ChatGPT에 거래처·상대방 정보가 담긴 문서를 넣어도 되나 — 처리방침에 적어 둔 국외이전 근거가 통하지 않을 수 있는 이유

핵심 요약. 회사가 사내 업무에 서버가 해외에 있는 생성형 AI를 쓰면서 업무 문서를 넣으면, 문서에 담긴 개인정보는 국외로 이전되고 기업용 계약에서는 보통 처리위탁으로 정리됩니다. 실무에서 흔히 드는 근거인 개인정보 보호법 제28조의8 제1항 제3호는 처리방침 공개(가목)나 통지(나목)에 앞서 그 위탁이 「정보주체와의 계약의 체결 및 이행을 위하여」 필요할 것을 요구합니다. 그런데 소송 상대방 회사의 대표·담당자나 거래처 담당자는 회사와 계약한 개인이 아니고, 회사가 자기 목적으로 쓰는 고객사의 고객 정보는 연결할 계약 이행 자체를 찾기 어렵습니다(회사가 고객사의 수탁자로서 처리하는 경우는 달리 볼 여지가 있습니다). 개인정보보호위원회의 안내서(2025. 8.)와 처리방침 작성지침(2026. 4.)은 계약한 이용자가 있는 서비스에서 제3호를 적용해 왔지만, 계약 당사자가 아닌 사람의 정보에도 제3호가 서는지를 직접 다룬 공식 문서는 확인 범위에서 찾지 못했습니다. 따라서 B2B 회사의 사내 이용은 문언과 실무 사이의 빈 자리에 놓여 있는 것으로 보이고, 회사는 문서 유형별로 근거를 실제로 갖출 수 있는지 따져 본 뒤 근거가 서지 않는 문서는 입력 대상에서 빼 두는 편이 안전합니다.

기업 고객에게 소프트웨어를 공급하는 회사의 법무팀을 가정해 보겠습니다. 이 회사는 한 거래처와 납품 대금을 두고 소송 중이고, 상대방 대리인이 제출한 준비서면에는 상대방 회사 대표와 실무 담당자의 이름, 연락처, 그 담당자가 보낸 메일의 내용이 들어 있습니다. 법무팀장은 이 서면을 회사가 도입한 기업용 ChatGPT에 올려 쟁점 요약을 받았습니다. 같은 주에 영업팀은 고객사가 기술 지원을 요청하며 보내온 최종 사용자 민원 목록을, 회사 자체의 영업 분석에 쓰려고 같은 도구에 넣어 유형별로 분류했습니다. 회사의 개인정보 처리방침(이하 "처리방침")에는 OpenAI가 국외 수탁자로 올라 있고, 근거란에는 제28조의8 제1항 제3호가 적혀 있습니다.

이 글이 다루는 질문은 그 한 줄이 준비서면 속 상대방 담당자와 민원 목록 속 최종 사용자에 대해서도 근거가 되는지입니다. 이 글은 회사가 그 문서를 업무 목적으로 다루는 개인정보처리자라는 전제에서 봅니다. 민원 목록은 회사가 그 정보를 자기 목적으로 쓰는 처리자인 경우를 먼저 보고, 고객사로부터 처리를 위탁받은 수탁자인 경우는 뒤에서 따로 봅니다.

사내 해외 AI에 업무 문서를 넣으면 국외이전인가요?

법 제28조의8 제1항 본문은 국외로 제공하는 것(조회되는 경우를 포함), 처리위탁하는 것, 보관하는 것을 묶어 「이전」이라 부르고, 단서의 다섯 개 호에 해당할 때만 허용합니다. 개인정보보호위원회(이하 "개인정보위")는 「생성형 AI 개발·활용을 위한 개인정보 처리 안내서」(2025. 8., 이하 "생성형 AI 안내서")에서 LLM 서버가 해외에 있으면 국외이전 해당 여부를 검토하라고 적었고, 「개인정보 처리방침 작성지침」(2026. 4., 이하 "작성지침")의 생성형 AI 부록 (7)항은 서버가 해외에 있는 생성형 AI를 쓰면 개인정보가 국외로 이전된다고 전제합니다.

