Microsoft 365에서 Copilot이 데이터에 접근하는 방식: 아키텍처, 보안, 거버넌스 설명

By Mirko Peters · 2026-03-15 · Updated 2026-03-24

Microsoft 365 Copilot이 엔터프라이즈급 데이터 보호 아래에서 데이터를 사용하는 방식을 알아봅니다. 외부 데이터 활용과 Microsoft 365 Copilot 사용 방법도 살펴봅니다.

Automatically translated with AI from the original post. Read the English original

Titelbild: How Copilot Accesses Data in Microsoft 365: Architecture, Security, and Governance Explained

Microsoft 365 Copilot의 내부에서 무슨 일이 일어나는지 궁금하셨다면 제대로 찾아오셨습니다. Microsoft 365용 Copilot은 빠른 답변을 제공하거나 이메일 초안을 작성하는 데 그치지 않습니다. 조직의 데이터를 가져와 여러 서비스에 걸쳐 작동하는 복잡한 AI 어시스턴트이며, 이 모든 작업을 엄격한 데이터 보안 및 규정 준수 규칙에 따라 수행합니다.

Copilot의 기반 아키텍처가 어떻게 작동하는지, 즉 데이터와 어떻게 연결되고, 무엇을 볼 수 있으며, 모든 것을 어떻게 안전하게 보호하는지 이해하는 것이 중요합니다. AI 기반 생산성에 대한 관심이 커지는 지금, 이러한 데이터 경로를 이해해야 직장에서 Copilot을 안전하게 배포할 수 있습니다. 이 가이드에서는 Copilot의 데이터 통합, 개인 정보 보호 기능, 권한 준수 방식, 수명 주기 제어를 자세히 살펴봅니다. 사용자에게 배포하기 전에 무엇을 기대하고 무엇을 주의해야 하는지 정확히 알 수 있도록 돕겠습니다.

이 과정에서 규정 준수, 액세스 정책, 책임 있는 AI 사례, 그리고 Copilot의 응답과 상호 작용이 어떻게 처리되는지 같은 핵심 요소를 다룹니다. 글을 마치면 Copilot이 조직의 전반적인 정보 거버넌스와 디지털 전략에 어떻게 부합하는지 현명하고 근거 있는 결정을 내릴 준비가 되실 것입니다.

Microsoft 365에서 Copilot이 데이터에 접근하는 방식에 관한 놀라운 사실 7가지

일괄 처리가 아닌 요청별 처리: Copilot은 테넌트 전체를 하나의 저장소에 인덱싱하지 않습니다. 요청이 있을 때마다 관련 데이터만 가져와 문서와 메시지에 대한 불필요한 노출을 최소화합니다.
Microsoft Graph를 게이트키퍼로 사용: Copilot은 Microsoft Graph API를 호출하여 데이터를 찾고 가져옵니다. 따라서 액세스는 다른 Microsoft 365 앱에 이미 적용된 것과 동일한 권한 및 조건부 액세스 정책을 따릅니다.
자격 및 컨텍스트 존중: Copilot에 반환되는 데이터는 사용자 자격, 그룹 멤버십, 민감도 레이블, 공유 설정에 따라 필터링됩니다. 따라서 Copilot은 사용자가 볼 권한이 없는 콘텐츠를 볼 수 없습니다.
서버 측에서 실행되는 쿼리 기반 관련성 모델: 관련성 순위 지정과 검색은 생성형 응답이 작성되기 전에 Microsoft 서버에서 이루어집니다. 따라서 Copilot의 답변은 콘텐츠의 원시 덤프가 아니라 사전 필터링되고 순위가 매겨진 결과를 반영합니다.
제어 기능이 있는 LLM에 대한 일시적 노출: 응답 생성에 사용된 콘텐츠는 대규모 언어 모델에서 처리될 수 있습니다. 그러나 Microsoft는 보호 장치(격리 경계, 원격 분석 제어, 보존 기간 제한)를 적용하며, 고객은 더 엄격한 데이터 처리 모드를 선택할 수 있습니다.
커넥터 및 앱 데이터 경계 적용: 타사 커넥터나 앱의 데이터는 커넥터가 구성되고 동의된 경우에만 액세스됩니다. 명시적인 연결과 권한 없이 Copilot이 통합된 모든 서비스에 자동으로 접근하지는 않습니다.
감사 가능성 및 관리자 가시성: Copilot의 모든 데이터 액세스 이벤트는 기록되며, Microsoft 365 감사 및 규정 준수 도구를 통해 검토할 수 있습니다. 이를 통해 관리자는 어떤 콘텐츠에 무엇 때문에 액세스했는지 추적할 수 있습니다.

