자동화 상담에서 가장 자주 나오는 질문은 기술적인 것이 아닙니다. 시스템이 어떻게 돌아가는지, 몇 가지 업무를 맡는지, 어떤 프로그램과 연결되는지 이야기하다 보면 어느 순간 이런 말이 나옵니다. "그런데 제 고객 정보는 어디로 갑니까?"
정당한 질문이고, 대개 답을 얻지 못합니다. 자동화를 설명하는 글은 시스템이 무엇을 하는지 말하지만 데이터가 어디로 가는지는 말하지 않습니다. 그러나 고객 데이터를 다루는 모든 사업자는 개인정보 보호에 관한 의무를 집니다. 자동화를 도입한다고 이 책임이 사라지지 않으며, 오히려 넓어질 수도 있습니다.
이 글은 법률 자문이 아닙니다. 자동화를 도입할 때 어떤 질문을 해야 하는지 보여주는 것이 목적입니다. 구체적인 사안은 반드시 법률 전문가와 상의하십시오.
🔒 기억할 점: 자동화를 도입해도 데이터에 대한 책임은 여전히 귀사에 있습니다. 시스템을 구축한 업체는 귀사를 대신해 데이터를 처리하지만, 고객에게 책임을 지는 쪽은 귀사입니다. 이 구분이 계약서에 없으면 문제가 생겼을 때 누가 무엇을 해야 하는지 불분명해집니다.
AI는 왜 이 그림을 바꾸는가
개인정보를 처리하는 일 자체는 새롭지 않습니다. 이름, 전화번호, 주소는 오래전부터 기록해 왔습니다. AI가 더하는 차이는 세 가지로 정리됩니다.
데이터가 외부로 나갈 수 있습니다. 기존 회계 프로그램은 데이터를 내부에 보관합니다. AI를 쓰는 시스템은 텍스트를 처리하기 위해 대개 언어 모델로 보냅니다. 그 모델은 다른 회사 소유일 수 있고 다른 나라에서 돌아갈 수도 있습니다.
데이터가 합쳐집니다. 자동화는 서로 다른 출처를 한곳에 모읍니다. 웹 양식, 메신저 메시지, 통화 기록, 이메일. 따로 보면 무해해 보이는 정보도 모이면 훨씬 상세한 프로필이 될 수 있습니다.
판단이 자동으로 이뤄집니다. 어떤 제안을 어느 고객에게 보낼지, 어떤 신청을 먼저 처리할지 시스템이 정한다면, 그 판단이 어떻게 내려졌는지 설명할 수 있어야 할 수도 있습니다.
개인정보처리자와 수탁자는 누구인가
법은 두 가지 역할을 구분하며, 이 구분이 계약의 토대가 됩니다.
- 개인정보처리자는 왜, 어떻게 데이터를 처리할지 정하는 쪽입니다. 고객 데이터를 수집하는 사업자가 보통 여기에 해당합니다.
- 수탁자는 처리자를 대신해 그 지시에 따라 데이터를 다루는 쪽입니다. 자동화를 구축하고 운영하는 업체가 대개 여기에 놓입니다.
이 구분은 서류상으로만 남아서는 안 됩니다. 양측 관계는 문서로 정리되는 것이 바람직합니다. 어떤 데이터를, 어떤 목적으로, 얼마 동안, 누구의 지시로 처리하는지가 담겨야 합니다. 이 문서가 없으면 책임의 경계가 불분명합니다.
"내 데이터는 어디로 가는가"의 세 갈래
서버는 어디에 있는가
데이터는 물리적으로 어딘가에 존재합니다. 국내일 수도, 유럽일 수도, 다른 나라일 수도 있습니다. 국외 이전은 별도의 규정을 따르며 모든 경우에 같은 조건이 적용되지는 않습니다. 구축 업체에 던질 첫 질문이 이것입니다. 데이터를 보관하는 서버는 어느 나라에 있습니까?
