작성일: 2026년 10월 9일 · 최종 검증일: 2026년 10월 9일
작성 기준: 개인정보 보호법, 클라우드 보안인증(CSAP) 등급제 관련 공개 자료, AI 서비스 제공사 공개 데이터 정책, 자사 상담회·회의 통역 운영 경험
이해관계 공개: 저희는 AI 통역·기록 서비스 아네스노트를 만드는 팀제로코드입니다. 이 글의 체크리스트는 저희 서비스를 포함한 모든 AI 통역 도구에 똑같이 적용하도록 만들었습니다.
유의 사항: 이 글은 법률 자문이 아닙니다. 보관 기간·평가 기준·일정 예시는 자사 운영 경험에 기반한 출발점입니다. 법령 해석과 적용은 기관·기업의 개인정보 보호책임자, 보안 담당 부서, 법무 검토를 거쳐 확정하세요.
“다음 주 해외 파트너와 기술 이전 조건을 협상하는데, AI 통역 써도 괜찮을까요? 상담 내용이 어디 저장되는지 모르겠어요.”
AI 통역 도입을 검토하는 기업과 기관에서 가장 많이 받는 질문입니다. 결론부터 말하면 기밀 상담에 AI 통역을 쓸 수 있는지는 “AI냐 사람이냐”가 아니라 ① 음성과 텍스트가 어디에, 얼마나 오래 저장되는지 ② AI 모델 학습에 쓰이는지 ③ 어느 나라 서버를 거치는지 ④ 누가 접근할 수 있는지 ⑤ 계약서에 무엇이 적혀 있는지로 판단합니다. 같은 AI 통역이라도 개인용 무료 앱과 기업용 계약 서비스는 이 다섯 가지 답이 완전히 다릅니다.
이 글은 수출상담회·해외 바이어 미팅·투자 협상·공공기관 회의에서 AI 통역 도입을 검토하는 담당자를 위해 썼습니다.
판단 흐름도, 데이터 흐름, 상담 기밀 등급, 법령, 공급사 질문 30가지와 평가 점수표, 처리방침·동의서 문구, 위탁 계약 체크, 데이터별 보관 기간, 내부 결재용 보안 검토서 양식, 상황별 설정, 현장 수칙, 사고 대응까지 담당자가 그대로 쓸 수 있는 양식 위주로 정리했습니다.
📍 이 글에서 바로 찾기
지금 당장 써도 되는지 판단하려면: 5문항 판단 흐름 → 상담 기밀 등급표
공급사를 검증하려면: 질문 30가지 → 평가 점수표 → 좋은 답·주의할 답
문서를 만들어야 한다면: 처리방침 공개 예시 → 동의서 문구 → 위탁 계약 체크 → 보안 검토서 양식
공공기관이라면: 법령 체크 → CSAP·국외 이전 → 보관 기간
현장에서 바로 쓰려면: 상황별 권장 설정 → 기기 점검 → 상담 전·중·후 수칙 → 고지 문구
⏱️ 3분 요약
개인용 무료 앱과 기업용 서비스는 데이터 정책이 다르다. 같은 회사의 AI라도 소비자용 서비스와 API·기업 계약은 학습 사용 여부와 보관 기간이 다르게 정해져 있는 경우가 많다.
데이터는 5단계를 흐른다. 음성 수집 → 전송 → 음성 인식 → 번역 → 기록 저장. 단계마다 “저장되는가, 학습되는가, 어디서 처리되는가”를 따로 확인해야 한다.
상담마다 기밀 등급을 먼저 정한다. 일반 상담은 기업용 AI 통역으로 충분하고, 영업비밀 상담은 기록 저장을 끄거나 핵심 수치를 서면으로 처리하고, 국가 안보·보안 등급 회의는 AI 통역을 쓰지 않는다.
공급사는 필수 항목으로 걸러내고 점수로 비교한다. 학습 미사용·처리 국가 공개·삭제 절차·위탁 계약 중 하나라도 답하지 못하면 탈락시킨다.
해외 서버를 거치면 국외 이전 근거와 고지를 갖춘다. 개인정보 보호법 제28조의8에 따라 별도 동의를 받거나, 계약 이행을 위한 처리위탁·보관이라면 처리방침에 필요한 사항을 공개한다.
데이터마다 보관 기간을 정한다. 음성, 원문 텍스트, 상담일지, 참석자 연락처는 보관 목적이 다르므로 기간도 따로 정한다.
내부 결재는 1장짜리 보안 검토서로 끝낸다. 처리 데이터·위치·위험·통제·잔여 위험을 한 장에 정리하면 보안 부서 승인이 빨라진다.
🧭 지금 써도 될까? 5문항 판단 흐름
상담 직전에 판단해야 한다면 아래 다섯 질문에 순서대로 답하세요. 하나라도 “아니요”가 나오면 그 칸의 조치를 먼저 해결합니다.
순서 | 질문 | “아니요”라면 |
|---|---|---|
1 | 이 상담이 국가 안보·방산·보안 등급 정보를 다루지 않나요? | AI 통역을 쓰지 말고 보안 서약한 사람 통역사를 쓴다 |
2 | 회사(기관)가 계약한 서비스를 회사 기기·조직 계정으로 쓰나요? | 개인 무료 앱 사용을 중단하고 계약 서비스로 바꾼다 |
3 | 공급사에서 학습 미사용·보관 기간·처리 국가를 서면으로 받았나요? | 질문 30가지 중 필수 항목을 먼저 받는다. 시간이 없으면 기록 저장을 끄고 통역만 쓴다 |
4 | 상대방에게 AI 통역·기록 사용을 알렸나요? | 상담 시작 전 구두로 고지하고 동의를 받는다 |
5 | 가격·물량·기술 수치처럼 유출 시 피해가 큰 정보가 오가나요? | “예”라면 해당 수치는 서면으로 처리하고, 상담 후 기록을 즉시 삭제한다 |
🔄 AI 통역에서 데이터는 어디로 흐르나요?
