생성형 AI 사용 정책

1. 소개

본 정책은 생성형 인공지능(“AI”) 모델, 도구 및 시스템(통칭 “GenAI”)의 사용에 관한 ComponentSource 그룹의 의무와, GenAI를 사용할 때 회사, 직원, 대리인, 계약업체 및 회사를 대신하여 일하는 기타 당사자가 따라야 할 규칙, 규정, 절차 및 원칙을 정합니다.

2. 적용 범위

1. “인공지능”과 “AI”라는 용어는 현재 GenAI 사용에 일반적으로 적용되는 법률 분야에서 정의되어 있지 않습니다. EU AI 법은 위험에 따라 응용 분야를 구분합니다.
   1. AI는 ”기기 또는 소프트웨어가 다음을 수행하도록 프로그래밍하거나 훈련할 수 있는 기술로 정의되었습니다.
      1. 데이터를 이용하여 환경을 인식한다.
      2. 인지 능력을 근사하도록 설계된 자동 처리를 사용하여 데이터를 해석한다.
      3. 특정 목표를 달성하기 위해 권고, 예측 또는 결정을 한다.”
   2. EU AI 법의 조항을 해석하는 경우를 제외하면 현재 GenAI에 대한 별도의 법적 정의는 없습니다. 다만 인공지능은 데이터 분석, 의사 결정, 콘텐츠 생성 등의 작업을 수행하기 위해 인간 지능을 모방하는 소프트웨어로 폭넓게 정의할 수 있습니다. GenAI는 사용자가 입력한 프롬프트에 응답하여 텍스트, 이미지, 오디오, 비디오 또는 프로그래밍 코드를 생성하는 AI의 한 유형입니다. 이는 자연어를 이해하고 경험과 데이터 노출을 통해 개선되도록 설계된 비지도 및 준지도 알고리즘과 대량의 훈련 데이터를 결합하여 가능합니다. (예: ChatGPT, Grok, Copilot.)
2. GenAI 규제는 지식재산권법과 데이터 보호법을 포함한 다른 법률 분야와도 연관됩니다. GenAI와 관련된 다른 문제로는 정확성, 편향, 잘못된 정보, 허위 정보 및 차별의 위험이 있습니다.
3. ComponentSource는 주로 소프트웨어 개발용 소프트웨어 도구와 컴포넌트를 유통하지만, 이러한 도구와 컴포넌트 중 다수는 점점 더 AI 요소를 포함하거나 지원할 것입니다. ComponentSource는 상업 활동에 적용되는 관련 법률의 문구와 취지를 모두 준수하기 위해 노력합니다. 직원, 대리인, 계약업체 및 회사를 대신하여 일하는 기타 당사자는 회사 업무에서 AI를 사용할 때 항상 주의를 기울이고 상당한 주의를 다하며 본 정책을 따라야 합니다.
4. 회사는 GenAI를 혁신적으로 사용하면 회사와 고객에게 큰 가치를 제공할 수 있다고 생각합니다. 본 정책은 GenAI의 잠재력을 충분히 활용하면서도 고의적 또는 비고의적 오용, 불법적 또는 비윤리적 결과, 잠재적 편향, 부정확성, 지식재산권 침해 및 개인정보의 부적절한 사용(불법 여부와 관계없이) 가능성을 최소화하는 데 목적이 있습니다.
5. 데이터 보호 관리자(“DPM”)와 최고정보책임자(“CIO”)는 본 정책을 관리하고 적용 가능한 관련 정책, 절차 및 지침을 개발하고 시행할 책임이 있습니다.
6. 모든 관리자는 직원, 대리인, 계약업체 및 회사를 대신하여 일하는 기타 당사자(“사용자”)가 본 정책을 준수하도록 할 책임이 있으며, 필요한 경우 준수를 보장하기 위해 합리적으로 필요한 관행, 프로세스, 통제 및 교육을 시행해야 합니다.
7. 본 정책 또는 적용 가능한 법률, 규정, 원칙, 모범 사례에 관한 문의는 DPM 및/또는 CIO에게 전달해야 합니다.