AI 모델은 데이터로 무엇을 하는가
처리를 위해 모델에 텍스트를 보내면, 그 텍스트가 어떻게 되는지는 공급자마다 다릅니다. 전송된 데이터를 학습에 쓰지 않겠다고 약속하는 곳도 있고, 일정 기간 보관하는 곳도 있으며, 전혀 보관하지 않는 곳도 있습니다. 이 조건은 계약서에 적혀 있고 시간이 지나면 바뀔 수 있습니다.
물어볼 질문은 이것입니다. 사용하는 AI 공급자의 데이터 정책은 무엇이며, 제 데이터가 모델 학습에 쓰입니까?
사슬의 끝에는 누가 있는가
자동화는 좀처럼 하나의 부품으로 끝나지 않습니다. 메시징 기반, 데이터베이스, 이메일 서비스, 호스팅 제공자. 각각이 사슬의 고리이며 각각이 데이터에 닿을 수 있습니다. 이 목록을 적어보기 전에는 데이터가 어디로 가는지 알 수 없습니다.
이 사슬의 각 고리는 동시에 보안 표면이기도 합니다. 위협이 어디에서 올 수 있는지는 AI 사이버 보안 글에서 다뤘습니다.
자동화 상담에서 물어볼 질문
기술적으로 파고들지 않아도, 아래 질문들이 그림의 상당 부분을 분명하게 만들 수 있습니다.
- 고객 데이터는 어느 나라 서버에 보관됩니까?
- 어떤 제3자 서비스가 데이터에 닿습니까? 목록이 있습니까?
- AI 공급자가 전송된 데이터를 모델 학습에 사용합니까?
- 데이터는 얼마나 보관되며, 그 뒤에는 어떻게 됩니까?
- 시스템을 종료하면 데이터를 돌려받습니까? 어떤 형식입니까?
- 고객이 삭제를 요청하면 절차가 어떻게 진행됩니까?
- 계약과 함께 데이터 처리 문서가 제공됩니까?
- 보안 사고가 발생하면 언제 어떻게 통보받습니까?
답을 얻지 못하는 것도 정보입니다. 답할 수 없다면 그쪽도 모르고 있을 가능성이 큽니다.
이 질문들은 준비 목록의 데이터 쪽입니다. 목록의 나머지는 자동화 프로젝트는 왜 실패하는가 글에 정리했습니다.
고지와 동의
고객의 데이터를 처리한다면 그 사실을 알리는 것이 바람직합니다. 고지 문서가 그래서 있습니다. 누가, 어떤 데이터를, 왜 처리하며 당사자에게 어떤 권리가 있는지를 담습니다.
모든 처리에 별도 동의가 필요한 것은 아닙니다. 계약 이행에 필요한 처리는 다른 법적 근거에 기댈 수 있습니다. 다만 광고성 연락 같은 경우에는 별도의 허락이 필요할 수 있고, 이 영역에는 추가 의무가 따라붙습니다.
자동화를 도입할 때 핵심은 이것입니다. 시스템은 어떤 법적 근거로 어떤 데이터를 처리하며, 그것이 문서로 남아 있습니까?
보관과 삭제
데이터를 영원히 보관하지는 않습니다. 데이터 종류마다 보관 기간을 정하고 기간이 지나면 삭제하는 것이 바람직합니다. 자동화가 여기서 도움이 될 수 있습니다. 시스템이 보관 기간을 추적해 기한이 지난 기록을 스스로 지우도록 구축할 수 있습니다.
여기서의 질문은 단순합니다. 시스템에 삭제라는 기능이 있기는 합니까, 아니면 데이터가 쌓이기만 합니까? 백업에서는 어떻게 됩니까? 삭제한 기록이 백업에서 되살아날 수 있습니까?
계약서에서 확인할 것
자동화 계약에서 데이터 부분은 별도의 항목으로 다뤄지는 것이 바람직합니다. 최소한 다음이 문서에 있으면 좋습니다.