AI 통역은 하나의 기능처럼 보이지만, 실제로는 여러 단계와 여러 업체를 거칩니다. 공급사가 “안전합니다”라고 말해도, 단계별로 나눠 물어보지 않으면 실제로 어디에 무엇이 남는지 알 수 없습니다.
단계 | 무엇이 일어나나 | 위험 지점 | 확인할 질문 |
|---|---|---|---|
① 음성 수집 | 마이크·스마트폰·노트북으로 대화 음성을 받음 | 개인 기기 사용, 기기 분실, 녹음 파일이 기기에 남음 | 음성이 기기에 저장되나? 앱 권한은? |
② 전송 | 음성을 서버로 보냄 | 암호화되지 않은 전송, 공용 와이파이 | 전송 구간 암호화(TLS)를 쓰나? |
③ 음성 인식(STT) | 음성을 텍스트로 변환 | 외부 음성 인식 엔진 업체에 음성이 넘어감 | 어느 업체·어느 국가 서버에서 처리하나? 음성을 보관하나? |
④ 번역 | 텍스트를 상대 언어로 번역 | 외부 번역·생성형 AI 엔진에 원문이 넘어감, 학습 사용 | 번역 엔진 업체는 입력을 학습에 쓰나? 보관 기간은? |
⑤ 기록·요약 저장 | 원문·번역문, 요약, 상담일지를 저장 | 장기 보관, 내부 직원 접근, 다른 고객 데이터와 혼재 | 어디에 언제까지 저장되나? 누가 볼 수 있나? 삭제는 어떻게? |
대부분의 AI 통역 서비스는 ③과 ④에 외부 AI 엔진을 씁니다. 그래서 공급사 자체의 정책뿐 아니라 공급사가 쓰는 하위 처리자(외부 엔진 업체)의 정책까지 확인해야 합니다. 이것이 체크리스트에서 가장 자주 빠지는 부분입니다.
개인용 앱과 기업용 서비스는 무엇이 다른가요?
AI 제공사들은 소비자용 서비스와 기업·API 서비스의 데이터 정책을 다르게 운영하는 경우가 많습니다. 예를 들어 OpenAI는 API로 받은 입력·출력을 모델 학습에 쓰지 않고, 부정 사용 탐지를 위해 최대 30일 보관할 수 있으며, 조건을 충족하면 무보관(Zero Data Retention)을 신청할 수 있다고 공개하고 있습니다.
반면 소비자용 서비스의 대화 내용은 설정에 따라 서비스 개선에 쓰일 수 있습니다. 다른 제공사들도 무료 이용분과 유료·기업 이용분의 정책을 구분하는 경우가 있으니, 쓰려는 서비스의 약관을 직접 확인하세요.
구분 | 개인용 무료 통역·번역 앱 | 기업용 AI 통역 서비스 |
|---|---|---|
계약 주체 | 개인 이용약관에 동의 | 기업·기관과 서면 계약 |
학습 사용 | 서비스 개선에 쓰일 수 있음(설정·약관에 따라) | 학습 미사용을 계약으로 정할 수 있음 |
보관 기간 | 약관에 따름, 통제 어려움 | 보관 기간·삭제 절차를 협의 가능 |
처리 위치 | 대부분 해외, 확인 어려움 | 처리 국가·하위 처리자 목록 요구 가능 |
접근 관리 | 개인 계정 | 조직 계정, 권한 관리, 접근 기록 |
사고 책임 | 개인 이용자 책임에 가까움 | 계약상 통지·배상 조항 |
실제 사고는 대부분 “개인 앱을 업무에 쓰는 것”에서 시작됩니다. 2023년 삼성전자 반도체 부문에서 직원들이 업무 정보를 생성형 AI 서비스에 입력한 사례가 알려진 뒤, 사내 생성형 AI 사용을 제한한 일이 대표적입니다.
통역도 같습니다. 직원 개인 휴대폰의 무료 통역 앱으로 바이어 협상을 통역하면, 그 내용은 회사가 통제할 수 없는 곳에 남습니다.
🚦 상담 기밀 등급별로 어떻게 쓰나요?
모든 상담을 같은 기준으로 다룰 필요는 없습니다. 상담을 시작하기 전에 기밀 등급을 정하고, 등급에 맞는 통역 방식을 고르세요.
등급 | 상담 예시 | 권장 통역 방식 | 추가 조치 |
|---|---|---|---|
1등급 공개 | 전시회 부스 제품 소개, 공개 세미나 Q&A | 기업용 AI 통역 자유롭게 사용 | 기록 보관 기간만 확인 |
2등급 일반 업무 | 수출상담회 첫 미팅, 일반 바이어 상담, 견적 문의 | 기업용 AI 통역 + 기록 저장 | 참석자 고지, 처리 위치·학습 미사용 확인 |
3등급 영업비밀 | 가격 협상, 계약 조건, 기술 사양·공정, 투자 조건 | 기업용 AI 통역 + 기록 저장 끄기 또는 즉시 삭제, 핵심 수치는 서면 | 계약서에 학습 미사용·보관 기간 명시, 참석자 최소화 |
4등급 보안·안보 | 국가 핵심기술, 방산, 보안 등급 문서가 오가는 회의 | AI 통역 미사용, 보안 서약한 사람 통역사 | 기관 보안 규정에 따름 |
3등급에서 “핵심 수치는 서면”이란, 단가·물량·기술 파라미터처럼 유출 시 피해가 큰 숫자는 말로 하지 않고 종이나 화면에 적어 보여주는 방식입니다. 통역이 필요한 맥락은 AI 통역으로 처리하고, 가장 민감한 숫자만 음성 데이터에서 빼는 현실적인 절충입니다.