Microsoft 365 Copilot 데이터 액세스 아키텍처 내부

Microsoft 365 Copilot이 조직의 데이터에 어떻게 접근하는지 먼저 살펴보겠습니다. 개략적으로 Copilot은 Microsoft 365 생태계에 직접 통합되어 있습니다. 따라서 최근 Teams 모임 요약을 요청하거나 많은 이메일을 분석하도록 요청하면, Copilot은 기존 권한을 존중하면서 올바른 원본에서 적절한 데이터를 가져옵니다.

다만 이것은 무제한 접근이 아닙니다. Copilot은 커넥터와 Microsoft Graph API를 포함해 신중하게 설계된 여러 계층을 활용하여 데이터를 안전하게 전달합니다. 전력망에 사무실을 연결하되, 모든 방에 차단기와 스마트 미터가 설치된 것과 같다고 생각하시면 됩니다. 모든 연결과 API 호출은 엄격한 보안 경계, 정책, 액세스 규칙을 따릅니다.

Copilot 응답의 이면에는 통합 모델과 정책 기반 제어가 있어, 올바른 데이터가 조직의 경계를 넘지 않고 제자리로 전달되도록 보장합니다. 이러한 제어를 통해 데이터가 SharePoint, OneDrive, Outlook에 있든 타사 시스템에 있든, Copilot은 사용자가 액세스 권한을 가진 데이터만 가져옵니다.

Copilot의 진정한 강점은 확장성에 있습니다. Copilot 설계는 새로운 커넥터와 고급 통합 시나리오를 지원하므로, 조직은 거버넌스나 보안에 구멍을 내지 않고도 데이터 인사이트의 규모를 키울 수 있습니다. 다음 글에서는 바로 이 부분을 자세히 살펴보겠습니다. 먼저 커넥터가 여러 구성 요소를 어떻게 다루는지, 그리고 Microsoft Graph API가 모든 트랜잭션의 기반이 되는 방식을 알아보겠습니다.

Copilot 커넥터와 데이터 통합 이해하기

Copilot 커넥터는 Copilot과 다양한 Microsoft 365 데이터 소스를 연결하는 다리 역할을 합니다.

표준 커넥터는 Copilot을 SharePoint, Exchange, Teams 같은 주요 대상과 연결하는 고속도로라고 생각하면 됩니다. Microsoft가 기본 제공하고 관리하는 커넥터입니다.
갤러리 커넥터는 파트너 또는 승인된 타사 시스템과 연결하여 Copilot의 활용 범위를 넓힙니다. 비즈니스 앱, CRM, 문서 저장소를 안전하게 가져올 수 있도록 미리 만들어진 경로를 제공합니다.
사용자 지정 커넥터를 사용하면 조직이 가장 높은 수준의 유연성을 확보할 수 있습니다. 라인 오브 비즈니스 앱이나 레거시 데이터 저장소에 대한 연결을 직접 구축할 수 있으므로, Copilot은 조직 고유의 데이터셋을 바탕으로 상황에 맞는 응답을 제공할 수 있습니다.

커넥터를 통한 데이터 통합은 항상 조직의 정책에 따라 관리됩니다. 즉, Copilot은 정해진 울타리를 절대 벗어나지 않습니다.

모든 데이터 액세스는 테넌트에 정의된 기존 역할 기반 액세스 제어, 레이블, 규정 준수 정책의 적용을 받습니다.
특定 소스에 추가적인 개인 정보 보호 또는 보안 요구 사항이 있는 경우, 통합 도구는 데이터 매핑, 변환 또는 마스킹을 지원합니다.

커넥터를 활용하는 실제 시나리오는 온보딩 자동화를 위한 HR 데이터 가져오기부터 감사 준비를 위한 재무 기록, 외부 프로젝트 관리 도구와의 통합까지 다양합니다.

기성 옵션으로 충분하지 않을 때는 전문 커넥터나 사용자 지정 커넥터가 필요합니다. 예를 들어 규정 준수 로그를 통합하거나, 특수한 SaaS 플랫폼을 연동하거나, 연합 자회사 전반의 보고를 자동화하는 경우가 이에 해당합니다.

커넥터 모델에는 보안과 규정 준수가 기본으로 내장되어 있습니다.

모든 타사 액세스는 거버넌스 검토를 거치며, 데이터 이동은 감사 가능성을 위해 기록됩니다.
포괄적인 거버넌스 전략이 필요하다면 Copilot 거버넌스 정책에 관한 이 개요에서 다루는 접근 방식을 참고하시기 바랍니다.

확장성은 커넥터 전략의 핵심입니다. 비즈니스 요구가 변화함에 따라 새로운 커넥터와 통합을 도입할 수 있으며, 모델 기반 제어와 관리되는 커넥터 프레임워크 덕분에 규정 준수도 함께 보장됩니다.