3. GenAI 적용 원칙

1. GenAI를 사용할 때는 항상 다음 일반 원칙을 염두에 두어야 합니다.
   1. 책임: GenAI 도구 사용자는 도구의 사용과 생성된 결과에 대해 최종 책임을 집니다.
   2. 적법성: GenAI는 EU AI 법, 데이터 보호법(아래 제5절(데이터 보호) 참조), 지식재산권법(아래 제8절(지식재산권) 참조)을 포함하되 이에 한정되지 않는 관련 법률을 준수하여 사용해야 합니다.
   3. 기밀성과 개인정보 보호: GenAI는 아래 제5절(데이터 보호)과 제6절(기밀 유지)에 설명된 대로 데이터의 기밀성과 개인정보 보호를 유지하는 방식으로 사용해야 합니다.
   4. 공정성: GenAI가 생성한 결과에 편향 위험이 있는 경우 아래 제9절(결과의 편향 식별 및 완화와 정확성 검증)에 설명된 대로 편향을 식별하고 완화하는 적절한 조치를 취해야 합니다.
   5. 명확성과 투명성: GenAI의 적용과 결과는 사용자, 고객 및 기타 수신자가 명확하게 이해할 수 있어야 합니다. 자세한 내용은 제10절(투명성)을 참조하십시오.
   6. 윤리적 사용: ComponentSource 내에서 GenAI는 책임감 있게 회사의 가치에 부합하도록 사용해야 합니다. 편향되거나 차별적이거나 불쾌감을 줄 수 있는 콘텐츠는 피해야 합니다. 콘텐츠는 오해를 불러일으켜서는 안 됩니다.
   7. 지침:
      1. GenAI 도구는 유용할 수 있지만 인간의 판단과 창의성을 대신하지는 못합니다. 많은 도구가 거짓 답변이나 오래된 정보를 제공할 수 있으므로 항상 사람이 신중하게 검증해야 합니다.
      2. GenAI 도구에 제공하는 모든 정보는 회사에 귀속되는 것으로 알려진 채 인터넷에서 널리 확산될 수 있다고 간주해야 합니다.
      3. IT 부서가 제공하지 않은 GenAI 도구를 사용하려면 DPM 또는 ICO의 서면 허가를 받아야 합니다. 정보를 훔치거나 공개하도록 유도하는 악성 챗봇을 항상 경계하십시오.
      4. GenAI 도구의 모든 응답은 정확성, 적절성, 편향 여부 및 지식재산권이나 개인정보 보호 권리 침해 여부를 검증해야 합니다. 모든 회사 정책과 관련 법률에 부합해야 합니다. 의문이 있으면 사용 전에 DPM 또는 ICO와 상담하십시오.
      5. 비밀번호, 인사 데이터, 기밀 문서 등을 포함하여 개인, 기밀 또는 회사 독점 정보를 GenAI 도구에 업로드하지 마십시오.
      6. DPM 또는 CIO의 구체적인 서면 허가 없이 GenAI 도구나 GenAI가 생성한 콘텐츠를 회사 내부 소프트웨어나 시스템과 통합하려고 시도해서는 안 됩니다.

4. GenAI 도구의 평가 및 승인과 승인된 도구

회사 내 사용이 승인된 GenAI 도구에는 본 정책의 제한이 적용됩니다. 사용 중 본 정책을 준수하는 경우, 권한이 있는 사용자는 해당 목록의 도구를 추가 평가나 승인 없이 사용할 수 있습니다.