그 이전이 제공인지 처리위탁인지는 계약과 실제 데이터 흐름을 보고 판단할 문제입니다. 기업용 계약은 위탁 구조를 전제로 합니다. OpenAI의 Data Processing Addendum(2026년 1월 1일 시행, 이하 "DPA") 1.1항은 OpenAI가 고객을 위하여 「Data Processor」로 행동한다고 적고 있고, 작성지침 (6)항도 외부 생성형 AI 활용을 처리업무 위탁으로 기재하도록 안내합니다. 다만 위탁으로 볼 수 있는 것은 사업자가 입력 데이터를 학습 등 자기 목적에 쓰지 않는다는 점이 확인될 때이고, 그렇지 않다면 제공에 가까워집니다. 위탁으로 정리되면 회사는 제3호에 설 수 있는지를 묻게 됩니다. 제3호가 본문 요건과 절차 요건 두 겹으로 되어 있다는 점은 SDK 위탁·제공 판정 글에서 분석 도구를 예로 정리했으므로 여기서는 반복하지 않고, 그 첫째 겹을 문서 속 사람에게 적용해 봅니다. 서비스를 제공하는 회사가 처리방침에 무엇을 적어야 하는지는 생성형 AI 서비스의 처리방침 글에서 다뤘습니다.

제3호의 「정보주체와의 계약」은 누구와 맺은 계약인가요?

제3호의 문언은 「정보주체와의 계약의 체결 및 이행을 위하여」 처리위탁·보관이 필요한 경우입니다. 계약의 한쪽 당사자는 정보주체로 특정되어 있습니다. 회사가 AI 사업자와 맺은 기업용 계약은 이 문언이 가리키는 계약에 들어가지 않습니다.

개인정보위가 이 문구를 풀이한 공식 문장은 확인 범위에서 한 곳뿐입니다. 「개인정보 보호법 및 시행령 개정사항 안내서」(2023. 12.) 46쪽의 질의응답은 정보주체와 맺은 계약을 이행하는 경우, 또는 계약을 체결하는 과정에서 정보주체가 요청한 조치를 이행하는 경우로서 국외 위탁·보관이 필요한 때를 가리킨다고 설명합니다. 그리고 어떤 업무가 그런 조치에 해당하는지는 사업자의 서비스·제품 성격과 사업 구조를 종합해 판단해야 한다고 덧붙입니다. 이 풀이에서도 출발점은 정보주체 본인과의 계약 관계입니다.

개정 경과도 참고가 됩니다. 개정 전 정보통신서비스 제공자 등에 적용되던 법 제39조의12 제2항 단서(법률 제16930호, 2020. 8. 5. 시행)는 이용자에게 알릴 사항을 모두 처리방침에 공개하거나 전자우편 등으로 알리면 처리위탁·보관에 따른 동의절차를 거치지 않을 수 있다고 정했고, 계약에 관한 조건은 두지 않았습니다. 같은 안내서 45쪽의 개정 전후 비교표는 개정 후 같은 자리에 「계약체결 및 이행을 위해」 필요한 경우라는 조건을 붙여 적고 있습니다. 공개만으로 동의를 갈음하던 길에 계약 관련성이라는 조건이 더해진 것으로 읽힙니다. 다만 입법 이유를 밝힌 국회 자료는 이 글에서 확인하지 못했습니다.

문서 속 사람마다 회사와의 관계는 어떻게 다른가요?

문언을 그대로 대입하면 문서 속 사람은 회사와의 계약 관계에 따라 갈립니다.

표의 아래쪽 세 줄은 회사가 그 사람과 직접 맺은 계약이 없는 경우입니다. 소송 상대방이 개인 사업자처럼 회사와 직접 계약한 개인이라면 그 사람은 계약 당사자이므로 판단이 달라질 수 있습니다. 회사가 자기 목적으로 처리하는 한, 문언대로라면 이 사람들의 정보를 해외 AI에 맡기는 것을 「정보주체와의 계약의 체결 및 이행을 위하여」 필요한 위탁이라고 설명하기는 어려울 것으로 보입니다. 첫째 겹에서 막히면 둘째 겹인 처리방침 공개를 아무리 충실히 해도 제3호는 성립하지 않는다는 것이 앞의 글에서 정리한 구조입니다.