Copilot을 반복 가능하고 거버넌스가 적용된 방식으로 도입하려는 조직에는, Copilot Learning Center와 같은 중앙 집중식 접근 방식이 도움이 될 수 있습니다. 이를 통해 지원 부담을 줄이고 커넥터가 무분별하게 늘어나는 현상을 관리할 수 있습니다. 이에 대한 내용은 여기에서 다루고 있습니다.

Microsoft Graph API: Copilot의 중앙 데이터 기반

Microsoft Graph API는 Copilot이 Microsoft 365 데이터와 상호 작용할 때 사용하는 가장 중요한 게이트웨이입니다. Exchange, SharePoint, Teams, OneDrive 등 여러 서비스의 사용자 및 조직 데이터를 제공하는 보안된 통합 인터페이스입니다.

Copilot에 프롬프트를 입력하면 Copilot은 Graph API에 요청을 보냅니다. Graph API는 사용자가 어떤 정보에 액세스할 권한이 있는지 확인합니다. 단순히 데이터를 전달하는 것이 아니라, 사용자가 누구인지 검증하고 무엇을 볼 수 있는지 확인한 뒤, 사용자의 권한 범위에 맞는 이메일, 모임, 문서, Teams 채팅 같은 항목만 반환합니다.

Copilot은 Graph API의 인증 및 권한 부여 계층을 활용합니다. 여기에는 다단계 인증, 조건부 액세스, 위임된 권한 및 애플리케이션 권한에 대한 지원이 포함됩니다. 이처럼 엄격한 구조 덕분에 Copilot은 조직의 기존 액세스 경계를 절대 벗어나지 않습니다.

모든 데이터 검색은 문서화되고 감사 가능한 요청을 통해 수행되므로, 관리자는 무엇에 어떤 사용자가 언제 액세스했는지 정확히 추적할 수 있습니다. API는 세분화된 권한을 지원하므로, Copilot은 프롬프트에 필요한 데이터만 가져오며 그 이상은 가져오지 않습니다. 또한 Copilot은 실시간 또는 실시간에 가까운 동기화의 이점을 누리므로, 응답에 최신 변경 사항이 반영될 수 있어 속도와 정확성이라는 기업의 요구를 모두 충족합니다.

Microsoft 365의 실제 거버넌스와 이처럼 긴밀하게 통합되어 있다는 점이 핵심입니다. 테넌트 수준에서 권한이나 데이터 레이블링 전략이 바뀌면, Copilot은 Graph API에 의존하므로 그 변경 사항을 즉시 반영합니다. Copilot 시나리오에서 소유권과 액세스 사이의 중요한 균형을 깊이 있게 살펴보려면 이 Microsoft 365 거버넌스 개요를 참고하시기 바랍니다.

Microsoft 365 Copilot의 데이터 보안 및 개인 정보 보호 표준

Copilot에는 데이터 개인 정보 보호와 보안이 처음부터 내장되어 있습니다. Copilot이 조직의 데이터를 처리하기 전부터 이미 엔터프라이즈 보안 제어와 강력한 개인 정보 보호 도구로 둘러싸여 있습니다. Copilot은 Microsoft의 다중 방어(defense-in-depth) 접근 방식을 능동적으로 적용하여 모든 데이터 요청이 암호화되고 철저하게 로깅되도록 합니다.

이는 단순한 기술적 암호화에 그치지 않습니다. 개인 정보 보호, 규정 준수, 보호 대상 자료 탐지가 중요한 규제 환경에서도 Copilot이 신뢰받는 솔루션이 되도록 하는 것입니다. Copilot은 정보를 가져오고, 처리하고, 반환하는 과정에서 암호화된 채널과 엄격한 액세스 제어를 사용합니다. 정책 기반 액세스, 민감도 레이블, 기밀 또는 규제 대상 데이터의 동적 탐지와 같은 기능 덕분에 민감한 정보는 추가로 엄격하게 검사됩니다.

GDPR과 데이터 상주 요건처럼 규제가 점점 복잡해지고 있지만, Copilot은 법적 의무와 데이터의 지리적 위치를 모두 존중하며 이에 발맞춰 나갑니다. 따라서 Copilot이 백엔드에서 사용자의 정보와 상호 작용할 때 데이터가 승인되지 않은 경계를 넘거나 규제 체계를 벗어날 것을 걱정할 필요가 없습니다.

