개인정보보호법(PIPA)과 ERP AI: 도입 전에 확인할 것

개인정보는 세 군데에서 AI로 흘러갑니다. 첫째는 사용자의 질문 자체(예: 특정 직원 이름이 들어간 질문), 둘째는 ERP에서 가져온 조회 결과, 셋째는 모델이 참고하도록 색인한 문서(계약서, 이력서, 평가 문서 등)입니다. 세 경로 모두에서 어떤 정보가 어디로 가는지 정리해야 합니다.

특히 문서 검색(RAG)을 붙일 때 주의가 필요합니다. 공유 폴더 전체를 색인하면 접근 권한이 없는 사람에게 문서 내용이 요약으로 노출될 수 있으므로, 원본 문서의 권한을 검색 단계에서도 그대로 적용해야 합니다.

안전성 확보조치의 핵심은 접근 권한 관리, 접근 통제, 접속 기록의 보관과 점검입니다. AI 조회 계층에도 같은 원칙이 적용됩니다. 사용자별로 ERP 권한을 그대로 따르게 하고, 질문과 생성된 쿼리, 반환된 행 수를 로그로 남겨 정기적으로 점검할 수 있어야 합니다.

최소 수집 원칙에 따라 AI가 접근하는 뷰에는 필요한 컬럼만 포함하세요. 급여, 주민등록번호, 계좌번호처럼 업무상 AI가 볼 필요 없는 항목은 처음부터 제외하는 것이 가장 확실한 보호입니다. 주민등록번호는 법령상 처리가 엄격히 제한됩니다.

진단 단계에서 ERP의 개인정보 항목 목록, 필요한 조회 질문, 데이터 경로, 로그와 권한 설계를 먼저 정리합니다. 이 결과는 사내 개인정보 영향 검토나 보안 심의에 쓸 수 있는 자료가 되도록 구성합니다. 인증 취득 여부와 같은 사항은 고객사 책임 영역이며, Netray가 특정 인증을 보유한다는 의미는 아닙니다.

외부 API 방식이 더 간단하고 비용도 낮은 경우가 있습니다. 개인정보가 없는 공개 자료나 비식별 통계 데이터만 다루는 업무라면 굳이 사내 구축이 필요하지 않을 수 있습니다. 데이터의 성격에 따라 맞는 방식이 달라집니다.