솔트웨어 민감정보 탐지 특허, 기업 AI 입력 기준이 중요한 이유

정보가 나가기 전의 판단

최근 보도에 따르면 솔트웨어는 AI 보안 솔루션 ‘사피가디언’과 관련한 민감정보 탐지 기술 특허를 확보했다. 언론은 기업 기밀의 AI 입력을 사전에 차단하는 기술과 AI 보안 사업 확대 추진에 주목했다. 이번 소식을 업무 현장에서 읽는 관점은 분명하다. 직원이 AI에 질문하는 순간, 회사가 외부로 보내도 되는 정보인지 판단할 기준이 있는지 살펴보는 것이다.

일반적으로 생성형 AI는 문서 요약이나 초안 작성에 활용할 수 있지만, 그 과정에서 업무 자료를 입력하게 된다. 분석의 초점은 편리한 도구를 쓰는 행위와 정보를 외부 서비스로 전달하는 행위가 한 번에 일어날 수 있다는 점이다. 직원에게는 평범한 회의록이어도 회사에는 공개 전 계약 조건이나 고객 정보가 담긴 자료일 수 있다. 입력 전 확인이 중요한 이유다.

특허와 현장 성능은 따로 살펴야

특허 확보는 해당 기술의 권리와 관련된 소식으로 이해해야 한다. 그것만으로 모든 민감정보를 찾아내거나 모든 유출 경로를 막는다고 판단하기는 어렵다. 실제 도입 효과를 분석하려면 어떤 정보를 탐지 대상으로 삼는지, 어떤 AI 이용 경로에 적용되는지 확인해야 한다. 이번 보도로 알려진 사실과 별개로, 현장 성능은 기업이 사용하는 자료와 업무 흐름에 맞춰 검토할 사안이다.

일반적인 탐지 방식에서는 일정한 형식의 정보와 문맥을 읽어야 하는 정보의 난도가 다를 수 있다. 예를 들어 연락처처럼 형태가 비교적 뚜렷한 정보와, 평범한 문장에 담긴 미공개 사업 계획은 구분하는 기준이 다르다. 따라서 기업은 탐지 여부만 묻기보다 무엇을 민감정보로 정의했는지 먼저 살펴볼 필요가 있다. 회사의 정보 분류가 모호하면 차단 기준도 흔들릴 수 있다는 분석이다.

차단 이후에도 업무는 이어져야

기업이 지금 확인할 것은 차단 이후 직원이 선택할 수 있는 업무 경로다. 필요한 자료까지 자주 막히면 직원이 다른 도구를 찾을 가능성이 있고, 경고가 반복되면 주의를 기울이지 않을 수도 있다. 이는 특정 제품의 문제라는 뜻이 아니라 보안 체계를 설계할 때 고려할 일반적인 변수다. 정보를 가려 다시 입력하거나 승인된 환경을 이용하는 등 실행 가능한 대안을 함께 마련할 필요가 있다.

도입을 검토하는 조직이라면 실제 기밀 대신 가상의 시험 자료로 정상 업무와 위험한 입력을 함께 점검해 볼 수 있다. 민감한 내용을 놓치는 경우와 공개 자료를 불필요하게 막는 경우를 모두 살펴야 한다. 분석상 보안 담당자만의 평가로는 업무 불편을 충분히 파악하기 어렵다. 현업 직원이 어떤 이유로 차단됐는지 이해하고, 잘못된 판정을 알릴 수 있는지도 중요한 확인 항목이다.

개인의 주의와 조직의 기준을 연결하기

개인은 업무 자료를 AI에 넣기 전에 회사가 허용한 서비스인지, 입력 가능한 정보인지 확인하는 습관이 필요하다. 이름만 지웠다고 자료 전체가 안전해졌다고 보기 어려운 경우도 있다. 거래 조건이나 구체적인 사건 경위가 남아 있으면 내용을 통해 대상을 짐작할 가능성이 있기 때문이다. 판단이 어렵다면 원문을 그대로 옮기기보다 질문에 필요한 최소한의 정보로 범위를 줄이는 방법을 검토할 수 있다.

전망하자면 기업의 AI 보안 수요는 탐지 기능과 함께 입력 기준을 실제 업무에 적용하는 운영 능력으로 이어질 수 있다. 솔트웨어의 특허 소식도 이런 관점에서 살펴볼 만하다. 기업이 확인할 핵심은 보호할 정보의 범위, 직원에게 제공할 대안, 차단 결과를 개선할 절차가 연결돼 있는지다. 기술이 경고를 보내더라도 그 의미를 설명하고 다음 행동을 정하는 일은 조직에 남는다.