Copilot의 데이터 흐름 각 단계는 감사 가능하고, 시행 가능하며, IT 팀이 이미 신뢰하는 규정 준수 도구와 일관되게 동기화됩니다. 환경에 Copilot을 배포하는 담당자라면 이러한 기본 제공 제어가 실제로 어떻게 작동하는지, Copilot이 공인 규정 준수 요건을 어떻게 지원하는지, 규제 기관이나 보안 팀을 위해 어떤 감사 가능한 보호 기능을 제공하는지 확인하고 싶으실 것입니다. Copilot 권한 보안에 초점을 맞춘 논의는 이 Copilot 보안 가이드를 참고하시기 바랍니다.

Copilot의 데이터 개인 정보 보호 및 보안 확보

저장 시 및 전송 중 데이터 암호화

Copilot이 처리하는 모든 정보는 서비스 간 이동 중에도, Microsoft 데이터 센터에 저장된 상태에서도 강력한 프로토콜을 사용하여 암호화됩니다.
여기에는 채팅 프롬프트, 이메일, 문서, 그리고 Copilot이 사용자에게 제공하는 AI 생성 결과가 포함됩니다.

보호 대상 자료 탐지 및 민감도 레이블 적용

Copilot은 Microsoft Purview 민감도 레이블을 직접 준수합니다. 이 레이블은 기밀 또는 규제 대상 정보를 표시하고 보호합니다.
프롬프트나 원본 문서에 보호 대상 콘텐츠가 포함되어 있으면 Copilot이 적절한 제어를 자동으로 적용하여 의도하지 않은 노출 위험을 줄입니다.

정책 기반 역할 기반 액세스

Copilot은 테넌트의 DLP(데이터 손실 방지) 및 액세스 제어 정책을 결코 무시하지 않으며, 오히려 이를 더욱 철저히 적용합니다. 각 사용자가 볼 수 있도록 허용된 내용에 따라 응답을 필터링합니다.
정책 엔진이 Copilot과 핵심 데이터 사이에 위치하여 민감한 자료가 과도하게 노출되는 것을 막는 최후의 방어선 역할을 합니다.

지속적인 모니터링 및 위협 탐지

Copilot은 위협 보호와 실시간 모니터링을 위해 Microsoft Defender, Purview, Sentinel을 활용하며, 의심스러운 활동을 자동으로 표시하거나 차단합니다.
누군가 정교한 프롬프트 엔지니어링이나 데이터 유출 시도를 통해 보호 장치를 우회하려 하더라도 이를 통해 사용자 상호 작용이 보호됩니다.

사용자 중심 감사 및 투명성

누가 무엇을 질문했는지, 언제 질문했는지, 어떤 데이터에 접근했는지를 포함해 Copilot과의 모든 상호 작용이 기록되고 나중에 검토할 수 있도록 감사됩니다. 이를 통해 조직은 문제를 해결하거나 감사 과정에서 규정 준수를 입증하는 데 도움을 받을 수 있습니다.

Copilot용 DLP 및 Purview 구성에 대해 더 자세한 내용이 필요하신가요? 이 Microsoft 365 DLP 입문 가이드에서 IT 팀을 위한 실습 지침을 확인할 수 있습니다. 보안을 유지하면서 사용자 환경을 잠그는 실용적인 방법은 이 Microsoft 365 보안 가이드의 전략을 참고하시기 바랍니다.

Copilot의 규정 준수, 데이터 상주, EU 데이터 경계

GDPR 및 글로벌 규정 준수: Copilot은 주요 국제 규정을 조직이 충족할 수 있도록 설계되었으며, 개인 데이터 처리와 사용자 권한 관리에 대한 엄격한 통제를 제공합니다.
데이터 상주 및 주권: Copilot은 데이터 상주 정책을 준수하므로, 데이터는 선택한 지리적 리전 내에 머뭅니다. 이는 규제 산업과 다국적 기업에 특히 중요합니다.
EU 데이터 경계: EU에 있는 조직의 경우, Copilot은 Microsoft의 EU 데이터 경계 약속을 지원하며, 지역 법적 요구 사항을 충족하기 위해 데이터를 EU 관할권 내에서만 엄격하게 처리하고 저장합니다.
감사 및 문서화: 모든 Copilot 상호 작용은 감사 로그와 규정 준수 대시보드를 통해 검토할 수 있으며, Microsoft 365 규정 준수 모니터링 모범 사례에 따라 조직의 투명성을 뒷받침합니다.
인증된 규정 준수 아키텍처: Copilot은 Microsoft 365의 광범위한 규정 준수 인증과 문서를 그대로 상속하므로, 조직은 규제 대응 범위에 대해 확신을 가질 수 있습니다.