상황별 권장 설정
상황 | 보통 등급 | 권장 설정 |
|---|---|---|
수출상담회 1:1 바이어 첫 미팅 | 2등급 | AI 통역 + 기록 저장, 신청 단계에서 고지·동의, 상담일지로 후속 관리 |
바이어와 단가·물량 재협상 | 3등급 | AI 통역, 기록 저장 끄기 또는 상담 직후 삭제, 단가표는 서면 제시 |
투자사 IR·투자 조건 협의 | 3등급 | IR 발표는 기록 가능, 밸류에이션·조건 협의 구간은 기록 중단 |
기술 라이선스·공동개발 협의 | 3~4등급 | 기술 사양 논의 전에 보안 부서 확인, 국가 핵심기술이면 AI 통역 미사용 |
공공기관 주관 상담회 | 2등급 | 기관 요구 인증 확인, 참가자 개인정보 입력 범위 최소화, 기관 보관 규정 적용 |
해외 파트너 화상 회의 | 2~3등급 | 화상 회의 녹화·AI 기록 기능이 동시에 켜졌는지 확인, 회의 초대장에 고지 |
⚖️ 확인해야 할 법령·규정
규정 | AI 통역과의 관계 | 실무 확인 사항 |
|---|---|---|
개인정보 보호법 — 처리위탁 | 통역 공급사가 참석자 이름·연락처·음성을 처리하면 개인정보 처리위탁에 해당할 수 있음 | 위탁 계약 문서 작성, 처리방침에 수탁자 공개, 재위탁(하위 처리자) 관리 |
개인정보 보호법 제28조의8 — 국외 이전 | 음성·텍스트가 해외 서버에서 처리·보관되면 국외 이전에 해당할 수 있음 | 이전 근거(별도 동의, 계약 이행을 위한 처리위탁·보관 시 처리방침 공개 등) 확인, 이전 국가·항목·업체 고지 |
통신비밀보호법 — 녹음 | 대화 당사자가 아닌 제3자의 녹음은 위법 소지가 있음 | 통역·기록 기기를 대화 당사자가 운영하는지, 참석자 고지를 했는지 확인 |
부정경쟁방지법 — 영업비밀 | 영업비밀로 보호받으려면 비밀로 관리되어야 함 | 통제되지 않는 무료 앱에 핵심 정보를 넣는 관행은 비밀 관리 측면에서 불리할 수 있음 |
클라우드 보안인증(CSAP) | 공공기관이 클라우드 서비스를 이용할 때 요구되는 인증 | 기관 시스템 중요도(상·중·하)에 맞는 등급 보유 여부 |
상대방 국가의 법 | 해외 바이어의 개인정보·녹음 관련 법이 함께 문제 될 수 있음 | EU 바이어는 GDPR, 미국은 주마다 녹음 동의 요건이 다름 → 고지·동의를 기본값으로 |
기관·기업 내부 보안 규정 | 생성형 AI 사용 제한, 외부 서비스 반입 규정 | 보안 부서 사전 승인 필요 여부 |
해외 서버를 거치면 무엇을 해야 하나요?
개인정보 보호법 제28조의8은 개인정보를 국외로 제공·처리위탁·보관하는 것을 원칙적으로 금지하면서, 예외로 정보주체의 별도 동의를 받은 경우, 정보주체와의 계약 체결·이행을 위해 처리위탁·보관이 필요한 경우로서 필요한 사항을 개인정보 처리방침에 공개하거나 알린 경우, 이전받는 자가 보호위원회가 고시한 인증을 받은 경우 등을 두고 있습니다.
별도 동의를 받을 때는 이전되는 항목, 이전 국가·시기·방법, 이전받는 자의 명칭과 연락처, 이용 목적과 보유 기간, 거부 방법과 거부의 효과를 미리 알려야 합니다.
실무에서는 다음 순서로 확인하세요.
공급사에서 처리 국가와 하위 처리자 목록을 받는다.
우리 상담에서 어떤 개인정보(참석자 이름, 직함, 연락처, 목소리, 대화 속 개인정보)가 넘어가는지 정리한다.
어떤 이전 근거를 쓸지 개인정보 보호책임자와 정한다.
참가 신청서나 상담 안내에 이전 사항을 고지하거나 동의를 받는다.
처리방침에 공개할 국외 이전 항목 — 작성 예시
아래는 형식 예시입니다. 실제 업체명·국가·항목은 공급사에서 받은 하위 처리자 목록으로 채우세요.
이전받는 자(연락처) | 이전 국가 | 이전 항목 | 이전 시기·방법 | 이용 목적 | 보유·이용 기간 |
|---|---|---|---|---|---|
○○ AI 통역 공급사(privacy@○○) | 대한민국 | 참석자 이름·소속·직함, 상담 음성, 통역 텍스트 | 상담 진행 시 네트워크로 전송 | 실시간 통역·상담일지 작성 | 음성 즉시 파기, 텍스트 위탁 계약 종료 시 |
○○ 음성 인식 엔진사(연락처) | ○○국 | 상담 음성 | 통역 중 실시간 전송 | 음성의 텍스트 변환 | 처리 후 ○일 이내 파기 |
○○ 클라우드(연락처) | ○○국(리전명) | 통역 텍스트, 상담일지 | 서비스 이용 시 저장 | 데이터 보관 | 위탁 계약 종료 시 |
정보주체가 국외 이전을 거부할 수 있는 방법(예: 상담 시 AI 통역·기록 미사용 요청)과 거부 시 효과(사람 통역 또는 통역 없이 진행)도 함께 적습니다.
참가 신청서에 넣는 별도 동의 문구 예시
[선택] 개인정보 국외 이전 동의
○ 이전 항목: 이름, 소속, 직함, 상담 음성, 상담 내용 텍스트
○ 이전 국가·이전받는 자: ○○국 / ○○(연락처)
○ 이전 시기·방법: 상담 진행 중 네트워크를 통한 실시간 전송
○ 이용 목적: AI 실시간 통역 및 상담일지 작성
○ 보유·이용 기간: 음성은 처리 후 즉시 파기, 텍스트는 ○○까지 보관 후 파기
○ 거부 방법과 효과: 동의하지 않으셔도 상담회에 참가할 수 있으며, 이 경우 AI 통역·기록 없이 상담이 진행됩니다.
