AI 인재 이동 시대, 전직자 데이터 반출을 막는 기업 통제의 기준

핵심 질문은 간단합니다. 직원이 퇴사나 이직을 앞두고 회사 파일을 개인 이메일, 클라우드, 저장장치로 옮겼다면 그것만으로 영업비밀 침해가 성립할까요? 답을 찾으려면 자료가 이동했다는 사실과 실제 침해 여부를 분리해서 살펴봐야 합니다. 자료의 비공개성, 경제적 가치, 회사가 보호를 위해 어떤 조치를 했는지, 반출 이후 어떻게 사용됐는지가 각각 검토 대상이 됩니다.

최근 OpenAI와 Apple을 둘러싼 영업비밀 관련 법적 분쟁 보도는 이 문제가 특정 기업만의 이야기가 아니라는 점을 보여줍니다. 생성형 인공지능 분야에서는 핵심 인력의 이동이 기술 경쟁과 곧바로 연결될 수 있기 때문입니다. 한국 기업 역시 연구자료, 모델 설계 문서, 데이터 처리 방식, 제품 개발 일정이 개인 계정이나 외부 저장공간으로 이동하지 않도록 퇴사 절차를 다시 설계할 필요가 있습니다.

1. 이번 사건에서 확인된 사실과 구분해야 할 주장

Reuters 보도는 OpenAI가 Apple로 이직한 전 직원이 공개되지 않은 기기와 관련된 파일을 가져갔다고 주장했다는 내용을 전합니다. Bloomberg Law는 OpenAI가 Apple에서 가져온 것으로 주장된 영업비밀을 사용하지 않겠다고 약속했다는 취지로 보도했습니다. 다른 보도는 양사 사이에 영업비밀을 둘러싼 법적 대응이 진행되고 있다고 소개합니다.

여기서 중요한 점은 보도된 내용의 성격입니다. 현재 확인된 핵심은 양사 사이에 관련 법적 분쟁과 대응이 있었다는 사실, 그리고 OpenAI 측의 주장이 제기됐다는 점입니다. 반출된 파일의 구체적인 내용, 파일이 실제로 영업비밀에 해당하는지, 개인 계정이 사용됐는지, 파일 수량이 얼마인지, 법원이 어떤 사실을 인정했는지는 별도로 확인해야 합니다.

따라서 이 사건을 ‘직원이 영업비밀을 유출했다’고 확정된 사실처럼 소비해서는 안 됩니다. 기업 보안 담당자가 참고해야 할 부분은 혐의의 결론이 아니라, 이직 전후 데이터 이동을 어떻게 발견하고 기록하며 통제할 것인가입니다.

2. 개인 계정으로 옮긴 파일이 위험 신호가 되는 이유

업무 파일을 개인 이메일이나 클라우드로 옮기는 행위는 그 자체로 모든 법적 요건을 충족시키는 것은 아닙니다. 그러나 기업 입장에서는 중요한 위험 신호입니다. 회사가 관리하는 저장소 밖으로 자료가 이동하면 접근권한, 보존 기간, 재공유 여부를 통제하기 어려워지기 때문입니다.

실무에서는 최소한 네 가지를 따로 살펴봐야 합니다.

첫째, 해당 자료가 외부에 공개되지 않은 정보인지 확인해야 합니다. 둘째, 경쟁상 이익이나 개발 비용 절감과 연결되는 경제적 가치가 있는지 검토해야 합니다. 셋째, 회사가 자료를 비밀로 관리하기 위해 접근 제한, 등급 분류, 반출 승인 같은 조치를 운영했는지 확인해야 합니다. 넷째, 반출 목적이 단순한 업무 편의인지, 퇴사 후 활용이나 제3자 제공으로 이어졌는지 살펴봐야 합니다.

결국 ‘파일을 옮겼다’와 ‘보호되는 정보를 부정하게 사용했다’는 같은 문장이 아닙니다. 다만 개인 공간으로의 이동은 이후 사용 여부를 확인해야 하는 출발점이 될 수 있습니다. 이 구분은 이직자에게도 중요합니다. 업무를 이어가기 위해 필요한 참고자료라고 생각한 파일도 회사의 통제 대상일 수 있으므로, 개인 저장공간으로 복사하는 방식은 피하는 것이 안전합니다.

3. 기업이 마련해야 할 퇴사·이직 통제 기준

퇴사자 관리가 마지막 근무일의 계정 삭제로 끝나면 이미 늦을 수 있습니다. 퇴사 의사가 전달된 시점부터 업무상 필요한 접근권한과 외부 반출 기록을 재검토하는 절차가 필요합니다.

가장 먼저 회사는 영업비밀로 관리할 자료의 범위를 정해야 합니다. 인공지능 기업이라면 연구 결과, 모델 설계와 평가 문서, 학습·처리 방식, 제품 개발 자료처럼 경쟁상 중요하다고 판단되는 정보의 등급을 구분할 수 있습니다. 자료를 분류하지 않은 상태에서는 무엇을 보호해야 하는지, 누가 접근할 수 있는지, 반출 승인이 필요한지 설명하기 어렵습니다.