1. 평가 및 승인되지 않은 목적의 회사 관련 활동을 회사 소유 또는 지급 기기에서, 또는 ComponentSource가 제공한 소프트웨어와 함께 수행해서는 안 됩니다.
2. GenAI 사용자는 해당 도구의 이용 약관, 개인정보 처리방침 및 기타 관련 조건이나 문서를 읽고 이해한 다음 준수해야 합니다.
3. 사용자는 GenAI의 훈련 데이터와 그 데이터가 어떤 결과를 만드는 데 사용되는지 고려해야 합니다. 훈련 데이터에 대한 지식재산권의 소유권과 그 안에 포함될 수 있는 기밀, 독점 정보나 개인정보에 특히 주의해야 합니다. 데이터의 최신성을 포함해 내재된 편향이나 부정확성도 고려해야 합니다. 자세한 지침은 다음 절을 참조하십시오.
   1. 제5절(데이터 보호)
   2. 제6절(기밀 유지)
   3. 제8절(지식재산권)
   4. 제9절(결과의 편향 식별 및 완화와 정확성 검증)
4. 사용자는 자신의 GenAI 사용 목적에 적용되는 다른 법률, 규정, 모범 사례 또는 유사한 요건을 숙지하고 준수해야 합니다.

5. 데이터 보호

1. 데이터 보호법은 데이터 보호와 개인정보에 적용되는 다양한 법률로 구성되며 EU GDPR, 영국 GDPR, 영국 2018년 데이터 보호법, 2003년 개인정보 및 전자통신 규정, 캘리포니아 소비자 개인정보 보호법(CCPA), EU AI 법 등을 포함합니다.
2. “AI”와 “인공지능”은 현재 데이터 보호법에 정의되어 있지 않습니다. 그러나 AI와 함께 개인정보를 사용하는 경우 해당 법률이 적용되며, 개발, 배포, 사용을 포함한 어느 단계에서도 적용될 수 있습니다. 경우에 따라 GenAI의 훈련 데이터에 개인정보가 포함되거나 GenAI 도구가 이후 개인정보 처리에 사용될 수 있습니다.
3. 개인정보를 사용하는 당사자는 “관리자”, “처리자” 또는 “공동 관리자”일 수 있습니다. GenAI와 함께 개인정보를 사용할 때는 역할별 법적 의무가 다를 수 있으므로 어떤 지위에서 행동하는지 판단하는 것이 중요합니다.
4. EU와 영국 GDPR은 개인정보를 취급하는 모든 당사자가 지켜야 할 핵심 원칙을 규정합니다. 모든 개인정보는 다음과 같이 취급해야 합니다.
   1. 개인(“정보 주체”)에 대해 적법하고 공정하며 투명하게 처리할 것;
   2. 특정되고 명시된 정당한 목적을 위해 수집하고 그 목적과 양립할 수 없는 방식으로 추가 처리하지 않을 것. 공익을 위한 기록 보관, 과학 또는 역사 연구, 통계 목적의 추가 처리는 최초 목적과 양립할 수 없는 것으로 간주되지 않습니다;
   3. 처리 목적에 적절하고 관련되며 필요한 범위로 제한할 것;
   4. 정확하고 필요 시 최신 상태로 유지할 것. 처리 목적에 비추어 부정확한 개인정보는 모든 합리적 조치를 통해 지체 없이 삭제하거나 정정해야 합니다;
   5. 정보 주체를 식별할 수 있는 형태로 처리 목적에 필요한 기간을 넘겨 보관하지 않을 것. 공익을 위한 기록 보관, 과학 또는 역사 연구, 통계 목적으로만 처리하고 정보 주체의 권리와 자유를 보호하는 적절한 기술적·조직적 조치를 시행하는 경우 더 오래 보관할 수 있습니다; 그리고
   6. 적절한 기술적 또는 조직적 조치를 사용하여 무단 또는 불법 처리와 우발적 분실, 파괴, 손상으로부터 보호하는 등 적절한 보안을 보장하는 방식으로 처리할 것.
5. 개인정보로 훈련된 GenAI 도구를 사용하거나 도구로 개인정보를 처리하기 전에 사용자는 ComponentSource의 데이터 보호 정책 및 해당 도구의 이용 약관과 개인정보 처리방침을 읽고 이해하며 준수해야 합니다.
6. ComponentSource의 데이터 보호 정책은 회사 내부, 회사를 위한 또는 회사를 대신한 모든 개인정보 사용에 적용됩니다. 개인정보의 수집, 처리, 이전, 보관 및 폐기에 관한 회사의 의무를 정합니다. GenAI와 함께 개인정보를 사용할 때 회사, 직원, 대리인, 계약업체 및 기타 회사를 대신하여 일하는 사람은 항상 데이터 보호 정책의 절차와 원칙을 따라야 합니다.
7. GenAI를 사용하여 개인정보를 처리할 때마다 다음을 확인해야 합니다. 자세한 내용은 ComponentSource 데이터 보호 정책을 참조하십시오.
   1. 개인정보 처리의 적법한 근거는 무엇입니까?
   2. 귀하/당사는 관리자, 공동 관리자 또는 처리자 중 어느 지위에 있습니까? (개인정보를 사용해 AI를 훈련하는 개발자는 관리자인 경우가 많습니다.) 다른 당사자가 개발한 GenAI 사용자로서 어느 지위에도 해당할 수 있습니다. 필요하면 DPM 또는 CIO와 상담하십시오.
   3. 데이터 보호 영향평가를 실시했습니까?
   4. 각 정보 주체에게 어떻게 알리고 투명성을 확보합니까?
   5. 보안 위험을 어떻게 완화합니까?
   6. 처리를 필요한 관련 범위로 어떻게 제한합니까?
   7. 개인의 법적 권리 행사 요청(예: 정보 주체의 접근 요청)에 어떻게 대응합니까?
   8. 법적 또는 이에 준하는 중대한 영향을 미치는 전적으로 자동화된 결정에 GenAI를 사용합니까?
8. 개인정보를 입력하기 전에 사용자는 GenAI 도구가 입력 데이터를 어떻게 사용하는지 완전히 이해해야 합니다. 입력을 훈련 데이터에 추가하거나 제3자와 공유한다면, 개인정보를 제공한 사람의 명시적인 서면 동의 없이 해당 도구와 함께 개인정보를 사용해서는 안 됩니다(다만 이러한 처리와 공유를 허용할 수 있는 수집 목적과 정보 주체에게 제공한 정보를 고려합니다).
9. 개인정보에 기밀 정보 또는 지식재산권으로 보호되는 독점 정보가 포함된 경우 본 정책의 제6절과 제8절도 적용될 수 있습니다.
10. 훈련 데이터, GenAI 도구 입력 또는 생성 결과를 포함하여 개인정보나 데이터 보호법에 관한 질문은 DPM에게 전달해야 합니다.