Copilot 데이터 액세스의 액세스 제어 및 권한 관리

액세스 제어는 Copilot 데이터 전략의 핵심입니다. Copilot이 데이터에 접근할 때마다, 조직이 Microsoft 365에서 신뢰하는 것과 동일한 권한 규칙과 ID 검사를 따릅니다. 우회 경로가 있는 것이 아니라, 가장 엄격한 관리자만큼 철저하게 작동하는 디지털 어시스턴트를 얻게 되는 것입니다.

ID를 중심에 두고, Copilot은 인증을 위해 Microsoft Entra ID(Azure AD)와 바로 연동됩니다. Copilot이 문서나 대화를 살펴보기 전에 먼저 사용자가 누구인지, 디바이스가 규정을 준수하는지, 어떤 조건부 액세스 규칙이 적용되는지, 그리고 최근 다단계 인증(MFA) 검토를 통과했는지를 확인합니다.

역할 기반 액세스 제어가 가장 중심에 있습니다. Copilot은 사용자의 역할, 그룹 멤버십, 할당된 권한을 준수하므로, 사용자가 직접 찾아봤더라도 이미 볼 수 있는 정보만 반환합니다. 관리자는 정책 제어를 적용하고, 활동을 감사하며, Copilot이 데이터 환경과 상호 작용하는 방식과 시점을 효율적으로 관리할 수 있는 계층화된 가시성과 도구를 제공받습니다.

여기서 실질적인 가치는 일관되고 예측 가능한 제어입니다. 규정 준수 상태가 탄탄하다면 예상치 못한 일은 생기지 않습니다. 지나치게 넓은 액세스 정책의 함정을 깊이 살펴보려면 이 조건부 액세스 신뢰 문제에 관한 논의를 확인해 보십시오: 조건부 액세스 모범 사례 더 보기. 그리고 확장 가능한 Entra ID 정책 루프를 구축하는 전략을 원하신다면 이 에피소드의 팁도 들어볼 가치가 있습니다.

Copilot의 조건부 액세스, 인증 및 데이터 권한

모든 Copilot 세션은 조건부 액세스 검사에서 시작됩니다.

Copilot은 프롬프트를 처리하기 전에 Microsoft Entra ID를 사용하여 사용자 ID를 확인하며, 디바이스 규정 준수 여부, 로그인 위험, 사용자 위치 및 기타 요소를 평가합니다.
조건부 액세스 정책으로 특정 시간대, 특정 디바이스, 또는 특정 위험 점수에서 Copilot 액세스를 제한할 수 있으며, 이를 통해 민감한 응답이 잘못된 사람의 손에 들어가지 않도록 합니다.

다단계 인증(MFA)이 적용됩니다.

조직에서 MFA를 요구하는 경우, Copilot 경험은 강제 검사 뒤에 제한됩니다. 세션이 안전하지 않다면 우회할 방법은 없습니다.
이를 통해 손상된 계정이 Copilot의 강력한 데이터 액세스 도구에 접근할 가능성이 크게 줄어듭니다.

세분화된 역할 기반 권한이 데이터 액세스를 제한합니다.

Copilot에는 마스터 키가 없습니다. 응답은 Microsoft 365 내 사용자 권한, 특권, 그룹 할당에 따라 결정됩니다.
사용자가 Copilot에 질의할 수 있더라도, Outlook, Teams, SharePoint 또는 연결된 시스템에서 이미 볼 권한이 없는 항목에는 접근할 수 없습니다.

모든 트랜잭션은 감사 가능합니다.

모든 Copilot 상호 작용은 향후 검토를 위해 기록되므로, 보안 팀은 문제를 발견하고 의심스러운 요청을 추적하거나 감사 시 규정 준수를 신속하게 입증할 수 있습니다.

고급 보호를 위한 추가 관리자 제어

조직은 워크플로 승인, 기간 제한이 있는 권한 부여, 또는 특정 Copilot 기능에 대한 관리자 동의 요구를 설정할 수 있습니다. 자세한 내용은 OAuth 동의 공격 완화 가이드를 참조하십시오.
세분화된 Dataverse 및 필드 수준 보안, 그리고 자동화된 Entra ID 관리를 통해 외부 액세스로 인한 취약점을 해소할 수 있습니다. 자세한 내용은 이 Dataverse 보안 개요에서 확인할 수 있습니다.

