AI 챗봇을 만들 때 개인정보는 어떻게 다뤄야 할까?
AI 챗봇에는 관객과 고객이 직접 글을 씁니다. 이름, 연락처, 예매 번호, 때로는 묻지도 않은 건강 정보까지요. 그래서 AI 챗봇의 개인정보 보호는 “무엇을 받을까”보다 “받게 되는 것을 어떻게 다룰까”에서 시작합니다.
챗봇에서 개인정보가 특히 까다로운 이유
일반 문의 폼은 이름, 연락처, 문의 내용처럼 받을 항목을 우리가 정합니다. 챗봇은 다릅니다. 입력 창이 자유로운 대화이기 때문에 이용자가 무엇을 적을지 미리 알 수 없습니다. “지난주 공연 때 넘어져서 병원에 다녀왔는데요”처럼, 묻지 않은 민감한 정보가 대화에 섞여 들어오기도 합니다.
게다가 그 대화는 한 곳에 머물지 않습니다. 우리 서버를 거쳐 AI 모델 제공사로 전달되고, 품질 확인을 위해 기록으로 남고, RAG를 쓴다면 우리 자료와 함께 처리됩니다. 개인정보 보호를 설계한다는 것은 이 경로 전체를 그려 보고 지점마다 문을 다는 일입니다.
개인정보가 머무는 네 곳
입력 창무엇이 들어오는가
이용자가 직접 쓰는 곳입니다. 꼭 필요한 정보만 묻고, 주민등록번호·카드 번호·건강 정보처럼 입력하지 말아야 할 것을 미리 안내하는 것이 첫 번째 문입니다.
대화 기록얼마나 남는가
응대 확인과 품질 개선을 위해 대화를 저장하는 곳입니다. 보관 기간과 볼 수 있는 사람을 정하지 않으면, 개인정보가 담긴 대화가 기한 없이 쌓입니다.
참고 자료무엇이 검색되는가
RAG 챗봇이 답의 근거로 찾는 우리 자료입니다. 회원 명단이나 상담 기록이 섞여 있으면 다른 사람의 정보가 답변에 나올 수 있습니다.
AI 모델 제공사어디로 나가는가
질문과 참고 자료가 답을 만들기 위해 전달되는 곳입니다. 제공사가 입력 데이터를 학습에 쓰는지, 얼마나 보관하는지, 어느 나라에서 처리하는지를 확인해야 합니다.
안전하게 설계하는 7가지 원칙
- 처음부터 덜 받습니다. 공연 일정·환불 규정 안내처럼 개인정보 없이 답할 수 있는 일부터 챗봇에 맡깁니다. 받지 않은 정보는 새어 나갈 일도 없습니다.
- 입력 창에서 미리 알립니다. “주민등록번호, 카드 번호, 건강 정보는 입력하지 마세요” 같은 안내를 입력 창 가까이에 둡니다. 대화가 어떻게 쓰이고 얼마나 보관되는지도 짧게 알립니다.
- 들어온 정보는 가립니다. 전화번호·이메일·카드 번호처럼 형식이 정해진 정보는 AI 모델에 보내거나 기록에 남기기 전에 자동으로 가리는(마스킹) 단계를 둘 수 있습니다.
- 기록은 기간을 정해 지웁니다. 대화 기록의 보관 기간을 정하고, 기간이 지나면 자동으로 삭제하거나 개인정보를 지운 상태로만 남깁니다. 기록을 볼 수 있는 담당자도 정해 둡니다.
- 참고 자료는 정리한 뒤 넣습니다. RAG에 넣을 자료에서 답에 필요 없는 개인정보를 먼저 지웁니다. 꼭 필요한 자료라면 질문한 사람이 볼 권한이 있는 문서만 검색되도록 나눕니다.
- AI 모델 제공사의 데이터 정책을 확인합니다. 같은 회사의 AI라도 개인용 서비스와 사업자용 API는 정책이 다를 수 있습니다. 학습 사용 여부, 보관 기간, 처리 국가를 약관과 데이터 정책에서 확인합니다.
- 본인 확인이 필요한 일은 사람에게 넘깁니다. 환불 처리, 예매 변경처럼 본인 확인이 필요한 일은 챗봇이 직접 처리하기보다 담당자에게 연결하는 경로를 둡니다. AI가 사람의 확인 없이 중요한 결정을 내리지 않게 하는 것도 같은 원칙입니다.
한 줄 정리: 덜 받고, 미리 알리고, 가리고, 기한이 지나면 지운다. 이 네 가지만 지켜도 대부분의 위험이 줄어듭니다.
같은 문의, 다른 설계
공연장 홈페이지의 상담 챗봇에 관객이 이렇게 썼다고 해 봅시다.
이름·전화번호·카드 정보가 그대로 AI 모델로 전달되고, 답변과 대화 기록에도 다시 남습니다.
전화번호와 카드 정보는 보내기 전에 가려지고, 본인 확인이 필요한 일은 정해진 경로로 넘깁니다.
