핵심 요약: 생성형 AI 기능을 붙이면 개인정보처리방침에서 두 자리가 새로 채워져야 합니다. 첫째, 이용자가 입력한 내용과 생성된 결과물을 수집·저장한다면 그것이 처리하는 개인정보의 항목입니다(시행령 제31조 제1항 제1호). 둘째, 외부 LLM API를 호출해 프롬프트가 국외 사업자에게 전송된다면 국외이전이므로 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다(시행령 제31조 제1항 제2호). 개인정보위는 2026년 4월 24일 「개인정보 처리방침 작성지침」을 개정하면서 생성형 AI 서비스에 관한 부록을 신설했고, 함께 수탁자 기재의 조건부 유형화, 온디바이스 처리 기준, 변경사항 안내 방식 이원화를 담았습니다. 작성지침은 법령이 아니라 권고 기준이지만(법 제30조 제4항), 처리방침 평가의 실질적 판단 기준으로 작동합니다.

챗봇이나 요약 기능을 붙인 회사가 처리방침을 손볼 때 대개 한 줄을 추가합니다. "AI 기능을 제공합니다" 정도입니다.

그 한 줄로는 두 가지가 빠집니다. 이용자가 무엇을 입력했고 그것이 어디에 남는지, 그리고 그 내용이 어느 나라로 나가는지입니다.

두 가지 모두 법이 적으라고 정해 둔 항목입니다.

프롬프트 입력값은 '처리하는 개인정보의 항목’입니다

시행령 제31조 제1항 제1호는 처리하는 개인정보의 항목을 처리방침 기재사항으로 정합니다. 회원가입 화면에서 받는 이름·이메일만 여기 적는 것으로 생각하기 쉽지만, 기준은 수집 경로가 아니라 실제로 처리하는지 여부입니다.

이용자가 챗봇에 자기 병력이나 계약 내용을 적어 넣고 그 대화가 저장된다면, 그 저장된 내용은 회사가 처리하는 개인정보입니다. 회사가 요청해서 받은 것이 아니라는 사정은 처리 사실을 바꾸지 않습니다.

여기서 실무 설계가 갈립니다.

저장하지 않는 구조라면 그 사실을 명확히 적는 편이 낫습니다. 저장하지 않는다고 적어 두면 나중에 저장 사실이 드러났을 때 처리방침과 실제의 불일치가 되므로, 로그·캐시·오류 리포트에 남는 경로까지 확인한 뒤에 적어야 합니다.

저장하는 구조라면 항목과 보유기간을 적습니다. 대화 전체를 남기는지, 요약만 남기는지, 이용자 식별자와 결합해 두는지에 따라 서술이 달라집니다.

기기 안에서만 처리하는 구조라면 서버 수집과 구분해 적습니다. 2026년 4월 개정 작성지침이 온디바이스 처리에 관한 기준을 명확히 한 것도 이 구분 때문입니다. 기기 내에서만 처리되는지 서버로 수집되는지에 따라 처리 항목·보유기간 기재 의무가 갈립니다.

생성된 결과물도 같은 기준으로 봅니다. 결과물에 이용자 정보가 반영돼 저장된다면 그 역시 처리 대상입니다.

외부 모델을 호출하면 국외이전입니다

두 번째 자리가 국외이전입니다. 이쪽이 더 자주 비어 있습니다.

법 제28조의8 제1항은 국외이전을 넓게 정의합니다. 제공(조회되는 경우를 포함한다), 처리위탁, 보관이 모두 이전입니다. 조회되는 경우까지 포함한다는 괄호가 중요합니다. 데이터를 옮겨 저장하지 않고 API로 던져 응답만 받아 와도, 국외 사업자의 시스템이 그 내용을 읽었다면 이전입니다.

그래서 해외 모델 제공자의 API를 호출하는 구조라면 프롬프트에 담긴 개인정보가 국외로 이전되고 있다고 보아야 합니다.

적어야 할 것은 시행령 제31조 제1항 제2호가 정합니다. 이전의 근거(동의, 법률·조약의 특별 규정, 계약 이행에 필요한 처리위탁·보관, 인증, 보호위원회의 동등수준 인정 중 어느 것인지)와 함께, 법 제28조의8 제2항 각 호의 사항입니다.