Copilot이 사용자 프롬프트와 응답 데이터를 처리하는 방식

프롬프트를 입력하면 Copilot은 요청을 해석하고 사용자의 권한을 사용해 데이터를 가져옵니다. 사용자가 볼 수 있는 범위를 넘어서는 일은 없습니다.
사용자 프롬프트와 Copilot 응답은 일반적으로 일시적이며, 메모리에서 처리되고 조직이 감사 로깅을 명시적으로 사용하도록 설정하지 않는 한 장기간 저장되지 않습니다.
활성 채팅 세션이나 프롬프트 기록과 같은 단기 데이터는 성능을 위해 잠시 캐시될 수 있지만, Microsoft 365의 강력한 보존 및 삭제 정책에 따라 삭제되거나 익명화됩니다.
규정 준수 또는 감사 가능성을 위해 보관되는 로그는 조직의 보존 설정에 따라 저장되며, 필요에 따라 삭제할 수 있습니다. 이는 더 넓은 개인정보 보호 정책과도 일치합니다.
이러한 보호 장치를 통해 Copilot과의 대화는 비공개로 유지되고 기밀이 보장되며, 엔터프라이즈 데이터 보호 표준을 준수하게 됩니다.

Copilot의 책임 있는 AI, 프롬프트 주입, 콘텐츠 안전성

Copilot에서 책임 있는 AI는 단순한 유행어가 아니라 지속적으로 갱신되는 규칙과 엔지니어링 모범 사례의 집합입니다. Copilot은 실수, 오용, 명백한 악용으로부터 사용자의 데이터와 비즈니스를 보호하도록 설계되었습니다. Copilot과 같은 AI 어시스턴트가 업무 환경의 핵심이 되면서 신뢰성, 안정성, 윤리적 경계가 가장 중요한 요소가 되었습니다.

AI 기반 시스템의 큰 위험 중 하나는 프롬프트 주입입니다. 악의적인 사용자가 응답을 조작하거나 민감한 정보를 빼내려는 시도를 말합니다. Copilot은 여러 보안 계층을 통해 이에 대응하며, 의심스러운 프롬프트 패턴, 차단된 용어, 보호된 자료 경계 위반 여부를 지속적으로 확인합니다. 이상이 감지되면 Copilot의 보호 메커니즘이 즉시 작동하여 차단하거나 경고를 표시합니다.

정책 계층과 엔지니어링 계층은 긴밀하게 협력하여 콘텐츠를 자동으로 검사하고 실시간으로 가드레일을 적용합니다. 하지만 여기서 그치지 않습니다. 지속적인 모니터링, 감사 검토, 정기적인 업데이트를 통해 Copilot의 동작에 책임성을 부여하고 새로운 위협에 대한 복원력을 유지합니다. AI 배포의 미래에 대비하려는 조직이라면, 전담 거버넌스 위원회와 책임 있는 AI 대시보드를 통해 조용한 실패를 예방하고 규정 준수를 유지할 수 있습니다. 자세한 내용은 이 AI 거버넌스 모범 사례 가이드를 참조하십시오.

Copilot이 '섀도 IT' 위험으로 변질될까 우려되십니까? 전략적 통제, 범위가 좁은 에이전트 ID, 계층화된 규정 준수 보호 장치가 모두 중요한 역할을 합니다. 관련 지침은 여기에서 확인할 수 있습니다. 또한 EU AI Act와 같은 주요 규정 준수 법규와 관련해서는, 여기에서 다룬 것과 같은 우수한 거버넌스 위원회가 통제되지 않는 AI 혼란에 맞선 마지막 방어선이 됩니다.

책임 있는 AI 구현 및 프롬프트 주입 방어

실시간 프롬프트 모니터링 및 주입 방어
Copilot은 사용자 입력에서 의심스러운 패턴이나 정책 통제를 우회하려는 시도를 실시간으로 자동 검사합니다.
프롬프트 주입이나 보호된 자료 위험이 감지되면 응답이 필터링되거나 차단되거나 검토를 위해 표시됩니다.
지속적인 AI 정책 적용
콘텐츠 안전 규칙, 민감도 레이블 상속, 감사 로깅이 기본적으로 적용되어 AI가 생성한 출력이 규정 준수 경계 내에 머물도록 합니다.
예를 들어 Copilot Notebooks는 이제 1급 콘텐츠로 취급되며, 레이블 지정과 기본 통제가 적용됩니다. 자세한 내용은 여기에서 확인할 수 있습니다.
관리자의 사전 감독 및 검토
관리자는 전용 대시보드와 감사 로그로 Copilot 활동을 모니터링하여 새로운 위험이 확대되기 전에 발견하거나 예방할 수 있습니다.
정기적인 검토와 기간을 정한 데이터 보존 정책은 파생 콘텐츠가 규정 준수 문제를 일으킬 수 있는 빈틈을 막아 줍니다.
지속적인 학습과 신속한 업데이트
Copilot의 모델과 콘텐츠 필터는 새로운 위협과 규정 준수 요구 사항이 나타나면 이에 대응하도록 지속적으로 업데이트됩니다.

