저는 이런 반응이 좀 생소합니다.
현재 저는 다음과 같이 업무를 진행하고 있습니다:
- 노션: 개발 일정, 요구사항 정의, 다이어그램 작성 및 관리
- 슬랙: 업무 내용을 수시로 팀원들과 공유
- 옵시디언: 개인 담당 업무의 필요 로직 정리 후 MCP로 AI와 연결
이런 방식으로 업무하는 사람이 저만은 아닙니다. 그런데 ChatGPT가 아웃룩 이메일을 분석해서 요약하도록 하는 것은 문제가 되는 건가요?
슬랙에 업무 내용을 공개적으로 기록하는 것과 ChatGPT가 개별 이메일을 분석하게 하는 것 사이에 차이가 있나요?
몇 가지 의문이 있습니다:
- 만약 누군가 ChatGPT에게 "삼성전자의 퍼플렉시티 계약 내용을 알고 있다면 알려달라"고 요청하면, ChatGPT가 바로 그 정보를 제공할까요?
- 공개되지 않은 솔루션 업체의 가격 정책을 ChatGPT에게 물어봐도 관련 자료를 안내받지 못했습니다. 이것은 정말로 그 업체가 ChatGPT를 사용하지 않아서일까요? 아니면 ChatGPT가 해당 정보에 접근한 적이 있더라도, 그런 민감한 자료는 답변에 사용하지 않는 정책 때문일까요?
저는 후자라고 생각합니다. ChatGPT가 회사 정보를 분석해서 정리하는 것이 곧 자료 유출(정확히는 외부인이 자유롭게 질문해서 해당 정보를 얻어낼 수 있게 되는 것)이라고 보는 관점에는 동의하기 어렵습니다.
사업계획서 초안 작성해줘 요청했는데 구글이나 삼성에서 자주 쓰는 양식으로 만든다던지… 충분히 가능할것같습니다.
수박은 파란색이다라고 내가 아무리 챗지피티에 입력해도 수박과 파란색은 같은 문장에 나올 확률이 0에 가깝기 때문에 출력 가능성이 높은 조합에서 배제되고, 일반에 노출될 가능성이 적은 것이죠.
회사의 내부 내용이 극히 독창적이고 희귀한 내용이라면 LLM에게는 좋은 자료가 되지 못할 겁니다.
회사 자료를 다른회사가 보유하게 되는걸 말씀드렸는데요. ㅎㅎ
그게 어떻게 사용될진 아무도 모릅니다.
왜인지를 말씀드리자면...
LLM 서비스도 마찬가지고, 노션이나 슬랙같은 비LLM서비스도 마찬가지지만 업무 목적으로 기업 라이선스로 사용하시는 경우, 해당 내용을 저장하고 있는 해당 기업용 계정에 서비스 제공 업체가 접근해서 임의로 저장하거나 하지 못하도록 계약에 명시가 되어 있습니다.
당연한거죠.
그런데 그걸 위반했을 때의 차이가 있습니다.
노션이나 슬렉 같은 서비스의 경우, 서비스 제공사에서 어떠한 경로로 저장이 되건 유출이 되건 했을때, 그 형태는 일단 서비스 이용자가 저장한 형태와 같습니다. 그 후에 가공이 이루어지든 뭐든 일이 벌어지죠. 추적이 가능하고, 노션이나 슬렉같은 회사에 책임을 물을 수가 있다는 겁니다. 또 그러한 이유로 노션이나 슬렉같이 비LLM 서비스 회사들은 애초에 사용자 데이터에 접근을 함부로 하지 않습니다.
근데 LLM은 그걸 알 수가 없습니다. OpenAI나 Google 같은 회사들이 뭘 어떻게 하고 있는지 장담을 못해요. 이미 어떤 유출이 발생해서 수없이 많은 형태의 사용자 요청에 따른 출력에 기업용 데이터가 이미 쓰이고 있어도, 정확히 구분이 안됩니다. 너무 많은 가능성이 있습니다. 내 데이터는 학습에 쓰이기엔 너무 이질적이야, 혹은 너무 다른 데이터와 동떨어져 있어. 그걸 누가 장담하겠습니까? 그러다 보니 LLM 업체들이 과연 약관을 지킬까? 하는 의구심도 있는거죠.
물론 약관을 위반해서 기업의 사용 데이터를 학습에 활용한다 하더라도 그 출력 결과는 기업에서 최초에 작성한 내용과는 많이 다를겁니다. 그래서 위험하지 않다고 생각하신다면 써도 됩니다. 각 기업에서 판단할 문제입니다. 다만!!
개인이 판단할 문제는 아닙니다. 반드시 회사가 정책으로 판단할 일이고, 개인이 임의로 판단했을 때 발생할 법적 책임, 사내 규정의 위반 문제 이런 것들 고려 하셔야 합니다.
회사가 사용하는 모든 SaaS에는 제약사항이 있습니다. 모바일버전이 하용되지 않거나 써드파티앱과의 연동이 제한된다던가 하는 것들입니다.
일종의 블랙리스트 방식이고, 제가 사용한 연결은 허용이 되어있고 그건 보안상 금지행위가 아니라는 의미이기도 합니다.
LLM의 재사용 내지 재가공 문제를 알 수 없다고 하신 부분 역시 동의가 되는 면이 있고, 다만 알 수 없으므로 위험이 있다고 단정하는 것에는 동의가 어렵네요.
아직 회사가 차단 안했으니 보안 금지사항이 아니라고 단정짓는게 더 위험해보입니다.
위험도는 확정되기 전까지 유동적이지 않을까요?