GDPR 및 AI 채팅봇: 기업이 알아야 할 사항

AI 채팅봇은 어떤 개인정보를 처리합니까?

사용자가 인공지능 채팅봇과 상호 작용할 때 데이터가 생성됩니다. 가장 명백한 것은 대화의 내용입니다: 텍스트 입력, 질문, 불만, 예약 세부 사항. 이러한 대화 데이터는 많은 경우 GDPR의 의미에서 개인입니다. 이름이나 이메일 주소와 같은 직접 식별자를 포함하거나 다른 사용 가능한 데이터와 함께 연결될 수 있기 때문에 개인 데이터로 간주됩니다. Webchat에서 기술적으로 전송되는 IP 주소도 개인 데이터로 간주됩니다.

고객 계정 프로세스에서 사용되는 챗봇의 경우, 고객 번호, 주문 내역, 결제 정보(체크아웃 프로세스에 통합된 경우) 또는 건강 데이터(의료 애플리케이션에서)와 같은 추가적인 데이터 범주가 포함됩니다. 이러한 GDPR 제9조에 따른 특수 범주는 더 높은 보호 수준을 적용받으며, 특별한 기술적 및 법적 조치가 필요합니다.

데이터 최소화 원칙(일반 데이터 보호 규정 제5조 제1항 c호)은 각 목적에 실제로 필요한 데이터만 처리할 것을 요구합니다. 인증이 필요 없는 순수 FAQ 챗봇의 경우, 이는 대화 내용을 영구적으로 저장하지 않고, IP 주소를 익명화하며, 서비스 프로세스에 필수적으로 필요한 경우에만 개인 정보를 수집해야 함을 의미합니다. 따라서 신중하게 구성된 챗봇은 데이터 보호 관점에서 훨씬 덜 문제가 됩니다.

채팅봇 운영을 위한 GDPR 요구사항

GDPR는 각 처리 작업에 대해 일련의 기본 요구사항을 제시합니다. 첫째, 모든 데이터 처리는 GDPR 제6조에 따른 법적 근거가 필요합니다. 즉, 사용자의 동의, 계약 이행에 필요한 경우, 기업의 정당한 이익 또는 법률에서规定的其他 근거 중 하나여야 합니다. 법적 근거는 처리 전에 결정되고 문서화되어야 하며, 의심스러운 경우 데이터 보호 당국에 그 근거를 설명할 수 있어야 합니다.

둘째, 관련 개인에 대한 포괄적인 정보 제공 의무가 존재합니다. 사용자는 어떤 데이터가 어떤 목적으로 처리되는지, 얼마나 오래 저장되는지, 누구에게 제공될 수 있는지, 그리고 어떤 권리를 가지고 있는지 알아야 합니다. 여기에는 정보 제공 청구권, 정정 청구권, 삭제 청구권 및 처리 제한 청구권이 포함됩니다. 이러한 정보는 명확하고 이해하기 쉬운 언어로 접근 가능해야 하며, 일반적으로 개인정보 처리방침과 채팅 창에 표시되는 안내를 통해 제공됩니다.

셋째, GDPR은 'Privacy by Design 및 Privacy by Default' 원칙을 규정하고 있습니다(제25조). 이는 데이터 보호 친화적인 설정이 사후 보완이 아닌 초기부터 기본값으로 적용되어야 함을 의미합니다. AI 챗봇의 경우 실제 적용 시 표준 저장 기간 단축, 로그 데이터 익명화, 제한적인 접근 권한 부여, 그리고 사용자가 쉽게 자신의 데이터를 삭제할 수 있는 기능 제공이 필요합니다.

클라우드 AI vs 온프레미스: 이것이 데이터 보호에 어떤 의미를 가지는가?

클라우드 기반 AI 채팅봇의 경우, 대화 데이터와 요청은 외부 서버로 전송되어 처리되며, 설정에 따라 학습 목적으로 사용될 수 있습니다. GDPR 평가에서 중요한 점은 서버가 어느 국가에 위치해 있는가입니다. 미국계 제공자의 경우, Schrems II 판결 이후 법적 상황이 복잡합니다. EU계 제공자 또는 EU 내 데이터 센터를 보유한 제공자는 유럽의 데이터 보호법상 명확히 우선시됩니다. 또한, 데이터 처리 위탁 계약(AVV)을 체결해야 합니다.