데이터 보존, 삭제, 그리고 Copilot이 처리한 콘텐츠의 수명 주기

데이터를 체계적으로 관리하고 규정을 준수하려면 Copilot이 생성하고 저장하는 콘텐츠를 어떻게 처리하는지가 매우 중요합니다. Copilot에 질문하거나 요약, 분석, 초안 작성을 요청하면 프롬프트와 응답 같은 상호 작용 데이터는 그냥 사라지지 않습니다. “보내기”를 누른 순간부터 삭제되거나 조직의 규칙에 따라 보관될 때까지 이 데이터에도 전체 수명 주기가 있습니다.

기본적으로 Microsoft는 Copilot이 필요한 최소한의 정보만 가능한 한 짧은 기간 동안 저장하도록 설계합니다. 대부분의 프롬프트와 응답은 실시간으로 처리되며, 채팅 기록이나 문서처럼 Microsoft 365 데이터와 연결되지 않는 한 장기간 보관되지 않습니다. 다만 자동으로 삭제된다고 가정하지 마십시오. 저장된 모든 항목은 환경에서 구성한 보존 및 규정 준수 정책을 그대로 따릅니다.

엄격한 거버넌스가 필요한 조직이나 GDPR처럼 규제가 엄격한 산업에서는 추가 옵션을 사용할 수 있습니다. Copilot이 상호 작용 데이터를 보관하는 기간을 정확히 관리하고, 사용자 지정 보존 기간을 설정하거나, 데이터 삭제를 자동화할 수 있습니다. 이를 통해 규정 준수를 입증하고 감사에 대응하기가 더 쉬워집니다. 또한 Copilot의 캐시된 인사이트와 AI 생성 스니펫 처리도 기존 Microsoft 365 데이터 수명 주기 표준에 따라 엄격하게 관리됩니다.

특히 데이터가 어디로 이동했는지 또는 누가 무엇에 액세스했는지 보여줘야 할 때는 추적 및 감사 도구를 갖추는 것도 그만큼 중요합니다. Microsoft Purview Audit 같은 기능은 조직이 사용자 활동과 AI 기반 콘텐츠를 파악하도록 돕고, 프롬프트에서 최종 삭제까지 데이터 전체 여정을 투명하게 유지하며 직접 통제할 수 있게 합니다.

자주 묻는 질문: microsoft 365 copilot의 작동 방식과 microsoft copilot의 데이터 보호

Microsoft Copilot은 Microsoft 365의 데이터에 어떻게 액세스하나요?

Microsoft Copilot은 해당되는 경우 Microsoft Graph와 Copilot용 시맨틱 인덱스에 인증된 요청을 보내는 방식으로 Microsoft 365 서비스를 통해 데이터에 액세스합니다. Copilot은 Microsoft 365 서비스 경계 내에서 작동하며, 사용자가 액세스 권한을 가진 Microsoft 365 테넌트 내 데이터를 조회합니다. 또한 Microsoft Teams, SharePoint, Exchange, OneDrive 및 Microsoft 365의 기타 연결된 환경에서 얻은 신호를 결합합니다.

Copilot이 Microsoft 365 테넌트 외부의 데이터에도 액세스할 수 있나요?

Copilot은 관리자가 외부 콘텐츠를 테넌트로 가져오는 커넥터나 통합 기능을 사용하도록 설정한 경우에만 외부 데이터를 사용할 수 있습니다. 예를 들어 Microsoft Graph 커넥터나 타사 데이터 수집을 사용할 수 있습니다. Microsoft 365 서비스 경계 밖에 있는 데이터는 지원되는 커넥터나 API를 통해 테넌트에 노출되지 않는 한 Microsoft 365 Copilot이 자동으로 사용하지 않습니다.

Copilot 액세스에서 Microsoft Graph와 Microsoft Graph 커넥터는 어떤 역할을 하나요?

Microsoft Graph를 통해 액세스하는 데이터는 Copilot과 Microsoft 365 Copilot이 Microsoft 365 전반에서 사용자 및 조직 데이터를 검색하는 주요 방식입니다. Microsoft Graph 커넥터를 사용하면 외부 소스를 테넌트의 Copilot용 시맨틱 인덱스에 색인화하여 Copilot이 응답의 일부로 해당 정보를 조회할 수 있습니다. Microsoft Graph 커넥터를 사용하지 않으면 Copilot은 해당 외부 리포지토리를 확인할 수 없습니다.

Copilot은 기존 Microsoft 365 역할 기반 액세스와 사용자 권한을 준수하나요?

예. Copilot은 다른 Microsoft 365 서비스와 동일한 액세스 제어 모델을 사용합니다. 사용자는 권한이 있는 데이터에만 액세스할 수 있습니다. Microsoft 365 관리 센터에서 적용되는 기존 Microsoft 365 역할 기반 액세스와 테넌트 수준 설정에 따라 응답을 생성할 때 Copilot이 액세스할 수 있는 회사 데이터가 결정됩니다.

