평가 기준은 업무별로 나눠야 한다. 이메일 초안은 처리시간과 수정률을 볼 수 있다. 보고서 요약은 핵심정보 누락과 사실 오류를 확인해야 한다. 고객상담은 응답속도뿐 아니라 정확성과 민원 발생률을 함께 측정해야 한다.
직원 간 격차도 살펴야 한다. AI를 능숙하게 사용하는 직원은 더 많은 업무를 맡게 되고, 사용하지 않는 직원은 뒤처질 수 있다. 생산성 향상이 업무량 증가로만 이어지면 조직의 지속가능성은 낮아진다.
AI가 줄인 시간을 어디에 사용할 것인지도 경영의 문제다. 반복업무를 줄여 분석과 고객 대응에 집중하도록 할 수 있다. 반면 감원이나 성과 압박 수단으로만 활용하면 직원은 AI 사용에 필요한 경험과 문제점을 공유하지 않게 된다.
직장 AI의 경쟁력은 통제 가능한 활용에서 나온다
생성형 AI는 이미 직장 문서에 들어왔다. 공식 도입을 결정할 때까지 기다리는 동안에도 직원은 이메일과 보고서, 번역, 데이터 분석에 AI를 사용한다. 기업의 선택지는 사용 여부보다 드러나지 않은 사용을 어떻게 안전한 체계 안으로 옮길 것인지에 가깝다.
무조건적인 금지는 업무 효율을 떨어뜨리고 그림자 AI를 키울 수 있다. 제한 없는 허용은 정보유출과 오류, 법적 책임을 확대한다. 승인된 도구와 문서 등급, 검토 절차, 기록 관리, 교육을 함께 마련해야 한다.
기업의 AI 역량은 직원이 얼마나 많은 문서를 AI로 작성하는지로 평가할 수 없다. 중요한 것은 어떤 정보가 들어갔고, 결과를 누가 확인했으며, 문제가 생겼을 때 과정을 추적할 수 있는지다. 통제할 수 없는 자동화는 생산성이 아니라 새로운 운영 위험이 된다.
직장 문서의 AI 전환은 기술도입 사업인 동시에 조직관리의 변화다. 보안부서만 지침을 만들거나 현업에 책임을 떠넘기는 방식으로는 지속하기 어렵다. 경영진과 법무·보안·인사·현업이 함께 업무별 기준을 정해야 한다.
AI가 보고서를 더 빨리 만드는 시대에는 빠른 작성보다 신뢰할 수 있는 검증이 경쟁력이 된다. 기업이 확보해야 할 능력도 AI 사용 자체가 아니라 정보의 경계를 지키면서 결과의 정확성을 책임지는 체계다.