개인정보위 실무는 이 질문을 어떻게 다뤄 왔나요?

문언만 보면 여기서 결론이 날 것 같지만, 개인정보위의 실무 자료는 다른 그림을 보여 줍니다. 계약 당사자 아닌 사람의 정보가 실제로 이전된 사안에서 제3호를 적용하면서 그 점을 따로 다루지 않은 의결이 있고, 제3자 정보가 들어갈 수 있는 입력값 전체를 제3호로 적은 작성 예시가 있습니다. 두 자료의 무게는 같지 않습니다.

첫째는 생성형 AI 안내서 25쪽의 사례 상자입니다. 이용자에게 통화 녹음·요약 서비스를 제공하면서 서비스형 LLM으로 통화 내용을 해외 서버에 보낸 사업자가, 처리방침의 국외이전 고지 일부를 빠뜨려 「제3호에 따른 적법근거」를 갖추지 못했다는 사례입니다. 출처로 개인정보위 2024. 6. 12. 의결 제2024-010-184호를 듭니다. 이 의결의 국외이전 판단 부분은 통화 녹음 텍스트와 통화 음성을 해외 서버로 보낸 행위를 국외 처리위탁으로 보고, 제28조의8 제2항의 사항을 처리방침에 공개하거나 이용자에게 알리지 않은 것을 위반으로 구성했습니다. 피심인이 2024년 5월 2일 처리방침을 고쳐 시정했다는 사실도 적혀 있고, 처분은 경고였습니다.

통화에는 상대방이 있습니다. 개인정보위도 같은 의결의 제3조(개인정보 보호 원칙) 쟁점에서 통화 상대방이 필수로 존재하는 서비스라고 적고, 통화 상대방을 「정보주체」로 부르며 사생활 침해 최소화 문제를 지적했습니다. 그러나 국외이전 판단 부분에서 계약 당사자가 아닌 통화 상대방의 정보에도 제3호가 서는지에 대한 명시적 판단은 찾을 수 없습니다. 사전 실태점검의 경고 처분이라 이유가 짧다는 점도 함께 보아야 하므로, 이 의결을 위원회가 제3호를 넓게 해석한다고 밝힌 선례로 읽기는 어렵습니다.

둘째는 작성지침 부록 (7)항의 작성 예시입니다. 예시는 OpenAI로의 국외 처리위탁·보관 근거를 제3호로 적고, 이전 항목을 「대화창에 입력한 데이터 일체」로 둡니다. 이용자가 입력창에 가족이나 동료 같은 다른 사람의 이야기를 적을 수 있다는 점은 예시가 언급하지 않습니다. 같은 예시의 국외 제3자 제공 표에도 예약자와 별도로 「방문자명」이 항목에 들어 있는데, 그 근거는 이용자의 동의(제1호)로 적혀 있습니다. 다만 작성 예시는 제3자 정보가 들어갈 수 있는 구조를 보여 줄 뿐이고, 개인정보위가 그 경우를 검토해 제3호로 정리했다는 뜻으로 읽기는 어렵습니다. 통화 상대방 정보가 실제로 이전된 184호 의결과 같은 무게의 자료로 볼 것은 아닙니다.

셋째는 2026년 5월 19일 개인정보위가 낸 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」입니다. 이 가이드는 업무에 쓰는 직장인도 대상으로 삼고, 질문 5에서 고객·거래처 정보나 인사 정보처럼 제3자의 개인정보가 담긴 자료를 입력하면 「사전 동의나 법적 근거 없이」 외부로 전달될 위험이 있다고 경고합니다. 업무 입력과 제3자 정보를 함께 다룬 공식 문서는 이것이 가장 가깝습니다. 다만 그 「법적 근거」가 무엇인지, 제28조의8의 어느 호를 말하는지는 적혀 있지 않습니다.

