AI 도구 도입 전, 계약서에서 꼭 볼 유출 조항

책임은 결국 도구를 들인 회사가 진다

AI 도구를 고를 때 성능과 가격은 쉽게 비교하지만, 사고가 났을 때 누가 무엇을 해야 하는지는 계약서를 펼치기 전까지 잘 보이지 않는다. 문제는 그 책임이 도구를 만든 쪽이 아니라 도구를 들인 회사에 떨어진다는 점이다.

국내 개인정보보호법 시행령은 1천 명 이상의 개인정보가 유출되거나 해킹 같은 외부의 불법 접근으로 정보가 새면, 그 사실을 알게 된 때부터 72시간 안에 개인정보보호위원회나 KISA에 신고하도록 한다. 정보주체에게 알리는 것도 같은 72시간이 기준이다. 해킹에 의한 유출은 규모와 상관없이 신고 대상이고, 72시간은 내부 조사를 끝낸 시점이 아니라 유출을 인지한 시점부터 센다. 신고하지 않으면 3천만 원 이하의 과태료가 따르고, 신고가 늦으면 과징금 산정 전체가 흔들린다는 분석도 나온다.

쓰는 도구가 외부 서비스라도 이 시계는 멈추지 않는다. 그래서 확인은 사고가 난 뒤가 아니라 계약 전에 끝내야 한다.

계약서의 사고 통지 조항부터 본다

panumas nikhomkhai

가장 먼저 볼 것은 벤더가 사고를 언제, 어떻게 알려주느냐다. 회사가 72시간 안에 움직이려면 벤더로부터 그 전에 통보를 받아야 한다. 통지까지 며칠이 걸린다고 적혀 있거나 아예 조항이 없다면, 회사의 신고 시한을 지킬 수 없다.

이때 근거가 되는 문서가 무엇인지가 중요하다. 홈페이지의 개인정보처리방침이나 일반 이용약관은 벤더가 일방적으로 바꿀 수 있다. 법률 실무에서는 기업용 데이터처리계약(DPA)으로 사고 통지 시한, 입력 데이터의 학습 이용 금지, 제3자 제공 제한을 문서로 묶으라고 권한다. 구두 약속이나 마케팅 문구가 아니라, 위반 시 책임을 물을 수 있는 계약 조항인지를 봐야 한다.

데이터가 어디에, 얼마나 남는가

두 번째는 우리가 넣은 자료가 어디에 저장되고 얼마나 남느냐다. 입력한 프롬프트와 파일이 모델 학습이나 서비스 개선에 쓰이는지, 로그로 얼마나 보관되는지, 서버가 국내인지 국외인지를 확인한다.

여기서 '옵트아웃'과 '구조'를 구분하면 판단이 쉬워진다. 학습에 쓰지 않겠다는 옵트아웃은 공급자가 지키겠다고 약속하는 계약상 통제다. 반면 데이터가 외부로 아예 나가지 않게 하는 온프레미스나 무보존(zero-retention) 설정은 구조상 통제다. 민감한 자료를 다룰수록 약속보다 구조에 무게를 둬야 한다. 상용 API를 쓴다면 최소한 학습 옵트아웃, 무보존 옵션, DPA 세 가지는 확보하는 편이 안전하다.

기본값도 서비스마다 다르다. 예컨대 미스트랄은 개인 사용자가 학습 참여 설정을 직접 꺼야 하지만, 기업 고객은 관리자가 명시적으로 켜지 않는 한 학습에 쓰지 않는다고 설명한다. 같은 회사의 도구라도 요금제와 계정 종류에 따라 설정이 갈리므로, '이 제품은 안전하다' 수준이 아니라 우리가 쓰는 플랜의 기본값을 확인해야 한다.

관리자 감사 로그와 설정 권한

세 번째는 관리자가 무엇을 보고 통제할 수 있느냐다. 누가 언제 어떤 데이터를 넣고 내보냈는지 남는 감사 로그가 없으면, 사고가 나도 피해 범위를 특정하기 어렵다. 관리자 콘솔에서 사용자별 권한을 조정할 수 있는지, 로그를 내려받아 보관할 수 있는지, 퇴사자 계정을 즉시 차단할 수 있는지를 함께 본다. 이 기능들이 요금제의 상위 등급에만 열려 있는 경우가 많으므로, 도입하려는 플랜에 실제로 포함되는지 확인하는 것이 핵심이다.

벤더에 던질 질문 목록

위 기준을 한 번의 미팅으로 끝내려면 질문을 미리 정리해 두는 편이 낫다. 다음 여섯 가지를 그대로 물어보면 된다.

• 유출 사고를 인지하면 우리에게 몇 시간 안에, 어떤 방식으로 통지하나
• 이 통지 의무가 DPA 같은 계약서에 명시돼 있나, 아니면 약관 수준인가
• 우리가 입력한 데이터가 모델 학습이나 서비스 개선에 쓰이나, 끄는 방법은 무엇인가
• 데이터와 로그는 어디에 저장되고 보관 기간은 얼마이며 무보존 옵션이 있나
• 하위 처리업체나 제3자에게 데이터가 넘어가나, 국외로 이전되나
• 관리자 감사 로그와 권한 관리 기능이 우리가 쓰려는 요금제에 포함되나

답이 문서로 확인되지 않거나 '문제없다'는 말만 돌아온다면, 그 자체가 하나의 신호다. 민감한 업무에 쓸 도구라면 계약 전 법무 검토를 한 단계 더 거치는 것이 결국 더 싸게 먹힌다.

출처

1. 개인정보 유출 72시간…신고 지연은 과징금 전체를 흔드는 변수
2. 기업 내 생성형 AI 사용과 비밀정보 보호
3. AI 도입 바빴던 기업들, 이젠 '안전한 AI 활용' 챙긴다
4. 미스트랄 학습 데이터 옵트아웃, 서비스마다 따로 꺼야 한다