클라우드 계약서 독해 - 약관은 협상 대상인가 (04/08)

AI 시대의 클라우드·인프라 발주 가이드 · Ep.04

그 계약서는 읽으라고 온 것이 아니라
서명하라고 온 것이었다.

클라우드 계약서 독해 - 약관은 협상 대상인가 · HFC Consulting

---

SI 계약서는 발주자가 쓴다. 과업범위도, 검수기준도, 지체상금도 발주자의 문서에서 출발한다. 클라우드 계약은 반대다. 공급자가 쓴 약관에서 출발하고, 발주자는 동의 버튼 앞에 선다.

문서를 쓴 쪽이 유리한 것은 계약의 오래된 법칙이다. 그렇다면 읽는 쪽의 기술이 필요하다. 본 약관, 서비스별 조건, SLA, 이용 정책, 개인정보 처리 부속서까지 합치면 수백 쪽이다. 전부 읽는 것은 목표가 아니다. 위험이 모이는 자리를 골라 읽고, 읽은 결과를 조직의 문서로 남기는 것이 목표다.

기울어진 문서라는 진단

기울기는 인상이 아니라 조사 결과다. 공정거래위원회의 클라우드 분야 실태조사는 특정 사업자에 대한 높은 의존, 복잡한 가격 체계로 인한 비용 예측 곤란, 전환과 멀티클라우드의 어려움을 확인하고, 불리한 계약 조건과 경쟁 제한 행위를 지속 감시 대상으로 지목했다(공정위 실태조사 결과 해설, 2022). EU와 미국, 독일이 데이터 이동성 제한에 규제로 대응하고 있다는 진단도 함께였다.

규제가 움직인다는 것은 시장의 힘만으로는 균형이 잡히지 않는다는 뜻이다. 규제가 도착하기 전까지 발주자를 지키는 것은 결국 자신의 독해다.

반론 — "대형 공급자의 약관은 어차피 한 글자도 못 바꾼다. 검토가 무슨 소용인가."

대응 — 검토의 일차 산출물은 수정이 아니라 위험 목록이다. 못 바꾸는 조항을 알고 서명한 조직은 그 위험을 설계와 절차와 보험으로 흡수한다. 모르고 서명한 조직은 사고가 난 날 처음 읽는다. 같은 약관에 서명해도 두 조직의 위험은 같지 않다.

먼저 읽어야 할 네 곳

수백 쪽의 약관을 전부 협상할 수는 없다. 위험이 모이는 자리는 정해져 있다.

약관 독해의 4대 조항

① 책임 한계 — 배상 상한이 최근 몇 개월 이용료인지, 간접·결과적 손해가 배제되는지

② 데이터 조항 — 소유권 귀속, 계약 종료 시 반환 형식과 기간, 삭제 증명, 보존 기간

③ 일방 변경 — 공급자가 통지만으로 가격·기능·약관을 바꿀 수 있는지, 변경 시 해지권이 있는지

④ 서비스 종료 — 특정 서비스 단종 시 통지 기간과 이전 지원 의무

네 조항의 공통점은 사고가 나기 전에는 보이지 않는다는 것이다. 파산한 사업자의 데이터가 통째로 매각된 사건(Brief 17)과 지운다던 데이터가 30일을 남는 보존 조항(Brief 18)은 모두 계약서에 이미 적혀 있던 일이 현실이 된 사례다.

AI 서비스를 계약한다면 읽을 곳이 하나 더 있다. 입력 데이터의 처리 조항이다. 우리 조직이 넣는 프롬프트와 문서가 공급자의 모델 개선에 활용되는지, 거부 설정이 기본값인지 신청 사항인지, 그리고 모델이 예고 없이 교체될 때 통지 의무가 있는지. AI 도입 계약 연재에서 다룬 조항들(2기 1화)이 클라우드 약관 안에 흩어져 들어와 있는 셈이므로, 찾아서 읽는 것은 발주자의 몫이다.

협상 가능한 것과 불가능한 것

표준약관 본문은 대형 공급자일수록 고치기 어렵다. 그러나 협상의 여지가 없는 것은 아니다. 일정 규모 이상 고객에게는 별도 합의서로 배상 상한 상향, 통지 기간 연장, 데이터 반환 조건을 조정하는 관행이 있다. 공공이라면 전문계약의 협의 단계(3화)가 바로 그 자리다. 협의 단계에서 요구하지 않은 조건은 계약 후에 요구할 수 없다.

협상이 막히는 조항은 회피로 대응한다. 배상 상한을 올릴 수 없다면 해당 워크로드의 위험을 보험이나 이중화로 흡수하고, 일방 변경 조항을 지울 수 없다면 변경 통지를 감시하는 운영 절차를 만든다. 계약으로 못 막는 위험은 설계로 막는 것이다. 일방 변경 조항이 좋은 예다. 통지 후 30일이면 가격표가 바뀔 수 있는 계약이라면, 그 30일을 놓치지 않는 것이 방어선이 된다. 공급자 공지의 정기 모니터링을 운영 과업으로 지정하고, 가격·약관 변경 통지를 수신하면 영향 분석과 대응 결정을 며칠 안에 마치는 절차를 만들어 두는 것이다. 조항을 못 지우면, 조항이 작동하는 순간을 감시한다.

약관을 검수기준처럼

AI 도입 계약에서 계약서를 검수기준처럼 읽자고 했던 원칙(2기 1화)은 클라우드 약관에도 그대로 적용된다. 조항 하나하나에 "이 일이 실제로 일어나면 우리는 무엇을 받는가"를 물어보는 것이다. 답이 "크레딧 약간"이라면, 그 답을 안 상태로 서명하는 것과 모르고 서명하는 것은 전혀 다른 발주다. 검토 결과는 "약관 위험 검토서" 한 장으로 남긴다. 조항, 위험, 협상 결과, 잔여 위험의 대응 방안 네 열이면 충분하다. 이 문서가 있으면 담당자가 바뀌어도 조직은 같은 위험 인식을 유지하고, 사고가 났을 때 "알고 관리한 위험"과 "몰랐던 위험"을 구분해 설명할 수 있다.

그 질문이 가장 날카로워지는 조항이 하나 있다. 서비스가 멈춘 날의 약속, SLA다. 다음 화에서 그 숫자를 해부한다.

본 글은 일반적인 정보 제공을 목적으로 하며, 개별 사안에 대한 법률 자문이 아닙니다. 구체적인 계약·법률 판단은 반드시 전문가의 자문을 받으시기 바랍니다.

📎 더 읽을거리

공정위 클라우드 분야 실태조사 결과 해설 (김·장 법률사무소) — 의존·가격 불투명·전환 곤란 진단의 요약

EU Data Act와 클라우드 계약 요건 (Deloitte Legal) — 계약서에 명시해야 할 항목을 규제가 정의하기 시작한 사례

HFC의 관점

클라우드 약관 검토는 법무의 일이면서 동시에 발주 실무의 일입니다. HFC컨설팅은 4대 조항 중심의 약관 위험 점검, 별도 합의 요구안 작성, 협의 단계 대응 전략의 실무 자문을 제공합니다. 동의 버튼 앞에서 확신이 서지 않는다면 문의해 주십시오.

changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 AI 시대의 클라우드·인프라 발주 가이드

◀ 이전 편: 조달 방식의 선택 - 구축, 구독, 배정 (03/08)

다음 편 ▶ SLA를 검수기준으로 - 가용성 숫자의 함정 (05/08)

연재 전체 보기 →