이 세 자료와 개정사항 안내서, 「개인정보 질의응답 모음집」(2025. 12.), 같은 호를 인용한 다른 의결 몇 건을 확인한 범위에서, 계약 당사자가 아닌 사람의 정보에 제3호가 서는지 또는 서지 않는지를 직접 서술한 문장은 찾지 못했습니다. 개인정보위 안내서 전체 목록(2026. 7. 31. 기준)에도 제목에 국외이전을 단 안내서는 없습니다.

제3호를 넓게 읽을 논리는 없나요?

넓게 읽는 쪽의 핵심 논리는 계약한 이용자에게 서비스를 제공하는 데 필요한 처리에는 그 서비스의 성질상 따라 들어오는 다른 사람 정보의 처리도 포함된다는 것입니다. 통화 요약 서비스는 상대방의 말을 빼고는 제공될 수 없고, 대화형 AI 서비스는 이용자가 적는 타인 이야기를 미리 걸러 낼 수 없습니다. 개정사항 안내서의 질의응답이 서비스 성격과 사업 구조를 종합해 판단하라고 한 것도 이런 해석의 폭을 남긴 것으로 볼 수 있고, 184호 의결과 작성지침 예시를 그렇게 읽을 여지도 있습니다. B2C 서비스에 대해서는 이 논리가 상당한 설득력을 갖는 것으로 판단됩니다. 개정 전 제39조의12 제2항 단서가 공개만으로 동의를 갈음하게 했다는 점을 보태는 견해도 있을 수 있지만, 개정법은 그 자리에 계약 관련성이라는 조건을 더했으므로 이 논거는 약합니다.

다만 이 논리가 성립하더라도 연결고리 하나는 빠질 수 없습니다. 다른 사람 정보의 처리를 부수적이라고 말하려면 그 처리가 딸려 있는 주된 처리, 곧 계약한 정보주체에 대한 계약 이행이 있어야 합니다. 통화 요약 서비스에는 그 기능을 켠 이용자가 있고, 작성지침 예시에는 회원 탈퇴로 국외이전을 거부할 수 있는 이용자가 있습니다. 상대방이나 입력창 속 타인의 정보는 그 이용자와의 계약을 이행하는 과정에 딸려 들어온 것으로 다뤄졌다고 볼 여지가 있습니다. 이것은 실무 자료를 맞춰 읽은 이 글의 해석이고, 개인정보위가 그렇게 설명한 것은 아닙니다.

실무 예시가 B2B 회사의 사내 이용에도 미치나요?

B2B 회사의 사내 이용에는 그 연결고리가 없습니다. 준비서면 속 상대방 회사의 대표·담당자는 회사와 계약한 개인이 아니고, 회사가 서면을 AI에 넣는 목적은 회사 자신의 소송 대응입니다. 민원 목록을 회사 자체의 영업 분석에 쓰는 경우도 같습니다. 최종 사용자는 고객사와 계약한 사람이고, 회사의 영업 분석은 그 계약의 이행과 연결되지 않습니다. 부수적 처리라는 논리가 기댈 주된 계약 이행이 처음부터 없는 셈입니다. 따라서 넓은 해석을 받아들이더라도, 그 논리를 B2B 사내 이용까지 옮겨 오기는 어려울 것으로 판단됩니다.

회사가 수탁자인 경우는 사정이 다릅니다. 회사가 고객사로부터 최종 사용자 정보의 처리를 위탁받아 고객사의 업무로서 처리한다면, 그 정보를 다시 해외 AI 사업자에게 맡기는 것은 재위탁이 되고 법 제26조 제6항에 따라 위탁자인 고객사의 동의가 필요합니다. 이때는 회사와 최종 사용자 사이에 직접 계약이 없더라도, 그 처리가 고객사와 그 고객 사이의 계약 이행과 연결될 수 있으므로 제3호의 본문 요건을 그 계약에 비추어 따져 볼 여지가 생깁니다. 다만 고객사의 재위탁 동의는 위탁자와 수탁자 사이의 문제이고, 정보주체에 대한 국외이전의 근거와 고지는 그와 별도로 정리해야 합니다. 그 계약을 맺은 쪽이 고객사이므로 근거와 고지도 고객사 쪽과 함께 맞추어야 합니다. 이 구조는 SDK 위탁·제공 판정 글의 재위탁 절과 수탁 SaaS의 약관과 제26조 문서 요건 글에서 다뤘습니다.