□ 동의함 □ 동의하지 않음
상담회 신청서 전체의 동의 설계는 상담회 참가 신청서·모집 공고 작성법에서, 녹음 관련 법적 쟁점은 화상 상담 녹음·AI 회의록의 법적 쟁점에서 자세히 다뤘습니다.
공공기관은 CSAP를 어떻게 확인하나요?
클라우드 보안인증(CSAP)은 공공기관 시스템의 중요도에 따라 상·중·하 등급으로 나뉩니다. 공개 보도에 따르면 상 등급은 국가 안보·외교 등 행정 내부 핵심 시스템, 중 등급은 민감정보를 처리하는 공공 시스템, 하 등급은 개인정보를 포함하지 않는 공개 데이터 처리 시스템을 대상으로 하며, 하 등급에 한해 물리적 분리 대신 논리적 분리가 허용됩니다.
또한 등급제 개편 과정에서 클라우드 시스템과 데이터의 물리적 위치를 국내로 한정하는 평가 항목이 추가되었습니다.
참가자 이름·연락처가 들어가는 상담회 통역·기록은 개인정보를 처리하므로, 기관 보안 부서가 어느 등급을 요구하는지 먼저 확인하세요. CSAP가 없는 서비스를 써야 한다면, 개인정보를 넣지 않는 방식(참석자 정보 입력 차단, 기록 미저장)으로 범위를 줄일 수 있는지 함께 검토합니다.
✅ 공급사에 물어볼 질문 30가지
아래 질문을 보안 검토 요청서로 그대로 보내 서면 답변을 받으세요. 말로 들은 답은 계약서에 남지 않습니다. ★ 표시는 하나라도 답하지 못하면 탈락시키는 필수 항목입니다.
A. 저장·보관 (6)
★ 통역 중 음성 데이터를 저장합니까? 저장한다면 어디에, 얼마나 오래?
★ 원문·번역문 텍스트를 저장합니까? 보관 기간은?
요약·상담일지 같은 파생 데이터는 언제 삭제됩니까?
★ 이용자가 즉시 삭제를 요청할 수 있습니까? 삭제 확인서를 줍니까?
백업본에 남은 데이터는 언제 삭제됩니까?
기록 저장을 끄고 통역만 쓰는 모드가 있습니까?
B. 학습 사용 (4)
★ 우리 데이터를 귀사 AI 모델 학습이나 성능 개선에 씁니까?
★ 귀사가 쓰는 외부 AI 엔진 업체는 우리 데이터를 학습에 씁니까? 근거 문서는?
품질 개선을 위해 직원이 대화 내용을 검수합니까?
학습 미사용을 계약서에 명시할 수 있습니까?
C. 처리 위치·하위 처리자 (5)
★ 음성 인식·번역·저장은 각각 어느 국가 서버에서 이뤄집니까?
★ 하위 처리자(외부 AI 엔진, 클라우드, 문자 발송 업체 등) 목록을 줄 수 있습니까?
하위 처리자가 바뀌면 사전에 통지합니까?
국내 서버에서만 처리하는 옵션이 있습니까?
국외 이전 시 개인정보 처리방침에 공개된 내용과 실제가 일치합니까?
D. 접근 통제 (5)
귀사 직원 중 누가 고객 데이터에 접근할 수 있습니까?
접근 기록을 남기고, 고객이 요청하면 제공합니까?
조직 계정에서 사용자별 권한을 나눌 수 있습니까?
다른 고객 데이터와 어떻게 분리됩니까?
퇴사자·외부 협력사 계정은 어떻게 관리합니까?
E. 보안 인증·기술 조치 (5)
보유한 보안 인증은 무엇입니까? (예: CSAP, ISMS-P, ISO/IEC 27001, CSA STAR)
★ 전송 구간과 저장 데이터를 암호화합니까?
최근 외부 보안 점검이나 모의 해킹을 받았습니까?
현장 기기(노트북·태블릿)에 데이터가 남지 않게 하는 조치가 있습니까?
공공기관 요구 등급의 인증이 없다면 대안(국내 리전, 개인정보 미입력 운영)이 있습니까?
F. 계약·사고 대응 (5)
★ 개인정보 처리위탁 계약서를 제공합니까?
유출 사고 발생 시 몇 시간 안에 고객에게 알립니까?
사고 시 원인 분석 자료와 조치 결과를 제공합니까?
계약 종료 시 데이터 반환·파기 절차는 어떻게 됩니까?
법원·수사기관 등 제3자의 데이터 요청이 오면 고객에게 알립니까?
공급사 평가 점수표 — 2단계로 판정하세요
1단계 필수 항목(통과/탈락): ★ 표시 10개 질문에 서면으로 구체적인 답을 받았는지 확인합니다. 하나라도 “확인 불가”, “공개 불가”라면 기밀 상담용으로는 탈락입니다. 1~2등급 상담 용도로만 제한해 쓸지 판단하세요.
2단계 비교 점수(100점): 필수 항목을 통과한 공급사끼리 아래 기준으로 비교합니다.
영역 | 배점 | 만점 기준 예시 |
|---|---|---|
저장·보관 통제 | 20 | 음성 미저장, 기록 저장 끄기 모드, 삭제 확인서, 백업 파기 기한 명시 |
학습 미사용 | 20 | 자사·하위 처리자 모두 학습 미사용, 근거 약관 첨부, 계약서 명시 가능 |
처리 위치 투명성 | 15 | 단계별 처리 국가·업체 공개, 변경 사전 통지, 국내 처리 옵션 |
접근 통제 | 15 | 권한 분리, 접근 기록 제공, 고객별 데이터 분리 |
보안 인증·점검 | 15 | 기관이 요구하는 인증 보유, 최근 외부 점검 결과 제시 |
계약·사고 대응 | 15 | 위탁 계약서 제공, 통지 기한 명시, 파기·반환 절차, 제3자 요청 통지 |
3등급 영업비밀 상담에 쓰려면 80점 이상, 2등급 일반 상담은 60점 이상을 출발점으로 잡고 기관 기준에 맞게 조정하세요.