다음으로 저장소별 권한을 점검해야 합니다. 개발 저장소, 문서 협업도구, 클라우드, 가상사설망, 사내 메신저, 업무용 이메일의 권한을 한 번에 확인할 수 있어야 합니다. 퇴사 예정자의 권한을 즉시 모두 차단하는 방식은 업무 연속성을 해칠 수 있으므로, 직무와 자료 등급에 따라 단계적으로 제한하고 변경 내용을 기록하는 운영 기준이 필요합니다.

다운로드, 외부 공유, 대량 압축, USB 복사, 개인 클라우드 전송과 같은 행위도 로그로 보존해야 합니다. 특정 행동 하나만으로 결론을 내리기보다 평소 사용량과 다른 패턴인지, 민감 자료가 포함됐는지, 승인 절차가 있었는지를 함께 확인하는 방식이 적절합니다.

4. 디지털 포렌식만으로 해결되지 않는 이유

퇴사 과정에서 이상 징후가 발견되면 기업은 이메일, 저장소, 업무용 기기, 접근 로그를 확인할 수 있습니다. 그러나 포렌식은 사실을 모으는 수단이지, 그 자체로 침해를 확정하는 절차는 아닙니다. 조사 범위와 보존 방식은 개인정보, 노무, 계약, 관련 법률 요건을 함께 검토해야 합니다.

사후 조사에서 특히 중요한 것은 원본성입니다. 누가 언제 어떤 파일에 접근했는지, 파일이 어디로 이동했는지, 이후 삭제나 재전송이 있었는지를 일관된 기록으로 남겨야 합니다. 회사가 필요한 로그를 보존하지 않았다면 반출 경로를 설명하기가 어려워질 수 있습니다.

반대로 기술적 감시만 강화한다고 문제가 해결되는 것도 아닙니다. 직원이 어떤 자료를 영업비밀로 봐야 하는지 교육받지 못했고, 정상적인 외부 반출 승인 절차도 없다면 통제는 현장에서 우회되기 쉽습니다. 보안 시스템, 인사 절차, 퇴사 면담, 기밀유지 약정, 법무 검토가 서로 연결돼야 합니다.

5. 이직 예정자와 보안 담당자를 위한 점검표

이직 예정자는 다음 기준을 우선 확인하는 것이 좋습니다.

• 회사 파일을 개인 이메일, 개인 클라우드, 개인 메신저로 옮기지 않습니다.
• 포트폴리오나 경력기술서에 사용할 결과물은 회사의 사전 허가를 문서로 확인합니다.
• 공개된 자료와 회사 내부 자료를 구분하고, 내부 자료를 기억에 의존해 재현하거나 재사용하지 않습니다.
• 퇴사 면담에서 기밀유지 의무와 자료 반납·삭제 절차를 다시 확인합니다.

기업과 보안 담당자는 다음 항목을 문서화해야 합니다.

• 영업비밀 또는 중요 정보의 분류 기준
• 저장소별 접근권한과 권한 변경 승인 절차
• 외부 공유·다운로드·개인 저장공간 전송에 대한 차단 또는 경고 기준
• 퇴사 통보부터 마지막 근무일까지의 권한 회수 절차
• 기기 반납, 계정 보존, 로그 보관, 이상 행위 조사 절차
• 조사 과정에서 인사·법무·개인정보 담당자가 검토할 범위

한국 기업이 해외 분쟁 사례를 참고할 때는 미국의 법적 기준을 그대로 적용해서는 안 됩니다. 국내에서는 영업비밀 보호와 개인정보·노무 이슈를 별도로 살펴야 하며, 실제 조치는 회사의 계약과 내부 규정, 적용 법률에 맞춰 설계해야 합니다.

결론

AI 인재 이동이 활발해질수록 경쟁력은 사람을 영입하는 능력뿐 아니라, 전직 과정에서 회사의 핵심 정보를 안전하게 관리하는 능력에서도 갈립니다. OpenAI와 Apple 관련 보도에서 확인되는 것은 영업비밀을 둘러싼 법적 분쟁과 당사자의 주장입니다. 반출 파일의 성격이나 실제 침해 여부를 확정된 사실로 확대해서는 안 됩니다.

기업이 먼저 해야 할 일은 자료를 중요도별로 분류하고, 접근권한과 외부 반출 절차를 명확히 만드는 것입니다. 퇴사 시점에는 계정 회수, 로그 보존, 기기 반납, 조사 기준을 인사·보안·법무가 함께 실행해야 합니다. 이직자는 회사 자료를 개인 공간으로 옮기지 않고, 포트폴리오 사용 허가를 문서로 확인해야 합니다.

독자가 확인할 핵심 기준은 세 가지입니다. 어떤 정보가 보호 대상인지 정해져 있는가, 누가 언제 접근하고 반출했는지 기록되는가, 퇴사 이후 권한과 자료가 실제로 회수되는가입니다. 이 세 가지가 문서와 시스템에 함께 남아 있을 때 인재 이동과 정보 보호를 동시에 관리할 수 있습니다.