두 챗봇 모두 친절합니다. 차이는 개인정보가 어디까지 흘러가느냐입니다. 설계한 챗봇은 규정 안내라는 자기 역할만 하고, 본인 확인이 필요한 일은 안전한 곳으로 넘깁니다.
개인정보 처리방침에 적을 것
챗봇을 붙이면 개인정보 처리방침도 함께 살펴봐야 합니다. 특히 대화가 외부 AI 모델 제공사로 전달된다면 다음 항목을 검토해야 할 수 있습니다.
| 항목 | 무엇을 적나 | 챗봇에서는 |
|---|---|---|
| 처리 목적·항목 | 무엇을, 왜 처리하는지 | 상담 응대, 품질 개선 등 챗봇 대화의 이용 목적과 수집되는 항목 |
| 보유 기간 | 얼마나 보관하는지 | 대화 기록의 보관 기간과 삭제 방법 |
| 처리위탁 | 수탁자와 맡긴 업무 | AI 모델 제공사, 클라우드·서버 업체 등 |
| 국외 이전 | 이전 국가, 항목, 시기·방법, 보유 기간 등 | 해외에서 처리되는 AI 모델이나 서버를 쓰는 경우 |
개인정보보호위원회는 2025년 8월 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」를 공개했습니다. 상용 AI 서비스를 가져다 쓰는 경우를 포함해 단계별로 확인할 사항을 정리한 자료이니, 도입 전에 개인정보보호위원회 홈페이지에서 최신 내용을 함께 확인하는 것을 권합니다.
참고: 이 글은 챗봇을 설계할 때 확인할 점을 정리한 안내이며 법률 자문이 아닙니다. 처리위탁·국외 이전의 구체적인 요건과 동의가 필요한지는 서비스 구조에 따라 달라지므로, 개인정보 보호법 원문과 개인정보보호위원회 안내를 확인하고 필요하면 전문가의 검토를 받으세요.
도입 전 체크리스트
챗봇을 만들기 전에 아래 질문에 답해 보세요. 답이 분명할수록 안전한 설계가 쉬워집니다.
- 챗봇이 맡을 일 중 개인정보 없이 답할 수 있는 일은 무엇인가
- 꼭 받아야 하는 개인정보는 무엇이고, 왜 필요한가
- 입력하지 말아야 할 정보를 입력 창에서 안내하고 있는가
- 대화 기록을 얼마나 보관하고, 누가 볼 수 있는가
- RAG에 넣을 자료에 회원 정보나 상담 기록이 섞여 있지 않은가
- 연결할 AI 모델 제공사의 학습 사용 여부·보관 기간·처리 국가를 확인했는가
- 본인 확인이 필요한 일을 사람에게 넘기는 경로가 있는가
- 개인정보 처리방침에 챗봇 관련 내용을 반영했는가
자주 묻는 질문
AI 챗봇에 입력한 내용이 AI 학습에 쓰이나요?
AI 모델 제공사와 이용 방식에 따라 다릅니다. 개인용 대화 서비스와 사업자용 API는 데이터 정책이 다른 경우가 많으므로, 챗봇에 연결할 모델 제공사의 약관과 데이터 정책에서 입력 데이터를 학습에 쓰는지, 얼마나 보관하는지를 도입 전에 확인해야 합니다.
해외 AI 모델을 쓰면 개인정보 처리방침에 무엇을 적어야 하나요?
챗봇 대화에 개인정보가 담겨 해외 AI 모델 제공사로 전달된다면, 처리위탁과 국외 이전에 해당하는지 검토하고 개인정보 처리방침에 수탁자와 위탁 업무, 이전되는 국가와 항목, 이전 시기와 방법, 보유 기간 등을 적어야 할 수 있습니다. 구체적인 요건은 개인정보 보호법과 개인정보보호위원회 안내를 확인하고, 필요하면 전문가 검토를 받는 것이 좋습니다.
챗봇 대화 기록은 얼마나 보관해야 하나요?
정해진 하나의 기간은 없고, 수집 목적에 필요한 만큼만 보관하는 것이 원칙입니다. 품질 개선이나 응대 확인에 필요한 기간을 정해 처리방침에 적고, 기간이 지나면 자동으로 지우거나 개인정보를 가린 뒤 보관하도록 설계하는 것이 좋습니다.
RAG 챗봇에 넣는 자료에 개인정보가 있으면 어떻게 하나요?
답변에 필요하지 않은 개인정보는 자료를 넣기 전에 지우거나 가리는 것이 가장 안전합니다. 회원 정보처럼 꼭 필요한 자료라면 질문한 사람이 볼 권한이 있는 문서만 검색되도록 권한별로 나눠야 합니다. 그렇지 않으면 다른 사람의 정보가 답변에 섞여 나올 수 있습니다.
작은 단체도 이런 것까지 신경 써야 하나요?
개인정보 보호법은 규모와 관계없이 개인정보를 처리하는 곳에 적용됩니다. 다만 처음부터 복잡하게 할 필요는 없습니다. 개인정보를 받지 않아도 되는 범위로 시작하고, 입력 창에 안내 문구를 넣고, 연결할 AI 모델의 데이터 정책을 확인하는 것만으로도 위험을 크게 줄일 수 있습니다.