답변을 읽는 법 — 좋은 답과 주의할 답
질문 | 좋은 답 | 주의할 답 |
|---|---|---|
음성을 저장하나요? | “실시간 처리 후 즉시 삭제합니다. 저장 옵션은 고객이 켤 때만 작동합니다.” | “안전하게 보관합니다.” (기간·위치 없음) |
학습에 쓰나요? | “자사와 외부 엔진 모두 학습에 쓰지 않으며, 엔진 업체 약관 조항을 첨부합니다.” | “저희는 학습하지 않습니다.” (외부 엔진 언급 없음) |
어느 국가에서 처리하나요? | 단계별 처리 국가와 업체명을 표로 제시 | “글로벌 클라우드를 씁니다.” |
삭제 요청은요? | “요청 후 ○일 내 삭제하고 확인서를 드립니다.” | “계정을 탈퇴하시면 됩니다.” |
보안 인증은요? | 인증명·범위·유효 기간과 인증서 사본 제시 | “대기업 고객이 쓰고 있습니다.” |
사고가 나면요? | 통지 기한·연락 체계·보고 항목을 계약서에 명시 | “사고가 난 적이 없습니다.” |
📑 계약서·부속 합의서에 넣을 조항
개인정보 처리위탁 계약서 필수 내용 확인
개인정보 보호법은 처리위탁 시 문서로 정할 사항을 두고 있습니다. 공급사가 준 계약서 초안에 아래 항목이 모두 있는지 확인하세요.
위탁업무 수행 목적 외 개인정보 처리 금지
개인정보의 기술적·관리적 보호조치
위탁업무의 목적과 범위
재위탁 제한
개인정보 접근 제한 등 안전성 확보 조치
위탁자의 관리·감독(처리 현황 점검)
수탁자가 의무를 위반한 경우의 손해배상 등 책임
AI 통역에 특화해 추가할 조항
조항 | 넣을 내용 예시 |
|---|---|
목적 외 이용 금지 | “수탁자는 통역·기록 서비스 제공 목적 외에 고객 데이터를 이용하지 않으며, 수탁자 및 하위 처리자의 AI 모델 학습·성능 개선에 이용하지 않는다.” |
보관·파기 | “음성 데이터는 실시간 처리 후 즉시 파기하고, 텍스트·파생 데이터는 고객 요청 시 ○일 이내 파기하며 파기 확인서를 제출한다.” |
처리 위치·하위 처리자 | “데이터 처리 국가와 하위 처리자 목록을 별첨하며, 변경 시 ○일 전 서면 통지한다.” |
접근 통제 | “고객 데이터 접근 권한자를 최소화하고 접근 기록을 ○년간 보관하며, 고객 요청 시 제공한다.” |
보안 조치 | “전송 구간 및 저장 데이터를 암호화하고, 보안 인증을 계약 기간 동안 유지한다.” |
사고 통지 | “개인정보 유출 등 보안 사고를 인지한 경우 지체 없이(○시간 이내) 고객에게 통지하고, 원인·영향·조치 결과를 보고한다.” |
재위탁 | “업무를 재위탁하는 경우 고객의 사전 동의를 받고, 재수탁자에게 동일한 의무를 부과한다.” |
계약 종료 | “계약 종료 시 고객 데이터를 반환 또는 파기하고 확인서를 제출한다.” |
🗂️ 데이터별 보관 기간 — 얼마나 남길까?
“전부 보관”이나 “전부 삭제”가 아니라, 데이터마다 목적을 정하고 그 목적이 끝나면 지웁니다. 아래는 출발점이며, 공공기관은 기관의 기록물 관리 규정을 먼저 확인하세요.
데이터 | 보관 목적 | 권장 출발점 | 주의할 점 |
|---|---|---|---|
상담 음성 | 통역 처리 | 저장하지 않음(실시간 처리 후 파기) | 품질 검수 목적 저장은 별도 동의가 있을 때만 |
원문·번역문 전체 텍스트 | 상담일지 작성, 내용 확인 | 상담일지 확정 후 30일 이내 파기 또는 후속 협상 종료 시 | 3등급 상담은 상담 직후 파기 |
상담일지(요약) | 후속 관리, 결과보고 | 사업 결과보고·정산 완료 후 기관 규정 기간 | 외부 공유본은 개인정보 가림 |
참석자 연락처 | 안내·후속 연락 | 사업 종료 후 파기(후속 연락 동의자는 동의 범위 내) | 마케팅 활용은 별도 동의 |
접근·처리 기록(로그) | 사고 대응·감사 | 기관 보안 규정 기간 | 로그에 대화 내용이 남지 않게 설정 |
🧾 내부 결재용 보안 검토서 — 1장 양식
보안 부서나 결재권자에게 올릴 때 아래 항목을 채워 한 장으로 정리하면 승인이 빨라집니다.
