회사 데이터, 제미나이에 넣어도 괜찮을까? 🔐 기업이 꼭 알아야 할 보안 팩트 3가지

 

"혹시 우리 데이터 새는 거 아닌가요?"

요즘 기업 현장에서 AI 도입을 논의할 때 가장 자주 나오는 말 중 하나입니다. 생성형 AI를 쓰면 업무 효율이 확 올라간다는 건 누구나 아는데, 막상 내부 계약서나 재무 자료를 붙여넣으려고 하면 손이 멈춰버리는 거 아시죠?

이 불안감은 단순한 기우가 아닙니다. 실제로 2024년 한 해 동안 생성형 AI 관련 데이터 유출 방지 사고가 전년 대비 2.5배 급증했고, 기업 직원 중 38%가 승인 없이 민감한 업무 데이터를 외부 AI에 입력하고 있다는 조사 결과도 있습니다. 2025년 국내 기업의 데이터 유출 사고 건당 평균 비용이 48억 원을 넘어섰다는 IBM 보고서까지 보고 나면, 담당자 입장에서 신경이 쓰이는 게 당연합니다.

그런데 여기서 중요한 전제를 하나 짚고 넘어가야 합니다. 직원이 개인 계정으로 사용하는 무료 제미나이와, 구글 워크스페이스 기업용 요금제에 탑재된 제미나이는 완전히 다른 서비스입니다. 같은 이름을 달고 있지만, 기업용에는 훨씬 더 엄격한 보안 정책과 데이터 보호 기준이 적용됩니다. 오늘은 기업 담당자라면 꼭 알아야 할 보안 진실 세 가지를 정리해 드릴게요.

2025년부터 달라진 것, 제미나이가 기본 탑재되기 시작했습니다

먼저 최근 변화 하나를 짚고 시작하겠습니다. 2025년 1월부터 구글 워크스페이스 비즈니스 및 엔터프라이즈 전 요금제에 제미나이가 기본으로 포함됐습니다. 예전에는 별도 부가기능으로 따로 구매해야 했는데, 이제는 워크스페이스 구독 자체에 통합된 핵심 서비스로 제공되는 방식입니다.

특히 비즈니스 스탠다드 이상 요금제를 사용하면 개인 구독 시 월 28,000원 상당의 구글 AI 프로 기능이 추가 비용 없이 포함됩니다. 기능이 늘어난 것만이 아닙니다. 구글은 이 변화와 함께 AI 보안 인증 범위도 크게 확대했는데요. 2025년 기준으로 AI 관리 시스템 국제표준인 ISO 42001과 미국 연방 정부 클라우드 보안 기준인 FedRAMP High 인증까지 추가로 획득했습니다. 워크스페이스용 제미나이는 생성형 AI 생산성 솔루션 가운데 처음으로 이 수준의 복합 인증을 취득한 서비스입니다.

이 변화의 핵심은 단순히 기능 추가가 아닙니다. 제미나이가 워크스페이스의 핵심 서비스로 편입되면서, 기존의 기업 데이터 보호 약관이 제미나이 사용에도 그대로 적용된다는 의미입니다. 이제 본론으로 들어갈게요.

진실 1. 우리 회사 데이터로 AI를 학습시키지 않습니다

"직원이 입력한 내용이나 문서를 구글이 가져다가 AI 학습에 쓰는 거 아닌가요?"

아마 이게 가장 많이 받는 질문일 겁니다. 결론부터 말씀드리면, 기업용 워크스페이스에서는 그렇지 않습니다.

구글이 공식 약관에 명시한 원칙은 명확합니다. 사용자의 데이터는 허가 없이 도메인 외부에서 생성형 AI 모델 학습에 사용되지 않으며, 인적 검토자의 검토도 받지 않습니다. 데이터의 소유권은 구글이 아니라 해당 기업, 즉 고객에게 있고 광고 목적이나 외부 활용에도 사용되지 않습니다.

쉽게 말해, 계약서를 제미나이에게 요약시키거나 재무 보고서를 분석하게 해도 그 내용이 다른 회사나 외부 사용자에게 흘러갈 가능성은 없다는 뜻입니다.

