!면책 본 글은 도입 검토 단계의 실무 지도이며 법률 자문이 아닙니다. 규제는 개정 빈도가 높으므로 실제 적용 전 법무·컴플라이언스 검토를 반드시 거치십시오.
01규제는 AI를 막지 않습니다. 데이터의 이동을 막습니다
규제 산업의 도입 검토가 멈추는 이유를 뜯어보면, 대부분 "AI를 쓰지 마라"가 아닙니다. "그 데이터를 회사 통제 밖으로 내보내지 마라" 입니다. 기술이 아니라 데이터 소재지와 이동 경로가 규제의 대상입니다.
이 관점으로 보면 판단이 단순해집니다. *우리 데이터가 어디에 저장되고, 어디를 거쳐 처리되는가?* 이 질문에 답할 수 있으면 대부분의 조항은 통과합니다.
02업종별 지도
| 업종 | 핵심 제약 | 실무에서 걸리는 지점 | 통과하는 구축 형태 |
|---|---|---|---|
| 금융 | 전자금융감독규정상 망분리, 개인신용정보의 국외 이전 제한 | 내부망 단말에서 외부 API 호출 자체가 불가. 클라우드 이용 시 별도 절차·보고 | 내부망 내 온프레미스 모델. 외부 호출이 필요하면 등급 분리 후 비민감 트래픽만 |
| 의료 | 개인정보보호법상 민감정보(건강정보), 의료법상 진료기록 관리 | 환자 식별정보가 포함된 텍스트의 외부 전송, 위탁 처리 고지 의무 | 원내 인프라 구동 + 비식별 처리. 진료·환자 데이터와 행정·경영 데이터의 경로 분리 |
| 공공 | 국가정보보안 기본지침에 따른 보안성 검토, 클라우드 보안인증(CSAP) | 미인증 서비스 도입 불가, 국외 리전 저장 불가 | 인증 획득 서비스 또는 기관 자체 인프라 내 구축 |
| 일반 기업 | 개인정보보호법, 영업비밀 보호, 계약상 비밀유지 의무 | 고객사와의 NDA 위반 가능성, 소스코드·기획서 유출 | 등급 분리 후 하이브리드. 민감 등급만 내부 처리 |
금융의 망분리는 최근 몇 년간 완화 논의와 단계적 개선이 진행 중이므로, 현행 기준은 반드시 최신 고시로 확인하십시오. 완화 흐름이 있다는 것과 우리 회사가 지금 적용받는 기준이 무엇인지는 다른 문제입니다.
03공통 결론: 소재지를 회사가 쥐면 대부분 풀린다
네 업종의 제약을 나란히 놓으면 하나의 축으로 수렴합니다.
데이터가 회사(또는 기관)가 통제하는 경계 안에 머무르면, 조항 대부분이 적용 대상에서 벗어나거나 충족됩니다.
- 국외 이전 금지 → 애초에 나가지 않으므로 해당 없음
- 망분리 → 내부망 내 구동이면 위배 없음
- 위탁·재위탁 고지 → 외부 처리자가 없으면 대상 축소
- 보안성 검토 → 자체 인프라는 기관 기존 통제 체계에 편입
여기에 실무적으로 하나가 더 붙습니다. "어떤 질의가 있었는지 증명할 수 있는가." 감사 대응은 사고 예방과 별개의 요건이며, 개인 계정 기반 사용은 이 요건을 구조적으로 충족하지 못합니다.
04그래서 무엇을 준비해야 하나
도입 검토 문서에 아래 5개 항목이 답변돼 있으면 대부분의 심의는 통과합니다.
- 데이터 흐름도 — 입력이 어디를 거쳐 어디에 저장되는가 (그림 1장)
- 등급 정의 — 어떤 데이터가 외부로 나갈 수 있고 어떤 것이 못 나가는가
- 강제 수단 — 그 구분이 정책 문구인가, 코드로 막혀 있는가 (심의에서 가장 자주 파고드는 지점)
- 감사 추적 — 질의·조회 기록의 보존 형태와 기간
- 권한 모델 — 직원마다 접근 가능한 문서 범위가 어떻게 다른가
3번이 관건입니다. "내부 규정으로 금지하고 있습니다"는 심의에서 약한 답변입니다. "민감 분류 데이터는 외부 호출 경로 자체가 차단되어 있습니다" 가 필요한 답변입니다.
05컴키의 대응
컴키는 위 5개 항목을 제품 구조로 충족하도록 설계했습니다.
- 분류 기반 라우팅 —
[경영]·인사·급여 데이터는 외부 LLM 호출 경로에서 코드로 차단되며, 임베딩 생성 대상에서도 제외됩니다. - 온프레미스 모델 연동 — 사내 인프라의 모델로 민감 등급을 처리해 데이터가 내부망을 벗어나지 않습니다.
- 3중 권한 방어 — DB 레벨 행 단위 보안(RLS), 역할 기반 가시성 필터, 분류 게이트가 검색·질의·그래프·보고서 모든 출력 경로에 걸립니다.
- 감사 로그 — 모든 질의와 민감 등급 조회가 추가 전용(append-only) 로그로 남습니다.
06자주 묻는 질문
Q클라우드에 올리면 무조건 규제 위반인가요?
아닙니다. 업종별로 인정되는 인증·절차를 거친 클라우드는 사용 가능합니다. 문제는 인증 범위 밖의 서비스를 개인이 임의로 쓰는 경우입니다. 조직이 승인한 경로를 제공하는 것이 실질적인 통제입니다.
Q비식별 처리하면 외부 AI를 써도 되나요?
개인정보 관점의 위험은 줄지만, 영업비밀·계약상 비밀유지 의무는 그대로 남습니다. 고객사명·단가·미공개 계획은 비식별 대상이 아니면서도 유출 시 손해가 큽니다. 개인정보와 영업비밀은 별도로 판단하십시오.
Q규제 산업이면 AI 도입을 미뤄야 하나요?
오히려 반대입니다. 통제된 사내 경로를 제공하지 않으면 직원들이 개인 계정으로 쓰기 시작하고, 그것이 가장 통제 불가능한 형태의 도입입니다. 도입 여부가 아니라 도입 형태의 문제입니다.