  • 이전되는 개인정보 항목
  • 개인정보가 이전되는 국가, 시기 및 방법
  • 이전받는 자의 성명(법인은 명칭과 연락처)
  • 이전받는 자의 이용목적 및 보유·이용 기간
  • 이전을 거부하는 방법·절차 및 거부의 효과

모델을 교체하면 이 표가 통째로 바뀝니다. 이전받는 자도, 국가도, 보유·이용 기간도 달라집니다. 사용 중인 외부 모델 목록을 국외이전 현황표로 관리하고 모델을 바꿀 때 표를 갱신하는 방식이 가장 덜 새는 관리법입니다.

리전 선택으로 해결된다고 보기도 어렵습니다. 국내 리전을 쓰더라도 계정 관리·로그·남용 탐지 목적으로 본사가 접근하는 경로가 남아 있다면 조회를 포함하는 정의에 걸립니다. 계약서와 서브프로세서 목록을 함께 확인해야 판단이 섭니다.

딥시크 시정권고가 보여 준 것

이 구조가 실제로 문제된 사례가 딥시크(DeepSeek) 건입니다.

개인정보위는 2025년 4월 23일 제9회 전체회의에서 사전 실태점검 결과를 의결하면서, 딥시크가 개인정보를 중국 및 미국 소재 다수 회사로 이전하면서 국외이전 동의를 받거나 처리방침에 공개하지 않은 점을 지적했습니다. 특히 기기·네트워크·앱 정보뿐 아니라 이용자가 AI 프롬프트에 입력한 내용까지 중국 소재 클라우드 사업자(Beijing Volcano Engine Technology Co., Ltd.)로 전송되고 있었습니다. 위원회는 국외이전의 법적 근거 확보, 이미 이전된 프롬프트 입력 내용의 즉각 파기, 한국어 처리방침 공개를 시정권고했습니다.

눈여겨볼 것은 순서입니다. 딥시크가 한국어 처리방침을 제출한 것(3월 28일)과 학습 활용 거부 기능(opt-out)을 마련한 것(3월 17일부터)은 모두 점검 과정에서 이루어진 일이고, 시정권고 의결은 그 뒤인 4월 23일입니다. 사전 실태점검은 조사가 아니라 시정 기회를 먼저 주는 절차이고(법 제63조의2), 그 기회를 쓴 회사와 쓰지 않은 회사의 결론이 여기서 갈립니다.

여기서 가져갈 것이 둘입니다.

프롬프트 입력값이 국외이전의 대상으로 정면으로 다뤄졌습니다. 이용자가 자발적으로 입력한 내용이라는 사정이 면제 사유가 되지 않았습니다.

결론이 과징금이 아니라 시정권고였던 이유를 오독하면 안 됩니다. 수위가 낮았던 것은 위반이 가벼워서가 아니라 사전 실태점검 단계에서 시정이 이루어졌기 때문입니다. 같은 구조를 방치한 채 조사 국면에 들어가면 결론이 같으리라 기대하기 어렵습니다.

2026년 4월 개정 작성지침이 더한 것

개인정보위는 2026년 4월 24일 「개인정보 처리방침 작성지침」을 개정하며 네 가지를 담았습니다.

생성형 AI 서비스 부록 신설. 생성형 AI 서비스의 특성을 고려해 추가로 기재해야 하거나 기재를 권장하는 사항을 중심으로 작성 방법을 안내합니다. 이용자가 직접 입력한 정보와 이용 과정에서 생성된 결과물이 수집·저장되는 경우 이를 처리 항목으로 기재하도록 하고, AI가 어떤 맥락에서 누구를 대상으로 사용되는지 등 의도된 용례를 명확히 기재하도록 권장합니다.

수탁자 기재의 조건부 유형화. 수탁자를 개별 명칭 대신 유형으로 묶어 적는 것이 허용되나, 이용자가 마이페이지 등을 통해 실제 수탁자를 확인할 수 있어야 합니다. 모델 제공자와 인프라 사업자가 자주 바뀌는 AI 서비스에서 유용한 완화지만, 확인 경로를 만들지 않으면 조건이 충족되지 않습니다.

온디바이스 처리 기준 명확화. 기기 내에서만 처리되는지, 서버로 수집되는지에 따라 처리 항목·보유기간 기재 의무를 구분합니다.