6. 기밀 유지

1. 회사는 “기밀 정보”를 ComponentSource나 회사가 기밀로 지정한 모든 정보 및 다음 정보로 정의합니다.
   1. 다음과 관련된 모든 기밀 또는 독점 정보:
      1. 회사의 사업, 고객, 퍼블리셔 또는 공급업체;
      2. 회사의 운영, 프로세스, 제품 정보, 영업 비밀, 노하우 또는 기술 정보; 그리고
   2. 이러한 기밀 정보에서 파생된 추가 정보, 데이터, 분석 또는 결과.
2. 위 정의는 제3자로부터 받아 기밀로 지정된 같은 성격의 정보에도 적용됩니다(예: 사용에 추가 제한을 둘 수 있는 비밀유지계약의 적용을 받는 정보).
3. 위 정의는 정보가 상업적 또는 다른 측면에서 민감한지 여부와 그 유형 또는 무형의 형태나 전달 방식에 관계없이 적용됩니다.
4. 기밀 정보를 GenAI 도구와 함께 사용할 때 사용자는 해당 정보에 적용되는 특정 정책이나 계약 조건(예: 비밀유지계약)을 따라야 합니다. 그러한 정책이나 계약이 사용을 금지한다면 GenAI와 함께 사용해서는 안 됩니다.
5. 기밀 정보를 입력하기 전에 사용자는 GenAI 도구가 입력 데이터를 어떻게 사용하는지 완전히 이해해야 합니다. 도구가 입력을 훈련 데이터에 추가하거나 제3자와 공유한다면, 정보를 제공한 당사자의 동의 없이 사용해서는 안 됩니다.
6. 기밀 정보에 개인정보 또는 지식재산권으로 보호되는 독점 정보가 포함된 경우 본 정책의 제5절과 제8절도 적용될 수 있습니다.
7. 훈련 데이터, GenAI 도구 입력 또는 생성 결과와 관련된 기밀 정보에 대한 질문은 DPM 및/또는 CIO에게 전달해야 합니다.