온프레미스(On-Premises)는 AI 모델을 포함한 전체 인프라가 기업이 직접 관리하는 서버에서 운영됨을 의미합니다. 로컬에서 AI를 실행하면 대화 데이터가 자체 인프라 외부로 유출되지 않습니다. 따라서 클라우드 AI 제공업체와의 개인정보 처리 위탁 계약(AVV)이 완전히 불필요해지며, 데이터 처리는 내부에서만 이루어집니다. 의료, 법률, 금융 등 규제가 엄격한 산업에 종사하는 기업에게는 온프레미스가 종종 유일한 합리적인 옵션입니다.

하이브리드 접근 방식도 가능합니다: 챗봇 인프라와 지식 데이터베이스는 EU 측에서 안전한 서버에서 실행되며, 특정 덜 민감한 사용 사례에는 클라우드 모델이 사용됩니다. Zentor App는 외부 AI 제공자를 통한 클라우드 모드와 완전 로컬 모드 두 가지 운영 모드를 모두 지원하며, 기업이 자신의 데이터 보호 전략에 맞는 아키텍처를 선택할 수 있도록 합니다. 이 결정은 이상적으로 데이터 보호 책임자 및 데이터 보호 변호사와 함께 내려져야 합니다.

데이터 처리 위탁 계약(AVV): 언제 필요하며 어떤 사항을 규정하는가

개인정보보호법 제28조에 따른 데이터 처리 위탁 계약(AVV)은 기업(위탁자)과 외부 서비스 제공자(수탁자) 간 책임 관계를 법적으로 규정하는 핵심 수단입니다. SaaS 플랫폼을 통해 AI 챗봇을 운영하는 경우, 일반적으로 데이터 처리 위탁 계약이 필수적입니다. 챗봇 제공자는 자신의 서버에서 대화 데이터를 처리하며, 이는 전형적인 데이터 처리 위탁에 해당합니다.

AVV는 서면 또는 동등한 전자 형식으로 체결되어야 하며, 처리 대상 및 기간, 처리의 종류와 목적, 개인 데이터 및 관련 당사자의 범주, 책임자의 의무와 권리 등 일련의 최소 내용을 포함해야 합니다. 또한, 수탁자는 적절한 기술적 및 조직적 조치(TOMs)를 구현하고 승인 없이 하위 수탁자를 사용하지 않도록 보장해야 합니다.

중요: 챗봇 가동 전에 데이터 처리 계약(AVV)이 체결되어야 하며, 사후에 체결되어서는 안 됩니다. 데이터 처리가 있음에도 불구하고 데이터 처리 계약이 누락된 경우, 이는 과태료 부과 대상인 별도의 GDPR 위반 사항입니다. 따라서 모든 챗봇 제공업체를 검토할 때, 데이터 처리 계약이 어떤 형태로 제공되는지, 어떤 서브 데이터 처리자(예: 클라우드 제공업체 또는 외부 AI 제공업체)가 사용되는지, 그리고 이에 대해 어떻게 대응하는지 확인해야 합니다. Zentor App와 같은 신뢰할 수 있는 제공업체는 표준화된 데이터 처리 계약 양식을 제공하며, 그 내용을 투명하게 공개할 의사가 있습니다.

개인정보 보호 책임자와 챗봇: 주의사항

기업 내부 또는 외부의 데이터 보호 책임자(DSB)를 두고 있는 기업은 AI 챗봇을 도입할 때 해당 책임자를 참여시켜야 합니다. DSB는 데이터 보호 규정 준수 구현을 보장하고, 위험을 평가하며, GDPR 준수를 감독하는 역할을 합니다. 여기서는 형식적인 규정 준수뿐만 아니라 구체적인 기술적 구성도 중요합니다. 어떤 데이터가 저장되는가? 얼마나 오래 저장되는가? 누가 접근할 수 있는가? 그리고 정보 주체의 정보 제공 요청에는 어떻게 대응하는가?

채팅봇 컨텍스트에서 DSB(데이터 보호 책임자)의 가장 중요한 과제 중 하나는 GDPR 제35조에 따라 데이터 보호 영향 평가(DPIA)가 필요한지 여부를 검토하는 것입니다. 데이터 처리가 자연인의 권리와 자유에 높은 위험을 초래할 것으로 예상될 경우 DPIA가 의무화됩니다. 이는 시스템적으로 민감한 데이터를 처리하거나, 프로파일링이 이루어지거나, 해당 시스템이 관련자에게 중대한 영향을 미치는 결정을 내리는 데 사용되는 경우 채팅봇에서 발생할 수 있습니다.