Copilot이 응답을 생성할 때 데이터 흐름은 어떻게 이루어지나요?

데이터 흐름은 사용자가 Copilot에 요청을 입력하면서 시작됩니다(예: Copilot Chat 또는 Microsoft Teams 내). Copilot은 Copilot용 시맨틱 인덱스를 조회하고 Microsoft Graph를 호출하여 Microsoft 365 서비스 전반에서 관련 콘텐츠를 가져옵니다. 처리는 Microsoft 365 서비스 내에서 이루어지며, Copilot은 사용자가 볼 권한이 있는 개인 데이터와 조직 데이터를 결합한 응답을 반환하면서 Microsoft 365 규정 준수 약속을 준수합니다.

개인 정보 보호, 규정 준수, 그리고 GDPR 같은 규정에 대해서는 어떻게 되나요?

Microsoft 365 Copilot과 Microsoft는 일반 데이터 보호 규정(GDPR)과 같은 프레임워크 지원을 포함하여 Microsoft 365 규정 준수 약속을 이행합니다. Microsoft 365 관리 센터의 데이터 상주 위치, 보존, 감사 로그 및 관리 제어 기능을 통해 조직은 Copilot 기능을 사용할 때 사용자 데이터를 관리하고 법적·규제적 의무를 충족할 수 있습니다.

관리자가 Copilot Pro나 Copilot Chat 같은 Copilot 기능을 제어하거나 활성화할 수 있나요?

예. 관리자는 Microsoft 365 관리 센터에서 정책과 라이선스를 통해 Copilot, Copilot Pro, Copilot Chat 기능을 활성화할 수 있습니다. 관리자는 Copilot을 사용할 수 있는 사용자, 외부 데이터 소스 연결 여부, 그리고 Microsoft 365의 연결된 환경이 조직의 이용 약관과 보안 업데이트 범위 내에서 어떻게 작동할지를 제어합니다.

Copilot은 Microsoft Teams 및 기타 공동 작업 앱과 어떻게 연동되나요?

Copilot은 Microsoft Teams를 포함한 Microsoft 365 전반에 통합되어, 사용자 데이터와 팀 콘텐츠를 활용해 상황에 맞는 지원을 제공합니다. Teams에서 사용할 때 Copilot은 Teams 권한과 Microsoft 365 서비스 경계를 준수하므로, 사용자에게 액세스 권한이 있는 채팅, 파일, 채널 콘텐츠에만 접근합니다.

회사 콘텐츠를 사용하려면 Copilot용 시맨틱 인덱스가 필요한가요?

Copilot용 시맨틱 인덱스는 자연어 쿼리를 위해 조직 콘텐츠를 인덱싱하여 관련성을 높입니다. Copilot은 Microsoft Graph를 통해 데이터에 직접 액세스할 수도 있지만, 관리자가 해당 기능을 활성화하기로 선택한 경우 시맨틱 인덱스와 Microsoft Graph 커넥터를 사용하면 Copilot이 Microsoft 365 전반에서 회사 데이터를 더 효과적으로 찾고 종합할 수 있습니다.

Microsoft Graph 데이터와 원격 분석 데이터는 다른 Microsoft 서비스에도 사용되나요?

Microsoft Graph를 통해 액세스되는 데이터는 Microsoft 365 내 연결된 환경을 제공하기 위해 여러 Microsoft 365 서비스에서 사용됩니다. Microsoft Graph의 원격 분석 및 사용 데이터는 Microsoft의 개인 정보 보호 및 규정 준수 정책의 적용을 받습니다. 다만 Copilot용으로 의도되지 않은 Microsoft Graph 데이터는 제외할 수 있으며, 테넌트에서 액세스를 활성화하고 사용자가 해당 콘텐츠에 액세스할 권한이 있는 경우에만 Copilot이 Microsoft Graph 데이터를 사용합니다.

조직이 Microsoft 365에서 Copilot을 사용하는 방법에 대해 더 알아보거나 안내를 받으려면 어떻게 해야 하나요?

조직은 Microsoft Learn과 Microsoft 365 관리 센터 문서를 참고하여 Copilot 활성화 방법, Microsoft Graph 커넥터 사용법, 데이터 보호 이해, 기존 Microsoft 365 설정 구성에 대한 단계별 안내를 확인할 수 있습니다. 관리자는 테넌트 전체에 Copilot을 배포하기 전에 Microsoft 365 규정 준수 약속을 검토하고 정책을 업데이트해야 합니다.