"아니, 개발팀 김 대리가 해외 사이트에서 다운받은 오픈소스가 아니라, 우리가 3년 동안 밤새며 개발한 핵심 엔진 코드를 챗GPT에 통째로 올려서 디버깅을 했다고요? 이게 외부로 다 흘러나간 건가요?"
최근 기업 법무 자문 과정에서 가장 많이 접하는 당황스러운 상황 중 하나입니다. 과거에는 퇴사하는 직원이 USB에 소스코드를 담아 경쟁사로 빼돌리는 전형적인 유출 방식이 주를 이루었습니다. 하지만 생성형 AI의 대중화로 인해, 현직 직원이 오직 '업무 효율을 높이겠다' 는 순수한 목적으로 회사의 가장 소중한 기술 자산을 스스로 외부 서버에 전송하는 리스크가 폭증하고 있습니다.
만약 우리 회사의 핵심 소스코드가 챗GPT나 클로드 같은 AI 플랫폼에 무단으로 입력되었다면, 법적으로 '영업비밀'의 지위를 즉시 잃게 되는 것일까요? 민·형사상 대응은 어떻게 준비해야 할까요? 법률사무소 완봉에서 실무적인 해법을 정리해 드립니다.
부정경쟁방지 및 영업비밀보호에 관한 법률(이하 부정경쟁방지법)상 영업비밀로 보호받기 위해서는 세 가지 요건을 충족해야 합니다.
가장 큰 걸림돌은 바로 '비밀관리성' 과 '비공지성' 입니다.
실제 해외에서는 생성형 AI 유출로 인한 비밀성 상실을 인정하는 판결들이 잇따르고 있습니다.
국내 부정경쟁방지법의 해석 역시 이와 궤를 같이합니다. 회사가 아무런 제한 없이 임직원들이 외부 퍼블릭 AI 서비스를 사용하도록 내버려 두었다면, 법원은 "회사가 이 정보를 비밀로 유지할 의지가 없었던 것" 으로 판단하여 영업비밀 지위를 박탈할 가능성이 높습니다. 직원이 소스코드를 입력하는 순간, 회사의 수십억 원짜리 무형 자산이 한순간에 '보호받지 못하는 공개 정보'로 전락할 수 있습니다.
이미 직원이 소스코드를 입력해 버린 상황에서 형사 대응은 원천적으로 불가능할까요? 사건의 구체적인 성격과 회사의 대응 수준에 따라 달라집니다.
사내에 이미 "비승인 AI 서비스에 소스코드 입력 금지" 등의 명확한 보안 규정이 존재했고, 이를 우회하여 직원이 무단으로 입력했다면 영업비밀 유출로 형사 고소가 가능합니다. 회사가 비밀로 관리하려는 충분한 노력을 다했음에도 직원이 이를 위반한 것이므로, 비밀관리성은 유지되고 직원의 범죄 혐의가 인정될 수 있습니다.
'비밀관리성' 요건을 인정받지 못해 영업비밀 지위가 부인된다 하더라도 방법이 없는 것은 아닙니다. 우리 법원은 영업비밀이 아니더라도 '영업상 주요한 자산' 을 유출하여 회사에 손해를 끼쳤다면 형법상 업무상 배임죄를 인정합니다.
다만, AI 모델에 입력된 정보가 단순 범용 코드가 아니라 회사의 독자적인 기술력과 시간·비용이 투입된 고유한 자산이라는 점을 엄격히 입증해야 합니다.
사내에서 개발자가 생성형 AI에 핵심 코드를 입력한 사실을 파악했다면, 당황해서 직원을 섣불리 해고하거나 문책하기 전에 아래 3단계를 즉시 밟아야 합니다.
직원의 업무용 PC, 웹 브라우저 히스토리, 챗GPT 대화 기록(Prompt History)을 신속하게 백업하고 증거를 보존해야 합니다.
해당 직원이 어떤 요금제 계정을 사용했는지 확인해야 합니다.
증거 인멸을 막기 위해 해당 직원을 일시적으로 업무에서 배제(대기발령)하고, 즉시 기업 법무 전문 변호사의 검토를 받아 징계 및 고소 절차의 적법성을 따져보아야 합니다. 성급한 징계는 향후 노동위원회 구제신청 등 부당해고 분쟁으로 번져 회사에 이중의 부담을 안겨줄 수 있습니다.
현재 사내에 AI 관련 보안 규정이 없다면, 지금 이 순간부터 신속하게 제도를 보완하여 '사후적 비밀관리성' 이라도 입증할 수 있는 기반을 닦아야 합니다.