변경사항 안내 방식 이원화. 처리 항목 변경처럼 영향이 큰 사항은 개정 전후 대조표로 안내하고, 경미한 사항은 합리적 기간 단위로 모아 안내하는 것이 허용됩니다.

작성지침은 법령이 아닙니다. 법 제30조 제4항이 보호위원회의 작성지침 마련과 준수 권장 근거를 둘 뿐입니다. 다만 처리방침 평가(법 제30조의2)의 실질적 판단 기준으로 작동하므로, 지침을 벗어난 처리방침은 개선권고를 받을 가능성이 높아집니다.

⚠️ 이 절은 개정 발표 시점에 공개된 개정 항목을 기준으로 정리한 것입니다. 부록의 개별 문언과 예시는 지침 본문을 직접 확인하고 적용해야 합니다.

지금 확인할 것

  1. 이용자가 입력한 내용을 저장하는가. 저장한다면 처리 항목과 보유기간을 적었는가
  2. 저장하지 않는다고 적었다면, 로그·캐시·오류 리포트에 남는 경로까지 확인했는가
  3. 생성된 결과물을 저장하는가. 저장한다면 그것도 처리 항목에 반영했는가
  4. 기기 내 처리와 서버 수집을 구분해 적었는가
  5. 외부 모델을 호출한다면 국외이전 항목에 근거와 여섯 가지 고지사항이 모두 들어 있는가
  6. 국내 리전을 쓰더라도 본사가 조회할 수 있는 경로가 남아 있는지 계약서·서브프로세서 목록으로 확인했는가
  7. 입력값을 학습에 쓰는가. 쓴다면 그 목적·범위와 거부 방법을 밝혔는가
  8. 수탁자를 유형으로 묶어 적었다면, 이용자가 실제 수탁자를 확인할 수 있는 경로를 만들었는가
  9. 모델을 교체할 때 국외이전 표를 갱신하는 절차가 있는가

같은 서비스가 AI기본법에도 걸립니다. 생성형 AI 기능이 있으면 사전 고지와 생성물 표시 의무가 별도로 발생하고, 사전 고지 위반에는 곧바로 과태료가 붙습니다. → 챗봇에 무엇을 고지해야 하나

처리방침 자체의 필수 기재사항은 개인정보처리방침 필수 기재사항에, 국문·영문 두 문서를 나누는 문제는 처리방침을 번역해 영문 Privacy Policy로 써도 되나에 정리했습니다.

자주 묻는 질문

Q. 이용자가 챗봇에 입력한 내용도 개인정보 처리방침에 적어야 하나요?

수집·저장한다면 적어야 합니다. 시행령 제31조 제1항 제1호는 처리하는 개인정보의 항목을 처리방침 기재사항으로 정하는데, 이용자가 프롬프트에 입력한 내용에 개인정보가 포함되고 그것을 저장한다면 그 자체가 처리하는 항목입니다. 기기 안에서만 처리되고 서버로 올라오지 않는 구조라면 기재 범위가 달라지므로, 온디바이스 처리와 서버 수집을 구분해 정리해야 합니다.

Q. 외부 LLM API를 쓰면 국외이전인가요?

국외 사업자의 서버로 개인정보가 넘어간다면 국외이전입니다. 법 제28조의8 제1항은 제공(조회되는 경우를 포함한다)·처리위탁·보관을 모두 국외이전으로 보므로, 프롬프트에 담긴 개인정보가 해외 모델 제공자에게 전송되는 순간 해당합니다. 이 경우 이전의 근거와 함께 이전되는 항목, 이전 국가·시기·방법, 이전받는 자, 이용목적과 보유·이용 기간, 거부 방법과 그 효과를 처리방침에 적어야 합니다(시행령 제31조 제1항 제2호, 법 제28조의8 제2항).

Q. 학습에 쓰지 않으면 처리방침에 안 적어도 되나요?

학습 활용 여부와 기재 의무는 별개입니다. 학습에 쓰지 않더라도 입력값을 저장하거나 국외로 전송한다면 처리 항목과 국외이전 항목은 그대로 적어야 합니다. 반대로 학습에 쓴다면 그 목적과 범위, 그리고 이용자가 이를 거부할 수 있는 방법까지 함께 밝히는 것이 딥시크 시정권고 이후 형성된 실무 기준선에 가깝습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료