임원 회의에서 AI 서비스 도입이 결정된 후 3개월. 구매팀이 계약서에 서명하고 IT팀이 통합 작업을 완료했습니다. 그런데 6개월 뒤, 감사 대응 과정에서 충격적인 사실이 드러납니다. 영업팀 직원들이 AI에 입력한 고객 정보가 해당 벤더의 모델 학습에 활용되고 있었고, 약관 17조 3항에 이미 그 동의가 포함돼 있었습니다. 법무팀 검토를 거치지 않은 AI 서비스 이용약관 한 줄이 기업 전체를 규제 리스크 앞에 세운 순간입니다.
📌 30초 요약
- 핵심 문제: 기업 AI 서비스 약관에는 데이터 학습 동의, 책임 한계, 규제 준수 공백이 숨어 있으며, 표준 IT 계약 검토 방식으로는 이를 포착하기 어렵습니다.
- 해답 3줄:
- 입력 데이터의 소유권과 학습 활용 여부를 약관에서 명시적으로 확인하세요.
- AI 오류 발생 시 책임 소재와 배상 한계 조항을 협상 항목으로 분리하세요.
- GDPR·개인정보보호법 등 규제 준수 의무가 벤더와 기업 중 누구에게 귀속되는지 명문화하세요.
- 끝까지 읽으면 얻는 것: 법무팀이 AI 서비스 계약 검토 시 반드시 짚어야 할 핵심 조항과 Teeem AI의 거버넌스 구조를 함께 확인하실 수 있습니다.
AI 서비스 약관, 왜 일반 SaaS 계약과 다르게 봐야 할까요?
AI 서비스 이용약관은 일반 소프트웨어 라이선스와 달리 '입력 데이터의 처리 방식'과 '모델 학습 활용 여부'가 핵심 리스크 변수입니다. 이 두 가지가 일반 SaaS 약관과 AI 약관을 구분하는 결정적 차이입니다.
일반 SaaS 계약에서 데이터 처리는 서비스 제공 목적 내로 제한되는 경우가 대부분입니다. 반면 AI 서비스는 사용자 입력이 모델 개선·학습 데이터로 재활용될 수 있는 구조를 내포합니다. 계약서에 '서비스 개선 목적의 데이터 활용에 동의한다'는 단 한 문장이 직원들이 매일 입력하는 영업 데이터, 인사 정보, 고객 기록을 외부 모델 학습에 제공하는 법적 근거가 될 수 있습니다. 의사결정권자가 이 차이를 직접 인식하지 않으면, 검토 위임 단계에서 이미 위험이 시작됩니다.
더 중요한 것은 이 조항들이 대부분 표준 약관 형식으로 제공된다는 점입니다. IT 구매팀이나 운영팀이 관행적으로 검토 없이 체크박스를 클릭하는 경우, 법무팀은 기업이 이미 어떤 약관에 동의했는지조차 파악하지 못한 상황에 처할 수 있습니다. AI 서비스 도입 결정이 내려지는 시점부터 법무팀이 약관 검토 프로세스에 포함되어야 하는 이유가 여기에 있습니다.
계약서에 서명하고 6개월 후, 직원 데이터는 어디에 있습니까
AI 도입 초기에 가장 자주 간과되는 조항은 '데이터 잔존 기간'과 '학습 활용 옵트아웃 조건'입니다. 상당수 기업이 서비스 해지 시 데이터가 즉시 삭제된다고 가정하지만, 많은 경우 약관은 '익명화 후 모델 성능 유지를 위해 일정 기간 보유할 수 있다'는 조항을 포함합니다. 이 경우 직원이 입력한 내부 전략 문서나 고객 정보가 서비스 해지 후에도 벤더 서버에 잔존할 수 있습니다.
법무팀이 확인해야 할 핵심 질문은 다음과 같습니다:
- 입력 데이터의 소유권은 계약 종료 후에도 기업에게 귀속되는가?
- 데이터 삭제 요청 시 처리 기한과 확인 방법이 명시되어 있는가?
- 학습 활용 옵트아웃이 가능하며, 그 절차가 명확한가?
- 서브프로세서(하청 처리자) 목록이 공개되어 있으며, 변경 시 사전 통보 의무가 있는가?
계약 종료 후 데이터 삭제 확인서(Deletion Certificate) 발급 여부도 반드시 협상 항목으로 요구해야 합니다. 특히 금융·의료 업종처럼 데이터 보존 의무와 파기 의무가 동시에 적용되는 환경에서는, 벤더의 데이터 잔존 관행이 규제 위반으로 직결될 수 있습니다.
데이터 학습 조항, '묵시적 동의'를 명시적 통제로 바꿔야 합니다
옵트인(opt-in)과 옵트아웃(opt-out)의 차이는 계약서 한 줄에서 갈립니다. 학습 활용 조항이 '기본 허용 후 거절 가능' 구조라면, 실무 담당자가 옵트아웃 절차를 밟지 않는 한 데이터는 이미 활용되고 있는 상태입니다. 법무팀이 계약 협상 단계에서 반드시 요구해야 할 것은 '기본 비허용, 명시적 동의 후 허용' 구조입니다.
협상 가능한 조항으로 분리해야 할 항목을 아래 표로 정리했습니다:
| 조항 유형 | 기업에 불리한 형태 | 요구해야 할 형태 |
|---|---|---|
| 학습 데이터 활용 | 기본 허용 (옵트아웃) | 기본 거절 (옵트인) |
| 데이터 삭제 기한 | '합리적 기간 내' | 구체적 일수 명시 |
| 서브프로세서 변경 | 사후 통보 | 사전 동의 요건 |
| 법적 분쟁 관할 | 벤더 소재지 법원 | 기업 소재지 또는 국제 중재 |
일반적으로 표준 이용약관은 벤더에게 유리한 방향으로 설계되는 경우가 많다는 점을 고려하여, 협상 단계에서 각 항목을 개별 어젠다로 명시적으로 올려놓아야 합니다. 계약 후 분쟁 발생 시 '이 조항이 그런 뜻인 줄 몰랐다'는 상황을 방지하는 가장 효과적인 수단이 바로 협상 단계의 명시적 확인입니다.
