상담 기록이 쌓인 엑셀 파일을 열어 두고, 요약이나 분류를 시켜 보려고 ChatGPT 창에 그대로 붙여 넣는 장면은 이제 드물지 않습니다. 고객 이름과 연락처, 통화 내용이 한 번에 올라갑니다. 작업은 5분 만에 끝나고 결과도 꽤 쓸 만합니다.
문제는 그 5분이 개인정보보호법이 말하는 '국외이전'에 해당한다는 점입니다. 넣지 말라는 이야기가 아닙니다. 넣기 전에 끝내 두어야 하는 절차가 있고, 그 절차는 생각보다 짧다는 이야기입니다.
붙여 넣는 순간부터 국외이전 규정이 적용됩니다
개인정보보호위원회는 국외이전을 '국내 개인정보처리자가 정보주체의 개인정보를 국외의 제3자에게 제공·처리위탁·보관하는 행위'로 설명합니다. 해외 사업자가 이용자에게서 직접 수집하는 경우는 여기서 빠집니다.
그래서 직원이 자기 계정으로 개인적인 질문을 하는 것과, 회사가 고객 명단을 업무용으로 입력하는 것은 성격이 다릅니다. 고객뿐 아니라 직원 인사기록, 거래처 담당자 연락처, 클레임 메일도 모두 개인정보에 들어갑니다.
법이 열어 둔 길은 다섯 개입니다
개인정보보호법 제28조의8 제1항은 국외이전을 원칙적으로 금지하고, 다음 다섯 가지 중 하나에 해당할 때만 허용합니다.
- 정보주체에게서 별도의 동의를 받은 경우
- 법률, 조약, 국제협정에 국외이전 규정이 있는 경우
- 계약의 체결·이행을 위해 처리위탁·보관이 필요하고, 관련 사항을 처리방침에 공개하거나 전자우편 등으로 알린 경우
- 이전받는 자가 보호위원회가 인정한 인증을 받고 안전조치를 모두 한 경우
- 이전받는 국가의 보호 수준이 우리 법과 실질적으로 동등하다고 인정된 경우
넷째와 다섯째는 AI 사업자나 상대 국가가 갖춰야 하는 조건이라 우리 회사가 만들어 낼 수 없습니다. 실무에서 고를 수 있는 카드는 첫째와 셋째, 두 개뿐입니다.
대부분의 회사는 세 번째 길로 갑니다
셋째 길의 조건은 두 가지입니다. 이전이 '계약의 체결·이행에 필요한 처리위탁이나 보관'일 것, 그리고 제28조의8 제2항 각 호의 사항을 처리방침에 공개하거나 전자우편 등으로 알릴 것입니다. 두 조건을 모두 채우면 별도 동의를 받지 않아도 됩니다.
고객이 남긴 상담 내용을 요약해 응대 품질을 높이는 작업은 그 고객과의 계약 이행에 붙습니다. 반대로 계약과 상관없는 목적이면 이 길은 막힙니다.
별도 동의가 필요한 경우는 따로 있습니다
첫째, 위탁이나 보관이 아니라 '제공'인 경우입니다. 상대 회사가 우리 지시가 아니라 자기 목적으로 데이터를 쓰는 구조라면 제공입니다. 입력 데이터를 사업자가 자사 모델 학습에 쓰는 설정을 켜 두었다면 여기에 가까워집니다.
둘째, 계약 이행과 무관한 목적입니다. 신규 상품 기획이나 마케팅 세그먼트 분석처럼 고객이 맡긴 일과 다른 용도라면 별도 동의가 필요합니다. 이전 항목이나 국가가 바뀌면 다시 알리고 다시 동의를 받아야 합니다.
처리방침에 적을 항목은 다섯 줄로 정해져 있습니다
동의를 받을 때 알려야 하는 사항과, 셋째 길로 갈 때 처리방침에 공개해야 하는 사항은 같은 목록입니다.
- 이전되는 개인정보 항목
- 이전되는 국가, 이전 시기와 방법
- 이전받는 자의 성명(법인이면 명칭과 연락처)
- 이전받는 자의 이용 목적과 보유·이용 기간
- 이전을 거부하는 방법과 절차, 거부의 효과
"미국" 한 단어만 적고 넘어간 처리방침을 자주 봅니다. 항목과 보유기간, 거부 방법까지 채워야 요건을 충족합니다. 거부의 효과도 솔직히 적어야 합니다. 예를 들어 "거부하시면 AI 요약 기능은 제공되지 않습니다"처럼 씁니다.