제3호가 아니라면 다른 근거가 열려 있나요?

남은 호를 차례로 보아도 사정이 크게 나아지지는 않습니다. 제1호의 별도 동의는 제2항 각 호의 사항을 미리 알리고 받아야 하는데, 소송 상대방이나 고객사의 고객은 회사가 연락할 관계에 있지 않아 동의를 받는 것이 현실적으로 어렵습니다. 제2호는 법률이나 조약에 국외이전에 관한 특별한 규정이 있는 경우이고, 이 국면에 맞는 규정은 이 글의 확인 범위에 없었습니다.

제4호는 이전받는 자가 개인정보위가 고시한 인증을 받은 경우인데, 고시 목록에 오른 인증과 그 요건은 국외이전 인증 목록 글에서 정리했습니다. 해외 AI 사업자가 그 인증을 갖추었는지는 회사가 따로 확인해야 합니다. 제5호의 동등성 인정은 영국 이전 글에서 확인한 기준으로 EU와 EEA 국가를 대상으로 하므로 미국 서버로 가는 흐름에는 쓸 수 없습니다.

적지 않은 회사가 실무상 제3호에 기대어 처리방침에 해외 AI 사업자를 적어 두고 있는 것으로 보이므로, 제3호를 어떻게 읽느냐가 중요해집니다. 다만 이용하는 사업자가 제4호의 인증 요건을 갖추었다면 사정이 달라질 수 있으므로, 회사는 제3호만 놓고 판단하기 전에 그 경로도 함께 확인해 볼 필요가 있습니다.

기업용 계약(DPA)이 이 빈 자리를 메워 주나요?

기업용 계약은 위탁 관계를 받쳐 주지만, 한국법상 어느 호에 서는지는 고객에게 맡기는 구조로 보입니다. OpenAI DPA의 부속서 1은 정보주체의 범주로 고객의 「employees, customers, suppliers」를 들고 있어, 고객이 제3자 정보를 넣는 상황을 예정하고 있습니다. 동시에 3.1항에서 고객은 적용되는 개인정보 보호법이 요구하는 고지와 동의·권한을 모두 갖추었다고 보증합니다. 국제 이전 조항(제4조)은 EEA·스위스와 영국 데이터만 다루고, 한국이나 한국법을 언급한 문구는 DPA 전문에서 찾지 못했습니다.

따라서 기업용 계약을 맺었다는 사실은 학습 미사용이나 처리자 지위를 확인해 주는 자료가 될 수는 있어도, 제3호의 본문 요건을 대신 채워 주지는 않습니다. 생성형 AI 안내서와 2026년 5월 가이드가 업무 이용에 기업용 라이선스를 권하는 것도 입력 내용이 학습 등 다른 목적에 쓰이지 않게 하려는 취지이고, 국외이전 근거를 해결한다는 설명은 아닙니다.

로펌과 사내변호사에게는 무엇이 더 걸리나요?

로펌이나 사내변호사가 사건 기록을 외부 AI에 넣는 경우에는 개인정보 보호법과 별개로 변호사법 제26조의 비밀유지의무가 함께 문제 됩니다. 두 의무는 보호하는 대상과 판단 기준이 다르므로, 개인정보 측면의 근거를 갖추었다고 해서 비밀유지 측면의 검토가 끝나는 것은 아닙니다. 이 글은 개인정보 측면만 다룹니다.

지금 회사는 무엇을 확인하고 기록해 둘까요?