AI가 잘못된 결과를 내놓으면 책임은 누구에게 있습니까
AI 오류로 인한 손해 책임 소재는 일반적으로 벤더에게 유리하게 설계된 약관 조항 내에서 처리되는 경우가 많습니다. 많은 AI 서비스 약관이 'AI 출력 결과는 참고용이며, 이를 기반으로 한 의사결정의 책임은 사용자에게 있다'는 면책 조항을 포함합니다. 이 조항 하나로 AI가 잘못된 재무 예측, 법률 해석, 인사 판단을 제시해 기업이 손실을 입더라도 벤더는 법적 책임을 회피할 수 있습니다.
의사결정권자가 짚어야 할 질문은 명확합니다. AI 서비스가 우리 조직의 핵심 의사결정 워크플로우에 통합된다면, 오류 발생 시 손해 입증과 배상 청구의 경로가 약관에 명확히 정의되어 있는가? 약관상 책임 한계액(liability cap)이 실제 잠재 손해 규모 대비 터무니없이 낮게 설정되어 있지는 않은가? AI를 채용 심사, 대출 승인, 계약 검토 등 고위험 의사결정 영역에 활용할 계획이라면, 이 질문에 명확히 답할 수 없는 약관에는 서명하지 않아야 합니다.
책임 한계 조항과 DPA는 협상 테이블 위에 올려야 합니다
엔터프라이즈 계약에서 표준 약관은 협상의 시작점일 뿐, 최종 합의 문서가 아닙니다. SLA, 업타임 보장, 오류 발생 시 크레딧 조건, 데이터 침해 통보 기한은 개별 협상 항목으로 분리해 요구하는 것이 가능합니다. 중요한 것은 법무팀이 IT 구매팀과 협력해 계약 체결 전 이 항목들을 협상 어젠다로 명시적으로 올려놓는 것입니다.
AI 서비스 벤더가 GDPR, 개인정보보호법, ISO 27001 인증을 보유하고 있다고 해서 기업의 규제 준수 의무가 자동으로 충족되는 것은 아닙니다. 데이터 처리자(Data Processor)로서 벤더의 계약상 의무가 있더라도, 데이터 컨트롤러(Data Controller)로서의 최종 책임은 기업에게 귀속됩니다. 데이터 처리 계약(DPA, Data Processing Agreement) 체결 여부와 그 내용을 반드시 별도로 검토하셔야 합니다.
DPA에는 벤더가 사용하는 서브프로세서 전체 목록과 각 서브프로세서의 데이터 처리 목적, 소재지, 보안 인증 수준이 포함되어야 합니다. 특히 AI 서비스는 클라우드 인프라, 데이터 처리 파이프라인, 외부 모델 API 등 다수의 서브프로세서를 경유하는 경우가 많아, 최초 계약 시점에 이 목록을 확인하고 변경 시 사전 통보 조항을 명시적으로 포함해야 합니다.
거버넌스가 설계된 AI는 약관 검토 이전에 이미 다릅니다
Teeem AI(팀 AI)는 기업 AI 도입에서 발생하는 법무·보안 리스크를 구조적으로 낮추도록 설계된 플랫폼입니다. 법무팀이 가장 먼저 확인하는 '데이터 학습 활용 여부'부터 다릅니다. Teeem AI는 조직이 입력한 데이터를 외부 모델 학습에 활용하지 않으며, Workspace 내 모든 데이터는 조직 소유로 명확하게 귀속됩니다.
Teeem AI의 Skills 거버넌스 가이드는 조직 내 AI 사용 규칙과 접근 권한을 역할 기반(RBAC)으로 설정할 수 있게 합니다. 누가, 어떤 AI 기능을, 어떤 데이터 범위 내에서 사용할 수 있는지를 정의할 수 있으며, PII 필터링 구조와 감사 로그(Audit Log)는 규제 기관 요청 시 즉각적인 증빙 자료로 활용할 수 있습니다. SSO(SAML/OIDC)와 온프레미스·에어갭 환경 지원은 금융·의료·공공 등 고규제 업종에서 외부 클라우드 의존 없이 사내 AI를 도입할 수 있는 경로를 열어줍니다. AI 서비스 약관 검토의 핵심이 '벤더를 얼마나 믿을 수 있는가'라면, 거버넌스가 구조화된 AI는 그 신뢰를 계약서가 아닌 기술 아키텍처로 뒷받침합니다.
Teeem AI는 FlowOS가 운영하는 팀 협업용 AI 에이전트입니다. Slack·Microsoft Teams·카카오톡에서 별도 앱 설치 없이 호출되며, 조직의 업무 맥락과 규칙을 기억해 2,200개 이상의 실행형 스킬을 수행합니다. Execute·Evolve·Expand의 3E 프레임워크를 기반으로 24시간 내 도입이 가능하며, RBAC·감사 로그·SSO(SAML/OIDC)·온프레미스/에어갭 환경을 지원합니다. (2026년 4월 한·일 동시 정식 출시)
AI 서비스 도입 전 거버넌스 설계가 막막하신가요? Teeem AI 1:1 도입 컨설팅으로 법무팀이 확인해야 할 체크포인트를 지금 함께 살펴보세요. intake.teeem-ai.com/ko