[AI 통역 서비스 이용 보안 검토서]
1. 이용 목적: ○○ 상담회 해외 바이어 상담 통역 및 상담일지 작성
2. 서비스·공급사: ○○ / 계약 형태(기업 계약, 기간)
3. 처리 데이터: 참석자 이름·소속·직함, 상담 음성, 통역 텍스트, 상담일지
4. 처리 위치: 음성 인식 ○○국, 번역 ○○국, 저장 ○○국(하위 처리자 목록 별첨)
5. 상담 기밀 등급: 2등급(일부 3등급 상담은 기록 저장 끔)
6. 공급사 평가: 필수 항목 10개 통과, 비교 점수 ○○점
7. 주요 위험: 국외 이전, 하위 처리자 보관, 현장 기기 분실
8. 통제 조치: 신청 단계 고지·동의, 학습 미사용·파기 조항 계약 반영, 회사 기기·조직 계정 사용, 상담 후 파기
9. 잔여 위험과 수용 여부: ○○ (수용 / 추가 조치 필요)
10. 검토 의견: 개인정보 보호책임자 ○○, 보안 담당 ○○
누가 무엇을 하나요 — 역할 분담
역할 | 하는 일 |
|---|---|
사업 담당자 | 상담 기밀 등급 분류, 공급사 질의서 발송·회신 정리, 보안 검토서 작성, 현장 운영 |
보안 담당 | 공급사 평가 점수표 검토, 기기·네트워크 기준 확인, 사고 대응 주관 |
개인정보 보호책임자 | 국외 이전 근거 결정, 처리방침·동의서 문구 확정, 위탁 계약 검토 |
법무·계약 부서 | 위탁 계약서·특약 조항 반영, 손해배상·통지 조항 검토 |
공급사 | 서면 답변·증빙 제출, 하위 처리자 변경 통지, 파기 확인서 제출 |
도입 일정 — 상담회 기준 거꾸로
시점 | 할 일 |
|---|---|
D-45 | 상담 기밀 등급 분류, 공급사에 질문 30가지 발송 |
D-30 | 서면 답변 회신, 평가 점수표 작성, 보안 검토서 결재 |
D-21 | 위탁 계약·특약 체결, 처리방침·신청서 동의 문구 반영 |
D-7 | 현장 인력 교육(고지 문구·기록 끄기·사고 신고), 기기 점검 |
D-day | 고지·동의, 등급별 설정 적용 |
D+7 | 불필요 기록 파기, 상담일지 권한 설정 |
사업 종료 후 | 공급사 파기 요청, 파기 확인서 수령 |
🛡️ 현장 운영 수칙 — 상담 전·중·후
현장 기기 점검 (상담 전날)
회사 소유 기기인지, 운영체제·브라우저가 최신인지
화면 자동 잠금이 1~5분으로 설정되어 있는지
개인 클라우드 자동 동기화(사진·파일 백업)가 꺼져 있는지
불필요한 브라우저 확장 프로그램·원격 제어 프로그램이 없는지
통역 서비스에 개인 계정이 아닌 조직 계정으로 로그인했는지
마이크 권한이 통역 서비스에만 허용되어 있는지
전용 회선 또는 모바일 핫스팟 연결을 확인했는지
상담 전
상담 기밀 등급을 정하고, 등급에 맞는 통역 방식과 기록 저장 여부를 정한다.
회사가 계약한 서비스와 회사 기기·조직 계정만 쓴다. 개인 휴대폰의 무료 앱은 쓰지 않는다.
상대방에게 AI 통역·기록 사용을 미리 알린다(아래 고지 문구 참고).
통역 품질을 위해 용어집을 등록할 때도, 고객사 이름·코드명처럼 민감한 고유명사는 꼭 필요한 것만 넣는다.
상담 중
통역 화면이 주변 사람이나 다른 상담 테이블에서 보이지 않게 배치한다.
3등급 상담의 단가·물량·기술 수치는 말 대신 서면이나 화면으로 보여준다.
상대방이 기록 중단을 요청하면 즉시 멈추고, 멈춘 사실을 상대가 확인할 수 있게 한다.
자리를 비울 때는 기기 화면을 잠근다.
상담 후
필요 없는 기록은 바로 삭제하고, 보관할 기록은 접근 권한을 정해 회사 시스템에 옮긴다.
현장 기기에 남은 파일·캐시를 정리하고 로그아웃한다.
상담일지를 외부에 공유할 때는 연락처·개인정보 항목을 가린다.
계약 종료나 행사 종료 시 공급사에 파기를 요청하고 확인서를 받는다.
🗣️ 참석자 고지 문구 — 국문·영문
상담 안내 메일·신청서에 넣는 문구
“본 상담에서는 원활한 의사소통을 위해 AI 실시간 통역 서비스를 사용하며, 상담 내용은 상담일지 작성을 위해 텍스트로 기록됩니다. 음성은 통역 처리 후 저장하지 않으며, 텍스트 기록은 ○○ 목적으로 ○○까지 보관 후 파기합니다. 기록을 원하지 않으시면 상담 시작 전에 알려주세요.”
“This meeting will use an AI real-time interpretation service, and the conversation will be recorded as text to prepare meeting notes. Audio is not stored after interpretation, and the text record will be kept until [date] for [purpose] and then deleted. If you prefer not to be recorded, please let us know before the meeting begins.”
상담 시작 시 구두 고지
“오늘 상담은 AI 통역으로 진행하고, 내용은 상담일지로 기록됩니다. 괜찮으실까요?”
“We'll be using AI interpretation today, and the conversation will be noted for our meeting records. Is that all right with you?”
기록 중단 요청을 받았을 때
“네, 지금부터 기록은 멈추고 통역만 사용하겠습니다. 화면에서 기록이 꺼진 것을 확인해 주세요.”
“Of course. I've stopped the recording, and we'll use interpretation only from now on. You can see on the screen that recording is off.”
📋 사내 AI 통역 사용 가이드라인 양식
아래 표를 사내 규정 초안으로 쓰세요. 보안 부서 검토 후 직원 교육 자료로 배포하면 됩니다.