한 가지 주의가 필요한 부분이 있긴 합니다. 제미나이 응답에 엄지를 올리거나 내리는 피드백을 직접 남기면, 해당 대화가 서비스 품질 개선 목적으로 최대 18개월간 저장될 수 있습니다. 다만 이것은 사용자가 직접 피드백 버튼을 눌렀을 때만 해당하는 예외입니다. 일반적인 업무 대화나 문서 분석 과정에서 입력한 내용은 이 경우에 해당하지 않아요. 관리자 콘솔에서 이 설정 자체를 제어하는 것도 가능합니다.

내 데이터는 내 것이라는 원칙, 기업용 서비스라면 당연히 지켜져야 할 기준을 구글은 계약 조건으로 명시하고 있습니다.

진실 2. 구글 직원도 대화 내용을 볼 수 없습니다

"혹시 구글 엔지니어가 우리 대화를 몰래 보는 건 아닌가요?"

개인 무료 계정으로 제미나이를 사용할 경우, 서비스 품질 개선 목적으로 인적 검토자가 대화 내용을 직접 확인하는 경우가 있습니다. 무료 서비스를 이용하는 대가로 발생하는 일종의 데이터 활용이라고 볼 수 있습니다.

기업용 워크스페이스는 완전히 다릅니다. 구글 엔지니어는 기업 고객의 프롬프트나 결과 데이터를 열람하지 않습니다. 정책 위반 감지나 법령에 따라 공개가 필요한 극히 제한된 경우에만 예외가 적용되며, 그 경우에도 엄격한 내부 절차를 거칩니다.

암호화도 철저합니다. 전송 중인 데이터와 저장된 데이터 모두 강력한 암호화가 적용됩니다. 2025년 기준으로 워크스페이스용 제미나이가 보유한 보안 인증 목록은 상당합니다. ISO 27001, ISO 27017, ISO 27018(클라우드 개인정보 보호), ISO 42001(AI 관리 시스템), SOC 1/2/3, FedRAMP High까지 포함하고, 의료정보 보호를 위한 미국 법률인 HIPAA 준수도 지원합니다.

보안 인증이 중요한 이유는 단순히 "우리 안전해요"라는 자기 주장이 아니라, 제3자 기관이 실제로 검증했다는 증거이기 때문입니다. 특히 금융, 의료, 공공 분야처럼 규제가 엄격한 업종에서 서비스를 도입할 때 이런 인증 목록은 필수 확인 사항입니다.

진실 3. 제미나이는 권한 없는 문서에 접근하지 않습니다

"제미나이가 회사 전체 문서를 다 읽을 수 있는 거 아닌가요?"

이것도 많은 분들이 오해하시는 부분입니다. 제미나이는 기존 구글 워크스페이스의 문서 접근 권한 체계를 그대로 따릅니다. 회사 전체 문서를 자유롭게 훑는 구조가 아니라, 현재 질문하는 사용자 본인이 접근할 수 있는 범위 안에서만 답변을 제공하는 방식입니다.

예를 들어볼게요. 인사팀장이 인사 관련 문서 요약을 요청하면, 해당 문서에 열람 또는 편집 권한이 있는 경우에만 제미나이가 정상적으로 답변합니다. 반면 영업팀 직원이 같은 인사 문서를 요청하면 접근 권한이 없기 때문에, 관련 정보를 찾을 수 없거나 접근 권한이 없다는 응답을 받게 됩니다.

엔터프라이즈 요금제에서는 여기서 한 발 더 나아갑니다. 데이터 손실 방지 기능과 AI 분류 기능을 활용하면 민감한 문서에 자동으로 분류 라벨이 적용되고, 정보 권한 관리 정책이 설정된 문서에는 제미나이조차 접근하지 못하도록 차단할 수 있습니다. 기존에 워크스페이스 권한 관리를 잘 운영해온 기업이라면, 제미나이를 추가해도 보안 체계가 흔들리지 않는다는 의미입니다.

사람들이 가장 많이 놓치는 함정, 도구보다 환경이 중요합니다

많은 기업 담당자들이 "제미나이 자체가 안전한가"에만 집중하는 경향이 있습니다. 그런데 정작 중요한 질문은 따로 있어요. 우리 직원들이 어떤 계정으로, 어떤 요금제 환경에서 제미나이를 사용하고 있는가입니다.