7. 보안

1. 다음 ComponentSource 정책은 회사 관련 활동, 회사 소유 또는 지급 기기, 회사가 제공한 소프트웨어와 함께 GenAI를 사용하는 사용자에게 적용됩니다. GenAI 도구를 사용할 때는 이러한 정책의 절차와 원칙을 항상 따라야 합니다.
   1. 사이버 보안 정책;
   2. 데이터 보호 정책.
2. 위 제4절에 명시된 대로 GenAI 도구(새 버전 포함)는 사용 전에 평가 및 승인되어야 합니다.
3. 위 제5절에 명시된 대로 GenAI와 함께 개인정보를 사용하려면 제5절의 원칙과 요건, 회사의 데이터 보호 정책 및 적용 법률을 준수해야 합니다.
4. 위 제6절에 명시된 대로 GenAI와 함께 기밀 정보를 사용하는 것은 제6절의 원칙과 요건을 준수하고 관련 정책과 계약이 허용하는 범위에서만 가능합니다.
5. DPM의 사전 서면 승인이 없다면 권한 있는 사용자는 회사 관련 활동, 회사 소유 또는 지급 기기, 회사가 제공한 소프트웨어와 함께 GenAI를 사용할 권한이 없는 사용자에게 도구 접근 권한을 주어서는 안 됩니다. 이는 직원, 대리인, 계약업체 및 회사를 대신하여 일하는 기타 사람 모두에게 적용됩니다.
6. 보안 관련 질문은 DPM 및/또는 IT 부서에 전달해야 합니다.

8. 지식재산권

1. 본 정책에서 “지식재산권”에는 특허, 발명에 대한 권리, 저작권 및 관련 권리, 저작인격권, 상표와 서비스표, 상호, 도메인 이름, 상품 외관과 트레이드 드레스에 대한 권리, 영업권 및 사칭 통용에 관한 소송권, 디자인권, 데이터베이스권, 소프트웨어에 대한 권리, 기밀 정보를 사용하고 보호할 권리, 그 밖의 등록 여부와 관계없는 모든 지식재산권이 포함됩니다. 여기에는 출원, 갱신 또는 연장의 신청 및 취득 권리, 우선권 주장 권리, 현재 또는 미래에 세계 어디에나 존재하는 동등한 권리나 다른 보호 형태도 포함됩니다.
2. GenAI 도구는 지식재산권이 존재하는 다양한 저작물을 만들 수 있습니다. 마찬가지로 훈련 데이터에는 지식재산권, 특히 저작권으로 보호되는 여러 유형의 저작물이 포함될 수 있습니다.
3. 기존 훈련 데이터로 훈련된 GenAI는 내부 알고리즘이 그 데이터를 처리한 결과를 생성합니다. 지식재산권으로 보호되는 데이터(예: 저작권으로 보호되는 텍스트, 이미지, 사진, 음원)로 훈련되었다면 생성 결과에 데이터나 그 일부가 다양한 정도로 포함될 수 있습니다. 따라서 사용한 훈련 데이터, 그 내용의 지식재산권 소유 상태, 사용 허가의 존재와 조건을 아는 것이 중요합니다.
4. GenAI는 생성 결과에 훈련 자료의 출처를 표시하지 않는 경우가 많습니다. 사용자는 항상 이를 유념하고, 라이선스가 문서화되어 확인 가능하지 않다면 훈련 데이터가 적절히 사용 허가되었다고 가정해서는 안 됩니다. 새 도구의 평가와 승인 과정에서 훈련 데이터를 검토하지만 사용자도 계속 상당한 주의를 기울여야 합니다.
5. 해당하는 경우 사용자는 GenAI 결과가 모든 관련 라이선스를 준수하는지 검토해야 합니다. 훈련 데이터의 사용 허가가 적절한지 또는 결과가 제3자의 지식재산권을 침해하지 않는지 불분명하다면 침해가 없도록 수정하거나 삭제해야 합니다.
6. 이러한 점이 불분명한 상태에서 결과가 이미 다른 당사자에게 배포되거나 다른 작업에 통합되었다면, 침해를 없애도록 수정하거나 결과를 제거, 삭제 또는 회수하고 수신자에게 알리는 적절한 조치를 취해야 합니다.
7. GenAI 결과에 대한 지식재산권의 소유권은 도구에 따라 다를 수 있습니다. 사용자는 해당 도구의 이용 약관과 관련 문서를 읽고 이해하며 준수해야 합니다. 도구 사용자가 저작물 권리를 소유하는 경우, 회사는 직원이 생성한 모든 저작물을 소유하며 각 계약업체와의 계약에 따라 해당 권리의 양도 또는 라이선스 부여를 요구합니다.
8. 특정 GenAI의 이용 약관이 결과에 표시, 감사의 말 또는 출처를 요구하는 경우 사용자는 이를 준수해야 합니다.
9. 지식재산권으로 보호되는 정보나 콘텐츠를 입력하기 전에 GenAI가 입력을 어떻게 사용하는지 완전히 이해해야 합니다. 입력을 훈련 데이터에 추가하거나 제3자와 공유한다면, 그 사용에 대한 명확한 라이선스가 없는 한 해당 정보나 콘텐츠를 사용해서는 안 됩니다.
10. 훈련 데이터, GenAI 도구 입력 또는 결과의 지식재산권 소유에 관한 질문은 DPM에게 전달해야 합니다.