구분 | 내용 |
|---|---|
허용 | 회사가 계약한 AI 통역 서비스를 회사 기기·조직 계정으로 1~2등급 상담에 사용 |
조건부 허용 | 3등급 상담: 팀장 승인, 기록 저장 끄기 또는 상담 후 즉시 삭제, 핵심 수치 서면 처리 |
금지 | 개인 휴대폰의 무료 통역·번역 앱을 업무 상담에 사용, 4등급 회의에 AI 통역 사용, 고객사 기밀 문서를 통역 용어집·번역 도구에 그대로 입력 |
고지 의무 | 상담 시작 전 상대방에게 AI 통역·기록 사용을 알리고, 거부 시 기록 중단 |
기록 관리 | 데이터별 보관 기간 준수, 접근 권한 담당 부서 한정, 외부 공유 시 개인정보 가림 |
사고 신고 | 잘못된 서비스 사용·기기 분실·오발송 시 즉시 보안 담당에게 신고 |
점검 | 연 1회 공급사 보안 질의서 재확인, 하위 처리자 변경 확인 |
🚨 사고가 났을 때 — 대응 순서
상황 | 즉시 할 일 | 이어서 할 일 |
|---|---|---|
개인 무료 앱으로 기밀 상담을 통역함 | 앱의 대화 기록 삭제, 계정 설정에서 학습 사용 끄기, 보안 담당 신고 | 노출된 정보 범위 정리, 상대방 고지 필요 여부 판단 |
통역 기기 분실 | 계정 비밀번호 변경, 원격 로그아웃·기기 잠금 | 기기에 남은 기록 범위 확인, 필요 시 공급사에 접근 기록 요청 |
상담일지를 잘못된 수신자에게 보냄 | 수신자에게 삭제 요청, 발송 기록 보존 | 포함된 개인정보 확인, 정보주체 통지 필요 여부 판단 |
공급사 유출 통지를 받음 | 영향 범위·항목·기간을 공급사에 서면 요청 | 개인정보 보호책임자 주관으로 법령상 통지·신고 기한 확인 후 대응 |
개인정보 유출이 의심되면 법령이 정한 통지·신고 기한이 있으므로, 개인정보 보호책임자에게 즉시 알리는 것이 가장 중요합니다. 사고 기록(발견 시각, 경위, 조치 내용, 연락한 사람)은 처음부터 시간 순서대로 남겨 두세요.
🤝 아네스노트는 이렇게 운영합니다
위 체크리스트에 대한 저희의 답을 공개합니다. 도입 검토 시에는 보안 질의서 형식으로 서면 답변을 드립니다.
음성 데이터: 실시간 통역 처리 후 즉시 삭제합니다.
통역 텍스트: 상담일지 작성을 위해 보관하며, 이용자가 삭제를 요청하면 삭제합니다.
보안 인증: 클라우드 보안 인증 CSA STAR를 보유하고 있습니다.
공공기관 요건: CSAP나 국내 클라우드 요건이 있는 기관은 도입 전에 처리 구조와 개인정보 입력 범위를 함께 협의합니다.
요금·지원 언어·보안 정책 전반은 아네스AI·아네스노트 요금·지원 언어·보안 정책 총정리에 정리했습니다. 상담회 통역 방식별 비교는 상담회 통역 운영법을 참고하세요.
우리 기관·회사의 보안 기준에 맞춰 검토가 필요하다면, 보안 질의서를 보내주세요. 항목별 서면 답변과 처리 구조 자료를 함께 드립니다.
✅ 기밀 상담 AI 통역 체크리스트
도입 전 (D-45~D-21)
상담 유형별 기밀 등급(1~4등급) 정의, 상황별 설정 확정
공급사에 질문 30가지 발송, 필수 10개 통과 여부와 비교 점수 산정
처리 국가 확인, 국외 이전 근거 결정, 처리방침·동의서 문구 반영
공공기관: 요구 CSAP 등급과 기록물 보관 규정 확인
위탁 계약 필수 내용 + AI 특약(학습 미사용·파기·처리 위치·사고 통지·재위탁) 반영
데이터별 보관 기간 확정, 보안 검토서 결재
상담 직전 (D-7~D-day)
현장 인력 교육: 고지 문구, 기록 끄기, 사고 신고
기기 점검 7가지, 전용 회선 확인
5문항 판단 흐름으로 상담별 최종 확인
참석자 고지와 동의, 거부 시 기록 중단
상담 후
3등급 상담 기록 즉시 파기, 나머지는 보관 기간표 적용
현장 기기 정리·로그아웃
사업 종료 시 공급사 파기 요청과 확인서 수령
연 1회 공급사 정책·하위 처리자 변경 재확인
🙋 자주 묻는 질문 (FAQ)
Q1. 기밀 상담에 AI 통역을 써도 되나요?
쓸 수 있는지는 서비스의 데이터 정책에 달려 있습니다. 음성·텍스트 저장 여부와 기간, AI 학습 사용 여부, 처리 국가, 접근 통제, 계약 조항을 확인한 기업용 서비스라면 가격 협상이나 계약 조건 같은 영업비밀 상담에도 쓸 수 있습니다. 다만 국가 안보·보안 등급 회의는 AI 통역 대신 보안 서약을 한 사람 통역사를 권합니다.
Q2. 무료 통역 앱을 업무 상담에 써도 되나요?
권하지 않습니다. 개인용 무료 서비스는 약관에 따라 대화 내용이 서비스 개선에 쓰일 수 있고, 보관 기간과 처리 위치를 회사가 통제할 수 없습니다. 업무 상담은 회사가 계약한 서비스와 회사 기기·조직 계정으로만 쓰도록 규정을 두세요.
Q3. AI 통역 내용이 AI 학습에 쓰이나요?
서비스마다 다릅니다. 공급사 자체 정책뿐 아니라 공급사가 쓰는 외부 AI 엔진의 정책까지 확인해야 합니다. 예를 들어 OpenAI는 API로 받은 데이터를 학습에 쓰지 않는다고 공개하고 있지만, 소비자용 서비스는 설정에 따라 다릅니다. 학습 미사용은 계약서에 명시하세요.
Q4. 해외 서버를 쓰는 AI 통역은 불법인가요?
불법은 아니지만 국외 이전 요건을 갖춰야 합니다. 개인정보 보호법 제28조의8은 별도 동의, 계약 이행을 위한 처리위탁·보관 시 처리방침 공개, 보호위원회 고시 인증 등 이전 근거를 정하고 있습니다. 어떤 근거를 쓸지는 개인정보 보호책임자와 함께 정하고, 이 글의 처리방침 예시와 동의서 문구를 참고하세요.
Q5. 공공기관은 어떤 인증을 확인해야 하나요?
클라우드 보안인증(CSAP)을 확인합니다. CSAP는 시스템 중요도에 따라 상·중·하 등급으로 나뉘며, 개인정보를 포함하지 않는 공개 데이터 처리 시스템은 하 등급, 민감정보를 처리하는 시스템은 중 등급 이상이 요구됩니다. 기관 보안 부서에 요구 등급을 먼저 확인하세요.