요금제를 먼저 확인해야 다섯 줄을 채울 수 있습니다
보유기간과 이용 목적은 우리가 정하는 값이 아니라, 우리가 쓰는 요금제의 약관과 설정이 정하는 값입니다. 그래서 순서가 거꾸로여야 합니다.
- 지금 쓰는 계정이 개인 요금제인지 기업 요금제인지 확인합니다.
- 입력 데이터의 학습 이용 기본값과, 끄는 방법이 있는지 확인합니다.
- 로그 보관 기간과 삭제 시점을 숫자로 확인합니다.
- 처리 국가와 하위 처리자 목록을 확인합니다.
- 위 네 가지가 약관이나 데이터 처리 계약서(DPA)에 문서로 남는지 확인합니다.
개인 요금제는 약관 당사자가 직원 개인이라 회사가 계약 당사자로 서지 못합니다. 그러면 처리방침에 적을 '이전받는 자'와 '보유기간'을 회사 이름으로 확정할 수 없습니다. 기업 요금제로 갈아타는 첫 번째 이유가 여기에 있습니다.
같은 회사 서비스도 요금제에 따라 숫자가 다릅니다
OpenAI API는 공식 문서 기준으로 기본적으로 입력 데이터를 모델 학습에 쓰지 않고, 남용 모니터링 로그를 30일 보관합니다. 사전 승인을 받은 조직은 조직 설정의 데이터 관리 항목에서 무보관(Zero Data Retention)을 켤 수 있습니다.
Claude는 Team·Enterprise·API 같은 상용 제품에서 기본적으로 학습에 쓰지 않습니다. 다만 좋아요·싫어요 피드백을 보내면 그 대화 전체가 최대 5년 보관됩니다. 개인용 요금제는 삭제한 대화가 30일 이내에 백엔드에서 지워지고, 학습 이용에 동의하면 최대 5년까지 남습니다.
Gemini 앱은 활동 기록이 켜져 있으면 일부 대화를 사람이 검토하고 모델 학습에 사용하며, 기본 보관 기간이 18개월입니다. 3개월이나 36개월, 무기한으로 바꿀 수 있습니다. 활동 기록을 끄면 72시간만 보관합니다.
학습을 꺼도 국외이전은 사라지지 않습니다
학습 설정을 끄는 것은 이용 목적을 줄이는 조치이지, 국외이전을 없애는 조치가 아닙니다.
보관 기간이 30일이든 72시간이든, 국외 서버에 저장되는 순간 '보관' 형태의 국외이전입니다. 학습을 껐다는 이유로 처리방침 개정과 계약서 정비를 건너뛸 수는 없습니다.
예외는 하나뿐입니다. 시간과 비용, 기술을 합리적으로 고려해도 더 이상 개인을 알아볼 수 없게 만든 정보에는 이 법이 적용되지 않습니다. 다만 이름 칸만 지우고 전화번호와 주소를 남겨 둔 파일은 여기에 해당하지 않습니다.
이럴 때는 아직 넣지 마세요
주민등록번호 같은 고유식별정보나 건강·범죄경력 같은 민감정보가 섞인 상담 기록은 절차가 끝나기 전에 넣지 마세요. 제28조의8 제1항을 위반한 국외이전은 전체 매출액의 3퍼센트 이하 과징금 대상이고, 매출액 산정이 곤란하면 20억원 이하가 기준이 됩니다. 보호위원회는 이전 중지를 명할 수도 있으며 이의제기 기간은 명령을 받은 날부터 7일입니다.
급하다면 익명화한 샘플로 먼저 성능을 확인하고, 실제 데이터는 처리방침 개정을 공지한 뒤에 넣는 편이 안전합니다. 근거 자료는 개인정보보호위원회가 2025년 8월 22일 공개한 생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서에 정리돼 있습니다. 비슷한 실무 절차는 실무 가이드 카테고리에서 이어서 다루고, 사내 도입 설계가 필요하면 Codeforest로 문의하세요.
결론: 설정 확인, 계약, 처리방침 순서로 진행하세요
해외 AI에 업무 자료를 넣어도 됩니다. 다만 순서가 있습니다. 요금제의 학습·보관 설정을 숫자로 확인하고, 기업 계약으로 회사가 계약 당사자가 되고, 그 내용을 처리방침 다섯 줄에 옮겨 적는 순서입니다.
계약 이행에 필요한 위탁이나 보관이면 처리방침 공개로 갈음할 수 있고, 사업자가 자기 목적으로 쓰거나 계약과 무관한 목적이면 별도 동의를 받아야 합니다. 이 구분만 정확히 잡아 두면 나머지는 문서 작업입니다.
