우리 데이터가 남의 AI를 학습시키고 있다면... (07/08)

발주자를 위한 AI 계약 가이드 · Ep.07

우리 데이터가
남의 도구 안에 있다.

우리 데이터가 남의 AI를 학습시키고 있다면 · HFC Consulting

---

개발자가 재현되지 않는 오류를 붙잡고 있다. 원인 파악이 늦어진다. 그가 운영 데이터 한 조각을 복사해 AI 채팅창에 붙여넣는다. "이 데이터에서 왜 오류가 발생하는지 분석해줘." 오류는 잡힌다. 그 데이터에 고객 계좌번호가 포함되어 있었다는 사실은 아무 기록에도 남지 않는다. 유출 신고도, 보고도 없다. 유출이라는 자각 자체가 없었기 때문이다.

악의가 아니라 습관이다. 습관이기 때문에 더 자주 일어난다. 계약이 이 장면을 다뤄야 하는 이유다.

비밀유지 조항이 잡지 못하는 이유

기존 계약서에도 비밀유지 조항은 있다. 그러나 그 조항이 상정하는 유출은 사람이 사람에게 정보를 넘기는 행위다. AI 도구 입력은 성격이 다르다. 행위자는 업무를 수행했을 뿐이고, 입력된 데이터가 어느 서버에 저장되는지, 모델 학습에 활용되는지는 도구의 약관과 설정에 달려 있다. "비밀을 유지한다"는 포괄 문구로는 채팅창 입력이라는 구체적 행위를 통제할 수 없다. 행위를 특정한 조항이 필요하다.

전면 금지가 아니라 3단 통제

AI 도구의 전면 금지는 현실적 대안이 아니다. 생산성을 포기하라는 요구는 관철되지 않고, 관철되지 않는 조항은 전체 계약의 권위를 깎는다. 실효적인 구조는 데이터의 성격에 따라 통제 수위를 나누는 3단 구조다.

단계	대상	통제 방식
원천 차단	운영 데이터·개인정보·비밀정보	미승인 AI 도구 입력 금지
통제된 허용	개발용 데이터·소스코드	승인 도구 목록 내에서만, 학습 미활용 설정 유지
사후 대응	위반 및 위반 의심 사례	24시간 내 통지·조치 보고

계약서에 넣을 문구

① 입력 금지 조항
"수급인은 발주자의 운영 데이터, 개인정보 및 비밀정보를 발주자가 서면으로 승인하지 아니한 AI 도구 또는 외부 서비스에 입력하여서는 아니 된다."

② 승인 도구 조항
"개발 목적의 AI 도구 활용은 별첨의 승인 도구 목록의 범위에서 허용한다. 목록의 추가·변경은 발주자의 사전 서면 승인을 받으며, 승인 도구는 입력 데이터가 모델 학습에 활용되지 아니하는 설정을 유지하여야 한다."

③ 통지 조항
"본 조 위반 또는 위반이 의심되는 사례가 발생한 경우, 수급인은 이를 인지한 때로부터 24시간 이내에 발주자에게 통지하고 입력된 정보의 범위, 대상 도구, 조치 계획을 보고한다."

승인 도구 목록 별첨은 이렇게 구성한다

둘째 조항의 실효성은 별첨 목록의 구체성에 달려 있다. 목록에는 다섯 개 항목을 담는다. 도구의 명칭과 제공사, 이용 형태(개인 계정·기업 계정·자체 구축), 입력 데이터의 저장 위치, 학습 미활용 설정의 적용 여부와 확인 방법, 그리고 승인 일자다. 특히 이용 형태가 중요하다. 같은 도구라도 개인 계정과 기업 계정은 데이터 처리 조건이 다른 경우가 많고, 분쟁 시 "승인받은 도구였다"는 항변이 계정 형태 때문에 무너지는 일이 있다. 목록 한 장이 조항 세 개의 실행력을 결정한다.

예상 반론과 대응

반론 1. "도구 목록 승인제는 개발 속도를 떨어뜨립니다."
대응. 목록은 계약 시점에 한 번 합의하고, 이후 추가는 서면 승인으로 처리한다. 상시 심사가 아니라 변경 시 절차다. 속도를 실제로 떨어뜨리는 것은 사고 이후의 감사와 신고 대응이다.

반론 2. "24시간 통지는 원인 파악도 전에 보고하라는 요구입니다."
대응. 그렇다. 통지와 원인 규명은 별개다. 개인정보 유출은 법정 신고 시한이 있는 사안이며, 발주자의 시한은 수급인의 통지 시점부터가 아니라 유출 시점부터 계산된다. 빠른 통지는 양측 모두의 법적 리스크를 줄인다.

데이터 보호 체크포인트 — 금지 대상 데이터를 유형별로 명시 / 승인 도구 목록을 계약 별첨으로 관리 / 학습 미활용 설정 유지 의무 / 24시간 통지·보고 절차 / 위반 시 제재(손해배상·계약해지)와의 연결 확인

데이터 보호 조항은 사고가 나기 전에는 비용으로 보이고, 사고가 난 뒤에는 유일한 방어선으로 보인다. 조항의 가치는 언제나 사후에 확인되지만, 조항을 넣을 기회는 사전에만 있다. 일곱 개의 조항이 모였다. 다음 편이 마지막이다. 서명 전, 전부를 한 장으로 점검한다.

※ 본 연재의 계약 문구는 일반적 참고용이며 법률 자문을 대체하지 않습니다. 실제 계약 시 법무 검토를 권장합니다.

📎 더 읽을거리
· 생성형 AI 개발·활용을 위한 개인정보 처리 안내서 (개인정보보호위원회) — AI 도구와 개인정보의 국내 공식 기준
· NIST AI Risk Management Framework — AI 리스크 관리의 국제 참조 프레임워크

HFC Consulting의 관점

금융·공공처럼 데이터 규제가 강한 도메인일수록 이 조항이 계약의 승부처가 됩니다. 25년간 그 도메인에서 일했습니다. 준비 중인 보안 요구사항을 보내 주시면 함께 다듬겠습니다.

✉ changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 연재 · 발주자를 위한 AI 계약 가이드
◀ 이전 편 (06/08) AI가 만든 하자, 누가 보증합니까
다음 편 ▶ (08/08) 서명 전 마지막 점검 — AI 계약 체크리스트
연재 전체 보기 →