[비밀관리성을 지켜내는 3대 보안 정비 축]
1. 사내 취업규칙 및 서약서 개정 ───► AI 입력 금지 조항 정비
2. 데이터 등급 분류 체계 수립 ───► 소스코드 등 핵심 기술 '극비' 지정
3. 기술적 통제 장치 마련 ───► 사내 AI Gateway 구축 & API 전환
기존의 포괄적인 '정보보안 서약서'만으로는 생성형 AI 무단 사용 행위를 적극적으로 규율하기 어렵습니다.
모든 정보 입력을 원천 차단하면 업무 효율이 극도로 저하됩니다. 현실적인 가이드라인을 제공하는 것이 법원에서도 '합리적인 비밀 관리 노력'으로 인정받기 쉽습니다.
| 정보 등급 | 해당 정보 예시 | 외부 AI 입력 가능 여부 | 권장 조치 |
|---|---|---|---|
| 극비 (Level 1) | 핵심 소스코드, 미공개 특허 기술, 단가표, 고객 실명 정보 | 절대 불가 | 가명 처리 후에도 입력 금지 |
| 내부용 (Level 2) | 회의록 초안, 일반 업무 프로세스, 시스템 구조도 | 제한적 허용 | API 기반 사내 AI 또는 Opt-out 계정만 사용 |
| 공개 가능 (Level 3) | 일반 보도자료, 마케팅 문구 초안, 공개된 기술 사양 | 자유롭게 허용 | 개인용 무료 계정 사용 가능 |
단순히 "조심하라"는 교육만으로는 부족합니다. 법원은 기술적 차단 조치가 병행되었는지를 중요하게 봅니다.
Q1. 이미 직원이 소스코드를 입력해 버렸는데, 지금 규정을 만들면 법원이 인정해 주나요?
이미 발생한 유출 행위 자체에 대해 규정을 소급 적용하여 완벽한 '비밀관리성'을 인정받기는 쉽지 않습니다. 그러나 규정을 신속하게 정비해 두면, ① 추가적인 2차 유출을 법적으로 방지할 수 있고, ② 해당 직원의 행위가 '회사 규정 위반'에 해당함을 입증하여 징계 및 형사 고소(업무상 배임) 시 회사의 적극적인 관리 노력을 증명하는 중요한 근거가 됩니다.
Q2. OpenAI 같은 해외 플랫폼에 입력된 소스코드를 지워달라고 요청할 수 없나요?
이론적으로는 프라이버시 정책을 통해 데이터 삭제 요청을 보낼 수 있습니다. 그러나 이미 해당 데이터가 모델의 가중치(Weight) 학습에 반영된 상태라면, 특정 데이터만 선택적으로 삭제받는 것은 사실상 불가능에 가깝습니다. 사후 삭제 요청보다는 신속하게 사내 계정을 'Opt-out(학습 제외)' 상태로 전환하는 것이 현실적입니다.
Q3. 유료 요금제(예: ChatGPT Plus)를 사용하면 보안 유출 걱정이 없나요?
그렇지 않습니다. 챗GPT 플러스(개인 유료 요금제) 역시 사용자가 별도로 'Data Controls'에서 학습 활용 비활성화를 선택하지 않으면, 입력한 데이터가 AI 학습에 사용될 수 있습니다. 관리자 차원에서 일괄 통제가 가능한 'ChatGPT Enterprise/Team' 요금제를 계약하거나, API를 연동한 별도의 사내 포털을 구축하여 운영하는 것이 법적으로 안전합니다.
Q4. 무단으로 코드를 올린 직원을 즉시 해고해도 문제가 없나요?
취업규칙상 중대한 보안 위반에 해당한다 하더라도, 소명 기회 부여·징계위원회 개최 등 객관적인 징계 절차를 거치지 않은 즉각 해고는 향후 '부당해고'로 판정되어 회사가 역풍을 맞을 수 있습니다. 반드시 사내 규정상 징계 절차를 준수하고, 변호사의 자문을 받아 징계 수위(정직, 감봉, 해고 등)를 신중히 결정해야 합니다.
기술이 진화하는 속도만큼, 법률적 리스크의 양상도 빠르게 변화하고 있습니다. 어제까지는 당연히 보호받던 핵심 소스코드가 오늘 아침 직원의 가벼운 클릭 몇 번으로 법적 권리를 잃어버리는 일은 결코 남의 이야기가 아닙니다.
법률사무소 완봉에서는 생성형 AI 시대의 기술 유출 리스크에 대한 다음과 같은 전문 상담을 제공하고 있습니다.
소중한 기술 자산이 모호한 관리 탓에 허공으로 날아가기 전에, 법률사무소 완봉의 전문가들과 먼저 상의하시기 바랍니다.
본 블로그의 내용은 일반적인 정보 제공을 목적으로 작성되었으며, 실제 구체적인 사건의 경우 사실관계 및 개별 계약 조건, 최신 판례의 흐름에 따라 법적 판단이 달라질 수 있습니다. 반드시 구체적인 사안에 대해 법률 전문가의 개별 자문을 받으시기 바랍니다.