아무리 안전한 도구라도, 사용 환경이 적절하게 갖춰지지 않으면 의미가 없습니다. 실제로 기업 내부에서 가장 흔하게 발생하는 보안 위협은 외부 해킹이 아니라, 직원이 편의상 개인 계정이나 무료 서비스를 통해 업무 데이터를 처리하는 이른바 그림자 AI 사용입니다. 최근 조사에서는 직원 4명 중 3명이 생성형 AI 도구를 업무에 활용하고 있다는 결과도 있었는데요. 그 중 상당수가 회사의 승인 없이 개인 계정을 통해 사용하고 있을 가능성이 높습니다.

직원들이 반드시 기업용 워크스페이스 계정을 통해 제미나이를 사용하도록 환경을 정비하는 것, 이것이 가장 중요한 보안 행동입니다. 관리자 콘솔을 통해 제미나이 사용 권한을 부서별로 제어하고, 데이터 손실 방지 정책을 함께 적용하면 훨씬 더 촘촘한 보안 체계를 갖출 수 있습니다.

2025년 지금, 어떤 요금제에서 제미나이가 안전하게 제공되나요?

앞서 설명한 세 가지 보안 원칙은 제미나이가 워크스페이스 핵심 서비스로 제공되는 요금제에서만 적용된다는 점을 꼭 기억해야 합니다.

현재 판매 중인 비즈니스 요금제는 네 가지입니다. 비즈니스 스타터는 사용자당 월 약 8.4달러(연간 약정 기준)이며 제미나이 기본 기능이 포함됩니다. 비즈니스 스탠다드는 사용자당 월 약 14달러이며 구글 AI 프로가 포함되어 가장 많은 기업이 선택합니다. 비즈니스 플러스는 사용자당 월 약 22달러로 보안 기능이 더욱 강화되고, 엔터프라이즈는 영업팀 문의를 통해 확인하는 방식으로 최고 수준의 보안 및 관리 기능이 제공됩니다. 이 네 가지 요금제 모두에서 기업 데이터 보호 정책이 적용되는 제미나이를 사용할 수 있습니다.

반면 주의가 필요한 경우도 있습니다. 개인 지메일 계정(@gmail.com)이나 구글 원 개인 AI 요금제는 기업용 워크스페이스가 아닌 개인용 서비스이므로, 앞서 설명한 기업 데이터 보호 원칙이 적용되지 않습니다. 직원 개인 계정으로 업무 문서를 처리하는 것이 바로 위험한 상황입니다.

앞으로 기업용 AI 보안은 어떻게 바뀔까요?

생성형 AI는 이제 단순한 실험 도구가 아닙니다. 규제 환경도 빠르게 변하고 있어요. 유럽연합 AI법이 2025년부터 단계적으로 시행에 들어갔고, 국내에서도 AI 기본법이 2026년 시행을 앞두고 있습니다. 기업이 어떤 AI 서비스를 어떤 방식으로 사용하는지가 점점 더 규제와 감사의 대상이 됩니다.

보안 인증 측면에서도 기준이 높아지고 있습니다. AI 관리 시스템에 특화된 ISO 42001 인증이 새로운 표준으로 자리 잡으면서, 이 인증을 보유한 서비스를 선택하는 것이 기업의 내부 통제 관점에서도 점점 중요해지고 있습니다. 지금부터 보안 원칙을 제대로 이해하고 도입 환경을 정비해 두는 것이 앞으로의 규제 환경에서 흔들리지 않는 기반이 됩니다.

마무리, 오늘 꼭 가져가세요

정리하면 이렇습니다. 2025년 현재 구글 워크스페이스 비즈니스 스타터 이상 전 요금제에서는 제미나이가 기본 탑재된 핵심 서비스로 제공되며, 회사 데이터를 AI 학습에 사용하지 않고, 구글 직원도 대화 내용을 열람하지 않으며, 기존 문서 접근 권한 체계 안에서만 작동합니다.

반면 무료 개인 계정이나 구글 AI 프로 같은 개인용 요금제에는 이 보호 원칙이 적용되지 않습니다. 직원들이 개인 계정으로 업무 데이터를 처리하지 않도록 환경을 정비하는 것이 가장 중요한 보안 행동 단계입니다.

지금 바로 우리 직원들이 어떤 계정으로 제미나이를 쓰고 있는지 확인하는 것, 그 한 가지 행동이 수억 원짜리 보안 사고를 예방하는 출발점이 될 수 있습니다.