Q6. 상대방 동의 없이 AI 통역을 써도 되나요?
상대방에게 알리고 시작하는 것을 원칙으로 하세요. 해외 바이어는 자국 법에 따라 녹음·기록 동의 요건이 다를 수 있습니다. EU 바이어라면 GDPR, 미국은 주마다 녹음 동의 요건이 다릅니다. 국가별로 따지기보다 모든 상담에서 고지와 동의를 기본값으로 두는 것이 가장 안전합니다.
Q7. 통역은 쓰되 기록은 남기지 않을 수 있나요?
서비스에 기록 저장을 끄는 모드나 상담 후 즉시 삭제 기능이 있는지 확인하세요. 3등급 영업비밀 상담에서는 통역만 쓰고 기록은 남기지 않거나, 상담 직후 삭제하는 방식이 현실적인 절충입니다.
Q8. 상담 기록은 얼마나 보관해야 하나요?
데이터마다 다르게 정하세요. 음성은 저장하지 않고, 원문 전체 텍스트는 상담일지 확정 후 짧게, 상담일지는 결과보고·정산이 끝날 때까지, 참석자 연락처는 사업 종료 후 파기하는 것이 출발점입니다. 공공기관은 기록물 관리 규정을 먼저 확인하세요.
Q9. 사람 통역사가 AI 통역보다 항상 안전한가요?
항상 그렇지는 않습니다. 사람 통역사도 비밀유지 서약이 없거나, 통역 메모·녹음을 개인적으로 보관하면 위험이 생깁니다. 사람 통역사를 쓸 때도 비밀유지 계약과 자료 반환·파기를 요구하세요. 방식보다 통제 수단이 있는지가 중요합니다.
Q10. 공급사가 쓰는 외부 AI 엔진까지 확인해야 하나요?
네. 대부분의 AI 통역 서비스는 음성 인식과 번역에 외부 엔진을 씁니다. 하위 처리자 목록, 각 엔진의 처리 국가와 학습 사용 여부, 변경 시 통지 절차를 받아 두세요. 이 부분이 가장 자주 빠지는 확인 항목입니다.
Q11. 보안 부서 승인을 빨리 받으려면 어떻게 하나요?
공급사 서면 답변, 평가 점수표, 하위 처리자 목록을 첨부해 1장짜리 보안 검토서로 올리세요. 처리 데이터, 처리 위치, 주요 위험, 통제 조치, 잔여 위험을 한 장에 정리하면 검토 시간이 크게 줄어듭니다.
Q12. 영업비밀 보호에 AI 통역 사용이 영향을 주나요?
영업비밀로 법적 보호를 받으려면 비밀로 관리되어야 합니다. 통제되지 않는 무료 서비스에 핵심 정보를 넣는 관행은 비밀 관리 측면에서 불리하게 작용할 수 있습니다. 계약한 서비스를 쓰고, 사용 규정과 고지·기록 관리 절차를 문서로 남기세요.
Q13. 유출 사고가 나면 무엇부터 해야 하나요?
개인정보 보호책임자와 보안 담당에게 즉시 알리고, 영향 범위(어떤 정보가, 언제, 누구에게)를 정리하세요. 개인정보 유출은 법령상 통지·신고 기한이 있으므로 시간이 가장 중요합니다. 공급사 사고라면 영향 범위와 조치 결과를 서면으로 요청하세요.
Q14. 보안 검토를 위해 공급사에 무엇을 요청하면 되나요?
이 글의 질문 30가지를 보안 질의서로 보내 서면 답변을 받고, 하위 처리자 목록, 보안 인증서 사본, 개인정보 처리위탁 계약서 초안을 함께 요청하세요. 필수 10개 항목에 답하지 못하는 공급사는 기밀 상담용에서 제외하세요.
📚 참고 자료
개인정보 보호법 — 제26조(업무위탁에 따른 개인정보의 처리 제한), 제28조의8(개인정보의 국외 이전)
OpenAI API 데이터 처리 안내(커뮤니티 공지 인용) — API 입력·출력 학습 미사용, 부정 사용 탐지 목적 최대 30일 보관, 조건부 무보관(ZDR)
바이라인네트워크, CSAP 등급제 해설 — 상·중·하 등급별 적용 대상, 하 등급 논리적 분리 허용
뉴시스, CSAP 등급제 보완 — 클라우드 시스템·데이터의 물리적 위치 국내 한정 평가 항목 추가
판단 흐름, 상담 기밀 등급, 상황별 설정, 질문 30가지·필수 항목·평가 점수표, 처리방침·동의서 예시, 보관 기간표, 보안 검토서 양식, 역할 분담, 도입 일정, 현장 수칙, 고지 문구, 사내 가이드라인, 사고 대응표는 자사 운영 경험에 기반한 예시입니다
함께 보면 좋은 글: 화상 상담 녹음·AI 회의록의 법적 쟁점, 상담회 통역 운영법
결론 요약: 기밀 상담에 AI 통역을 쓸 수 있는지는 저장 위치와 기간, 학습 사용 여부, 처리 국가, 접근 통제, 계약 조항으로 판단합니다. 개인용 무료 앱은 업무 상담에 쓰지 말고, 기업용 서비스는 공급사와 하위 처리자까지 서면으로 확인하세요.
공급사는 필수 10개 항목으로 걸러내고 점수로 비교하세요. 상담마다 기밀 등급을 정해 일반 상담은 AI 통역과 기록을, 영업비밀 상담은 기록 최소화와 핵심 수치 서면 처리를, 보안·안보 회의는 사람 통역을 쓰세요. 해외 서버를 거치면 국외 이전 근거와 고지를 갖추고, 데이터마다 보관 기간을 정하고, 1장짜리 보안 검토서로 내부 승인을 받으세요.
AI 통역 도입 전 보안 검토가 필요하다면 상담 유형, 참석자 범위, 기관의 보안 요구 사항 세 가지만 보내주세요. 처리 구조와 항목별 답변을 정리해 드립니다. 이메일(info@aness.ai)로 보내셔도 됩니다.