- 양측의 역할: 누가 처리자이고 누가 수탁자인지
- 처리되는 데이터 종류와 처리 목적
- 보관 기간과 기간 종료 후의 처리
- 재위탁 여부와 그 통지 방법
- 보안 조치와 사고 통지 절차
- 계약 종료 시 데이터의 반환 또는 파기
계약서에서 데이터 이외의 부분은 맞춤형으로 구축하는지 기성 패키지를 쓰는지에 따라 달라질 수 있습니다. 두 갈래는 맞춤형 소프트웨어 vs 기성품 패키지 글에서 비교했습니다.
저희가 일하는 방식
Kılman Bilişim이 구축하는 시스템에서 데이터는 고객 자신의 설치 환경에 머무릅니다. 저희 서버는 유럽에 있습니다. 대화 기록에는 보관 기간을 정해 두고, 기간이 지난 기록은 자동으로 삭제됩니다.
구축에 앞서 어떤 데이터가 어디로 가는지 함께 정리합니다. 데이터 처리 부분은 계약에서 별도 항목으로 다루며, 이에 대해 법률 지원을 받습니다.
자주 묻는 질문
AI 기반 자동화는 개인정보 보호 측면에서 위험을 더합니까?
위험은 대개 자동화 자체가 아니라 데이터가 어디로 가는지 모른다는 데서 생깁니다. 어느 서버에 보관되는지, 어떤 제3자가 접근하는지, 얼마나 보관되는지에 대한 답이 문서로 있으면 그림이 분명해집니다. 이 질문들이 답을 얻지 못하면 시스템이 아무리 잘 돌아가도 위험은 남을 수 있습니다.
제 고객 데이터가 AI 모델 학습에 사용됩니까?
이는 사용하는 공급자와 선택한 요금제에 따라 전적으로 달라집니다. 일부 공급자는 기업 데이터를 학습에 사용하지 않겠다고 계약으로 약속하고, 일부는 일정 기간 보관합니다. 자동화를 구축하는 업체에 어떤 공급자를 어떤 조건으로 쓰는지 문서로 요청하는 것이 적절합니다.
데이터가 해외 서버에 있으면 문제가 됩니까?
국외 이전은 별도의 규정을 따르며 모든 경우에 같은 조건이 적용되지는 않습니다. 이전의 법적 근거와 필요한 서류가 갖춰졌는지가 중요합니다. 서버가 어느 나라에 있는지 확인하는 것이 첫걸음이며, 이후 법률 전문가와 함께 검토가 필요할 수 있습니다.
시스템을 구축하는 업체와 별도의 데이터 계약이 필요합니까?
개인정보처리자와 수탁자 사이의 관계는 문서로 남기는 것이 바람직합니다. 보통 주계약에 붙는 데이터 처리 부속 문서 형태로 작성됩니다. 어떤 데이터를 어떤 목적으로, 얼마 동안, 누구의 지시로 처리하는지가 담깁니다. 이런 부속 문서가 없으면 책임의 경계가 모호하게 남을 수 있습니다.
데이터가 어디로 가는지 함께 정리하겠습니다
구축을 제안하기 전에 어떤 데이터가 어디로 가는지 단계별로 짚습니다. 불분명한 지점이 있으면 분명히 말씀드립니다.
💬 WhatsApp으로 견적 요청맺음말
자동화를 도입한다고 데이터에 대한 책임이 사라지지는 않습니다. 시스템을 구축한 쪽은 귀사를 대신해 데이터를 처리하지만, 고객에게 책임을 지는 쪽은 귀사입니다. 그래서 "시스템이 무엇을 하는가" 옆에 "데이터는 어디로 가는가"라는 물음도 놓여야 합니다.
다행인 점은 이 물음들이 복잡하지 않고 구축 전에 답을 얻을 수 있다는 것입니다. 서버는 어디에 있는지, 누가 데이터에 닿는지, 얼마나 보관되는지, 어떻게 삭제되는지. 네 가지 질문이 그림의 상당 부분을 분명하게 만들 수 있습니다.