공식 문서가 답을 주지 않은 상태이므로, 회사가 할 수 있는 일은 판단의 근거를 남겨 두고 위험이 큰 입력을 줄이는 것입니다.

1. 문서 유형별 근거 기록. AI에 넣는 문서를 앞의 표처럼 정보주체와의 관계로 나누고, 유형마다 어느 호에 기대는지와 그 이유를 내부 문서로 남겨 둡니다. 다만 어느 호에 기대는지 적어 두는 것과 그 호의 요건을 실제로 갖추는 것은 다른 일이므로, 기록에는 그 문서 유형이 요건 하나하나를 충족하는지까지 적어 둡니다.
2. 근거를 세우지 못한 문서의 처리 기준. 1번에서 근거를 세우지 못한 유형의 문서는 해외 AI 입력 대상에서 빼고 국내에서 처리되는 도구 등 다른 수단으로 다루거나, 특정 개인을 알아볼 수 없는 수준으로 가공한 경우에만 넣도록 사내 지침에 기준을 둡니다.
3. 식별 단서 제거의 한계. 이름·연락처를 지우는 것만으로 입력이 허용된다고 보기는 어렵습니다. 2026년 5월 가이드가 말하듯 여러 단서가 결합하면 특정 개인이 드러날 수 있으므로, 서면의 내용이나 직책·소속을 결합해 여전히 누구인지 알아볼 수 있다면 그 정보는 개인정보로 남고 국외이전 근거의 문제도 그대로 남습니다.
4. 처리방침의 국외이전 항목. 해외 AI 사업자를 국외 수탁자로 적고 근거와 제28조의8 제2항 각 호의 사항(항목, 국가·시기·방법, 이전받는 자, 이용목적·보유기간, 거부 방법·절차·효과)을 공개합니다. 다만 공개는 둘째 겹이라는 점을 1번 기록에 함께 적어 둡니다.
5. 기업용 계약의 확인. 처리자 조항, 학습 미사용, 하위 처리자 목록을 확인하고, 시행령 제29조의10이 요구하는 안전성 확보 조치와 고충처리·분쟁해결 조치가 계약 내용에 반영되어 있는지 봅니다.
6. 수탁 지위의 확인. 고객사의 정보를 위탁받아 처리하는 회사라면 고객사 위탁계약에 재위탁과 국외 처리를 허용하는 조항이 있는지 먼저 확인합니다. 이것은 위탁자의 동의(법 제26조 제6항) 문제이고, 정보주체에 대한 국외이전의 근거와 고지는 고객사와 함께 별도로 정리해야 합니다.

이 기록은 개인정보위가 이후 이 질문에 답을 내놓았을 때 회사가 어디를 고쳐야 하는지 바로 찾을 수 있게 해 줍니다. 구체적인 결론은 문서의 성격과 계약 구조에 따라 달라질 수 있습니다.

자주 묻는 질문

Q. 기업용 ChatGPT를 쓰고 처리방침에 OpenAI를 국외 수탁자로 적어 두었으면 국외이전 근거는 갖춘 것인가요?

공개는 제3호의 절차 요건일 뿐입니다. 제3호는 먼저 그 처리위탁·보관이 정보주체와의 계약의 체결 및 이행을 위하여 필요할 것을 요구합니다. 이용자가 자기 정보를 입력하는 B2C 서비스라면 그 이용자와의 계약에 기대어 볼 여지가 있지만, 소송 상대방 회사의 담당자처럼 회사와 계약한 개인이 아니고 연결할 계약 이행도 없는 사람의 정보에 대해서는 그 요건이 문언상 들어맞지 않을 수 있습니다. 회사가 고객사의 수탁자로서 처리하는 고객 정보는 고객사의 계약에 비추어 따로 볼 여지가 있습니다. 개인정보위가 이 질문에 직접 답한 문서는 확인 범위에서 찾지 못했습니다.

