생성형 AI에 회사 정보 입력, 영업비밀 보호 기준 

회사 정보를 생성형 AI에 입력해도 될까요? 영업비밀 보호와 기업의 관리 기준

핵심요약

• AI에 정보를 입력했다는 이유만으로 영업비밀성이 언제나 상실되는 것은 아닙니다. 다만 외부 서비스에 정보를 제공한 경위와 실제 비밀관리 조치가 법적 보호 여부에 영향을 미칠 수 있습니다.

• 회사에 중요한 정보라는 사실만으로 영업비밀이 되는 것은 아닙니다. 비공지성·경제적 유용성·비밀관리성 등 보호요건을 충족해야 합니다.

• 승인된 AI 도구는 서비스 제공자의 비밀유지의무와 정보처리 조건을, 회사 관리 밖의 AI 이용은 실제 이용현황과 내부통제·교육을 중심으로 점검해야 합니다.

• 기업용 상품인지 여부뿐 아니라 회사가 실제로 승인하고 통제하는지가 중요하며, 분쟁 이전부터 관리체계를 갖출 필요가 있습니다.

생성형 AI는 계약서 검토, 연구개발, 영업전략 수립 등 기업의 다양한 업무에 활용되고 있습니다. 그러나 업무 효율성이 높아지는 만큼, 중요한 기술정보나 경영상 정보가 외부 AI 서비스에 제공될 가능성도 커지고 있습니다.

이러한 정보 제공은 단순한 보안상의 문제에 그치지 않습니다. 향후 법적 분쟁에서 해당 정보가 영업비밀로 보호받을 수 있는지 자체가 다투어질 수도 있기 때문입니다.

이번에는 생성형 AI의 이용이 영업비밀 보호에 미칠 수 있는 영향과 기업의 사전적 관리가 중요한 이유를 살펴보겠습니다.

회사 정보가 영업비밀로 보호받으려면 어떻게 관리되어야 하나요?

부정경쟁방지법 제2조 제2호는 영업비밀을 공공연히 알려져 있지 않고(비공지성) 독립된 경제적 가치를 가지는 것으로서(경제적 유용성), 비밀로 관리된(비밀관리성) 생산방법·판매방법 및 그 밖에 영업활동에 유용한 기술상 또는 경영상의 정보로 정의하고 있습니다.

이 중 주목할 요건은 ‘비밀관리성’입니다. 대법원은 ‘상당한 노력에 의하여 비밀로 유지되었을 것’을 영업비밀의 요건으로 하는 종전 법률에 관한 사건에서 비밀표시·고지, 접근 제한, 비밀유지의무 부과 등 객관적으로 비밀관리 사실을 인식할 수 있도록 하는 조치의 중요성을 강조하면서, 구체적인 관리상태와 당사자들의 관계를 고려하여 전산시스템에 입력된 정보가 시스템 운영 회사 및 그 임직원과의 관계에서 비밀로 관리되었다고 보기 어렵다고 판단하였습니다(대법원 2019. 10. 31. 선고 2017도13791 판결).

2019년 법률 개정으로 종전의 ‘합리적인 노력에 의하여 비밀로 유지된’이라는 문언이 ‘비밀로 관리된’으로 변경되면서 비밀관리성 요건이 완화되었습니다. 그럼에도 불구하고 대법원은 최근에도 비밀유지약정과 비밀표시, 정보의 외부 공개 여부 및 경쟁상 경제적 가치 등을 종합적으로 고려하여 영업비밀에 해당한다는 소명이 있다고 볼 여지가 있다고 판단하고 있습니다(대법원 2024. 11. 5. 자 2023마6127 결정).

결국 기업에 중요한 정보라는 사실만으로 법률상 영업비밀이 되는 것은 아니며, 실제로 해당 정보를 어떻게 관리하였는지가 중요한 판단요소가 됩니다.

AI에 정보를 입력하면 영업비밀 보호를 잃게 되나요?

미국 캘리포니아 북부 연방지방법원은, 생성형 AI인 ChatGPT를 이용하여 개발한 프로토콜과 프레임워크가 영업비밀이라는 원고의 주장에 관하여, 원고가 합리적인 비밀유지 조치를 취하였다는 구체적인 주장을 하지 않았고 관련 정보를 AI 서비스 제공자에게 자발적으로 제공하였다는 사정 등을 고려하여 청구를 배척하였습니다. 특히 정보의 소유권과 영업비밀의 보호요건은 별개라고 판단하였습니다(Trinidad v. OpenAI Inc., No. 4:25-cv-06328-JST, N.D. Cal. Jan. 5, 2026).

이는 개인 이용자의 주장과 미국 법률을 전제로 한 판단이고, 국내 부정경쟁방지법의 영업비밀 보호요건과 동일하지도 않으므로, AI에 정보를 입력하였다는 이유만으로 영업비밀성이 언제나 상실된다고 일반화할 수는 없습니다.

그럼에도 이 판결은 AI 이용 과정에서 이루어지는 정보 제공이 영업비밀의 법률적 보호에 영향을 미칠 수 있으며, 특히 서비스 제공자의 비밀유지의무와 정보 보유자가 실제로 취한 비밀관리 조치가 중요한 판단요소가 될 수 있음을 보여줍니다.

기업이 승인한 AI와 회사 관리 밖의 AI는 어떻게 구분하나요?