9. 결과의 편향 식별 및 완화와 정확성 검증

1. 기존 훈련 데이터로 훈련된 GenAI는 내부 알고리즘이 그 데이터를 처리한 결과를 생성합니다. 따라서 훈련 데이터의 편향이나 부정확성이 결과에도 나타날 수 있습니다. 예를 들어 데이터가 특정 시점까지만 정확할 수 있습니다.
2. GenAI는 결과에 훈련 자료의 출처를 표시하지 않는 경우가 많습니다. 사용자는 항상 이를 염두에 두고 결과가 정확하거나 편향 또는 차별이 없다고 가정해서는 안 됩니다.
3. 해당하는 경우, 추가 사용 전에 GenAI 없이 비슷한 작업을 수행할 때 사용하는 신뢰할 수 있는 최신의 다른 출처로 결과를 검토하고 사실을 확인해야 합니다. 편향이나 부정확성이 있다면 적절히 수정해야 합니다.

10. 투명성

GenAI 도구로 만든 모든 콘텐츠에는 그 사실을 표시해야 합니다.

11. 교육

1. 모든 GenAI 사용자는 본 정책의 적용과 GenAI의 안전하고 책임감 있으며 합법적인 사용에 관한 교육을 받습니다.
2. 관련 교육을 마치기 전에는 회사 관련 활동, 회사 소유 또는 지급 기기, 회사 제공 소프트웨어와 함께 GenAI 도구를 사용해서는 안 됩니다.

12. 오용 또는 우려 사항 신고 및 문의

1. 의심되거나 실제 발생한 GenAI 오용(고의 또는 우발적), 사용에 관한 다른 우려 사항, 본 정책에서 다루는지 여부와 관계없는 관련 문의는 DPM 및/또는 CIO에게 전달해야 합니다.
2. ComponentSource 직원의 본 정책 위반은 해고나 법적 조치로 이어질 수 있는 매우 심각한 징계 사안으로 간주됩니다.

13. 정책 시행

본 정책은 2025년 11월 1일부터 시행됩니다.
2026년 10월 31일에 검토할 예정입니다.

CSGAI 11/2025