Q. 개인정보위는 통화 상대방 정보가 섞인 국외 처리위탁도 제3호로 처리하지 않았나요?

개인정보위는 2024년 6월 12일 의결(제2024-010-184호)에서 통화 녹음 텍스트를 해외 서버로 보낸 행위를 국외 처리위탁으로 보고, 처리방침 공개나 통지가 없었다는 점을 위반으로 구성했습니다. 통화 상대방은 같은 의결의 다른 쟁점에서 정보주체로 언급되었지만, 국외이전 판단 부분에서 상대방 정보에 제3호가 서는지에 대한 명시적 판단은 찾을 수 없습니다. 사전 실태점검의 경고 처분이라 이유가 짧으므로, 위원회가 제3호를 넓게 해석한다고 밝힌 선례로 읽기는 어렵습니다.

Q. 회사가 지금 할 수 있는 일은 무엇인가요?

문서를 정보주체와의 관계에 따라 나누고, 유형마다 어느 근거에 기대는지와 그 근거의 요건을 실제로 갖추었는지를 내부에 기록해 두는 것이 출발점으로 보입니다. 근거를 세우지 못한 유형의 문서는 해외 AI 입력 대상에서 빼거나, 특정 개인을 알아볼 수 없는 수준으로 가공한 경우에만 넣는 기준을 두는 편이 안전합니다. 이름·연락처를 지워도 내용이나 직책·소속을 결합해 누구인지 알 수 있다면 국외이전 근거의 문제는 그대로 남습니다. 처리방침에는 제28조의8 제2항 각 호의 사항을 공개하고, 기업용 계약의 처리자 조항과 보호조치 반영 여부도 확인해 둘 필요가 있습니다. 회사가 고객사의 수탁자라면 고객사의 재위탁 동의와 정보주체에 대한 국외이전 근거·고지를 각각 정리해야 합니다.

참고 자료

• 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) 제6항·제8항, 제28조의8(개인정보의 국외 이전) 제1항~제4항, 제28조의9(제28조의8 제1항 등을 위반한 경우의 국외 이전 중지 명령). 법률 제21445호(2026. 9. 11. 시행) 기준이며, 제28조의8은 이 개정으로 바뀌지 않았습니다.
• 구 개인정보 보호법(법률 제16930호, 2020. 8. 5. 시행) 제39조의12 제2항 단서(처리위탁·보관 시 공개·통지에 따른 동의절차 생략)
• 개인정보 보호법 시행령 제29조의7, 제29조의10(국외 이전 시 보호조치 등), 제31조 제1항 제2호. 대통령령 제36671호(2026. 9. 11. 시행) 기준
• 개인정보보호위원회 2024. 6. 12. 의결 제2024-010-184호(사건번호 2023조이0110-03, 「주요 인공지능(AI) 서비스 사전 실태점검 결과에 관한 건」)
• 개인정보보호위원회, 「생성형 AI 개발·활용을 위한 개인정보 처리 안내서」(2025. 8.) 24~25쪽 서비스형 LLM 절과 사례 상자
• 개인정보보호위원회, 「개인정보 처리방침 작성지침」(2026. 4.) 부록 생성형 AI (6) 개인정보 처리업무의 위탁, (7) 개인정보의 국외 이전
• 개인정보보호위원회, 「개인정보 보호법 및 시행령 개정사항 안내서」(2023. 12.) 45쪽 개정 전후 비교, 46쪽 질의응답
• 개인정보보호위원회, 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」(2026. 5. 19. 보도자료 첨부) 질문 3·4·5
• OpenAI, Data Processing Addendum(Effective: January 1, 2026) 1.1항, 3.1항, 제4조, 부속서 1

이 글은 일반적인 정보 제공을 목적으로 한 것으로 법률자문이 아닙니다. 국외이전 근거는 입력하는 문서의 성격, 회사와 정보주체의 관계, 계약 구조에 따라 달라지므로 구체적인 사안은 개별 검토가 필요합니다.

이 글은 2026년 10월 22일 현행 조문과 확인한 공식 자료를 기준으로 하며, 개인정보위가 이후 이 질문에 대한 안내를 내놓으면 결론이 달라질 수 있습니다.