기업의 영업비밀 보호는 침해가 발생한 이후의 대응뿐 아니라 평소 업무 과정에서 적절한 비밀관리 상태를 유지하는 데서 시작됩니다.

특히 생성형 AI의 활용과 관련해서는 기업이 승인·관리하는 AI 도구(Approved AI Tools)와 임직원이 회사의 승인·관리 밖에서 업무에 이용하는 AI(Shadow AI)를 구별하여 대응할 필요가 있습니다.

첫째, Approved AI Tools에 대한 관리입니다. 기업은 업무에 활용할 AI 서비스를 선정하면서 보호대상 정보의 범위와 이용기준을 정하고, 서비스 제공자의 비밀유지의무와 정보처리 조건을 검토할 필요가 있습니다. 특히 입력정보의 목적 외 이용이나 제3자 제공 가능성 등을 살펴 필요한 계약상 보호장치를 마련해야 합니다.

둘째, Shadow AI에 대한 관리입니다. 임직원이 회사의 승인 없이 개인 계정이나 외부 AI 서비스를 업무에 이용하는 경우, 기업이 예상하지 못한 정보 제공이 발생할 수 있습니다. 기업용 서비스라도 회사의 관리 밖에서 이용된다면 동일한 문제가 발생할 수 있으므로, 실제 이용현황을 파악하고 적절한 내부통제와 임직원 교육을 실시할 필요가 있습니다.

중요한 것은 AI 서비스의 상품 유형이 아니라 기업의 실질적인 승인과 통제 여부입니다. 승인된 AI 도구에 대한 계약상 보호와 승인되지 않은 AI 이용에 대한 내부통제가 함께 이루어져야 비밀관리의 공백을 줄일 수 있습니다.

이러한 관리체계를 구축하려면 기업이 보유한 정보의 법률적 성격과 업무환경, 외부 서비스의 계약조건 등을 종합적으로 검토해야 합니다.

영업비밀 분쟁이 생기기 전에 관리체계를 갖춰야 하는 이유는 무엇인가요?

생성형 AI의 활용과 영업비밀 보호는 양자택일의 문제가 아닙니다. 기업의 업무환경에 맞추어 AI를 적절히 활용하면서도 보호가 필요한 정보를 비밀로 관리할 수 있는 체계를 갖추는 것이 중요합니다.

특히 영업비밀 침해에 관한 법적 분쟁에서는 기업의 기존 비밀관리 상태가 중요한 판단자료가 되므로, 사후적 대응만으로는 한계가 있을 수 있습니다. 따라서 법률적 위험을 사전에 진단하고 관리체계를 구축·점검하는 예방적 법률 컨설팅이 필요합니다.

자주 묻는 질문

기업용 AI 서비스를 사용하면 별도의 내부 관리가 필요 없나요?

기업용 서비스라도 회사의 승인·관리 밖에서 이용된다면 예상하지 못한 정보 제공 문제가 발생할 수 있습니다. 상품 유형뿐 아니라 실제 승인·통제 여부와 이용현황을 확인해야 합니다.

AI 서비스 계약에서는 어떤 조건을 확인해야 하나요?

서비스 제공자의 비밀유지의무와 입력정보의 처리 조건을 확인할 필요가 있습니다. 목적 외 이용이나 제3자 제공 가능성 등을 살피고, 보호대상 정보와 이용기준에 맞는 계약상 보호장치를 검토해야 합니다.

정보의 소유권이 회사에 있으면 영업비밀로도 보호받나요?

정보의 소유권과 영업비밀의 보호요건은 별개입니다. 회사가 보유한 정보라도 비공지성·경제적 유용성·비밀관리성 등 법률상 요건을 충족하는지 살펴야 합니다.

호암은 기업의 AI 활용과 영업비밀 보호를 어떻게 검토하나요?

AI 이용기준을 마련하려면 보호할 정보와 실제 업무상 이용방식을 함께 확인해야 합니다. 외부 서비스의 계약조건과 사내 관리조치가 서로 맞물려 있는지도 살펴볼 필요가 있습니다.

법무법인 호암 금융·기업형사센터는 기업의 AI 활용과 영업비밀 보호에 관한 검토에서 다음 사항에 집중합니다.

첫째, 보호대상 정보와 기존 관리상태를 확인합니다.

기술상·경영상 정보의 법률적 성격과 업무상 이용범위를 살펴봅니다. 비밀표시, 접근 제한, 비밀유지약정 등 실제 관리조치를 대조하여 보완할 부분을 정리합니다.

둘째, 승인된 AI 서비스의 계약조건을 검토합니다.

서비스 제공자의 비밀유지의무와 입력정보 처리 조건을 확인합니다. 목적 외 이용·제3자 제공 가능성을 살펴 업무상 이용기준과 필요한 계약상 보호장치를 검토합니다.

셋째, 회사 관리 밖의 AI 이용과 내부통제를 점검합니다.

개인 계정이나 승인되지 않은 서비스의 업무상 이용현황을 살펴봅니다. 기업의 업무환경에 맞추어 승인·관리 기준과 임직원 교육에 반영할 사항을 정리합니다.

임직원의 AI 이용기준을 마련하거나 기존 관리체계를 점검하려는 상황이라면, 보호할 정보의 범위와 실제 이용 중인 서비스의 계약조건부터 확인하시기 바랍니다.