DSB(데이터 보호 책임자)가 법적으로 의무화되어 있지 않더라도, 서비스 출시(Go-Live) 전에 데이터 보호 관련 검토를 실시하는 것이 권장됩니다. 특히 처음으로 챗봇을 도입하는 중소기업의 경우 다음과 같은 일반적인 함정에 주의해야 합니다: 누락되거나 오래된 개인정보 처리방침, AVV(계약상 데이터 처리자) 미비, 지나치게 긴 보관 기간 또는 누락된 삭제 계획 등. 이 경우 데이터 보호 전문가의 외부 자문을 통해 장기적으로 이점을 얻을 수 있으며, 데이터 보호 당국이 부과할 수 있는 중대한 과태료로부터 보호받을 수 있습니다.

챗봇을 위한 기술적 및 조직적 조치(TOMs)

GDPR는 제32조에 따라 적절한 기술적 및 조직적 조치(TOMs)를 요구하여 위험에 상응하는 보호 수준을 보장해야 합니다. AI 챗봇의 경우 이를 구체적으로 적용하면, 사용자의 브라우저와 챗백엔드 간 모든 데이터 전송은 암호화되어야 합니다(TLS/HTTPS). 저장된 대화 데이터와 지식베이스 콘텐츠도 데이터베이스 및 관련 저장 매체에서 암호화되어 저장되어야 합니다.

접근 페이지에서 GDPR은 데이터 접근 제한의 원칙을 규정합니다. 즉, 직원이 자신의 업무를 수행하는 데 실제로 필요한 경우에만 해당 직원과 시스템이 개인 데이터에 접근할 수 있습니다. Zentor App는 이 원칙을 역할 기반 접근 제어(RBAC) 시스템을 통해 구현하며, 이 시스템은 개별 패키지에서 선택 가능한 모듈로 제공됩니다. 서로 다른 역할은 서로 다른 접근 권한을 가지며, 모든 접근 기록은 감사 추적(Audit-Trail)에 기록됩니다. 이를 통해 의심스러운 경우 누가 언제 어떤 데이터에 접근했는지 입증할 수 있습니다.

조직적으로 TOMs에는 명확한 내부 프로세스가 포함됩니다: 지식 데이터베이스의 책임자는 누구인가? 관련자의 삭제 요청은 어떻게 처리되는가? 대화 데이터가 필요한 기간보다 더 오래 저장되지 않도록 어떻게 보장하는가? 데이터 보호 사고 발생 시(예: 챗봇이 우연히 다른 사용자의 개인정보를 유출하는 경우) 기업은 어떻게 대응하는가? 이러한 프로세스는 서면으로 문서화되어야 하며 정기적으로 검토되어야 합니다.

Zentor App와 GDPR: EU 호스팅과 온프레미스 옵션

Zentor App는 처음부터 GDPR를 준수하는 운영을 가능하게 하는 목적으로 개발되었습니다. 플랫폼은 EU 서버에 호스팅 될 수 있습니다. 호스팅, 데이터베이스 및 응용 로직은 유럽 데이터 보호법에 적용됩니다. 선택적으로 외부 AI 공급자가 포함되면 EU 표준 계약 조항 (GDPR 제 46조) 에 따라 EU 외부에서 사용 될 수 있습니다.

최고 수준의 데이터 보호 요구사항을 가진 기업을 위해 Zentor App는 완전한 온프레미스 설치를 제공합니다. 이 운영 모델에서는 전체 플랫폼 — 챗봇 엔진, 지식 데이터베이스, 오미채널 인박스 및 모든 처리 구성 요소 — 가 기업이 직접 관리하는 인프라에서 실행됩니다. 로컬 AI 실행을 통해 대화 데이터나 개인 정보가 외부 IT 환경으로 유출되지 않습니다. 이러한 접근 방식은 데이터 보호가 생존과 직결된 병원, 법률 사무소, 세무 상담소 등 특정 산업에 특히 적합합니다.

Zentor App는 클라우드 운영을 위해 처리 계약 (AVV) 을 제공하고, GDPR에 따라 채팅봇 운영을 위한 기술적 조건을 구축합니다. GDPR에 따라 채팅봇 운영을 위한 기술적 요건을 구축합니다.

자주 묻는 질문