프라이버시, AI, 그리고 적용되는 규칙

AI를 쓰는 스위스 회사는 이름이 들어간 첫 프롬프트부터 자국 데이터보호법의 적용을 받습니다. EU에 있는 사람들에게 서비스를 제공한다면 GDPR과 EU 인공지능법(AI Act)도 시야에 들어옵니다. 올해 그 규칙 중 여러 개가 바뀌었습니다.

더 큰 위험은 법보다 습관인 경우가 많습니다. IBM의 2025년 데이터 유출 연구에 따르면 조직 다섯 곳 중 한 곳이 섀도 AI, 즉 직원들이 승인 없이 쓰는 도구와 관련된 유출을 겪었으며, 섀도 AI 수준이 높으면 유출 비용이 평균 670'000달러 늘었습니다. AI 모델이나 애플리케이션에서 유출을 겪은 조직의 97퍼센트는 AI에 대한 적절한 접근 통제를 갖추지 못했습니다.

2026년 10월 현재 규칙이 어디에 와 있는지, 그리고 신중한 회사는 무엇을 하는지 정리합니다. 개관이며 법률 자문은 아닙니다.

스위스: 법은 이미 적용된다

스위스에는 아직 AI 법이 없지만, AI가 규제 밖에 있는 것은 아닙니다. 개정 스위스 연방 데이터보호법(FADP)은 2023년 9월 1일부터 시행되고 있으며, 연방 데이터보호·정보 커미셔너(FDPIC)은 2023년 11월부터, 그리고 2025년 5월에 다시, 이 법이 AI를 활용한 개인 데이터 처리에 직접 적용된다고 밝혀 왔습니다.

FDPIC는 AI 처리의 목적, 작동 방식, 데이터 출처에 대한 투명성을 기대합니다. 사람들은 자신이 기계를 상대하고 있는지, 그리고 자신이 입력한 내용이 시스템 개선에 쓰이는지 알 권리가 있습니다. 고위험 처리에는 데이터보호 영향평가가 필요하며, 식별 가능한 사람의 얼굴, 이미지, 목소리를 조작한 경우에는 항상 명확하게 표시해야 합니다. 위원은 실시간 포괄적 안면 인식과 사회적 점수 매기기를 금지 사항으로 꼽습니다.

위원은 이를 대형 플랫폼에도 적용합니다. 2025년 3월 위원은 Grok 학습에 X 게시물을 사용한 것에 대한 예비 조사를 종결하면서, 사용자가 이의를 제기할 수 있다는 점을 짚었습니다.

전용 법체계도 준비되고 있습니다. 연방 법무경찰부는 유럽평의회의 AI 협약을 이행하기 위한 법안을 2026년 말까지 의견 수렴에 부칠 수 있도록 작성하고 있으며, 투명성, 데이터 보호, 차별 금지, 감독에 초점을 맞추고 있습니다.

옴니버스 이후의 EU 인공지능법

EU 인공지능법은 2024년 8월 1일 발효되었으며 단계적으로 적용됩니다. 금지된 관행과 AI 리터러시 의무는 2025년 2월 2일부터, 범용 모델에 대한 의무는 2025년 8월 2일부터 적용되고 있습니다. 법의 대부분은 투명성 규칙을 포함해 2026년 8월 2일부터 적용됩니다. 챗봇과 대화할 때는 그 사실을 알려야 하고, 딥페이크에는 표시를 해야 합니다.

AI에 관한 디지털 옴니버스인 Regulation (EU) 2026/1744는 2026년 7월 27일 발효되었습니다. 이 규정은 고위험 시스템에 대한 규칙의 시점을 옮깁니다. 생체 인식, 교육, 고용 같은 분야에서 쓰이는 시스템은 2027년 12월 2일부터, 승강기나 장난감처럼 규제 대상 제품에 내장된 시스템은 2028년 8월 2일부터 의무가 적용됩니다. 또 2026년 12월부터 동의 없이 사람의 성적 이미지를 생성하거나 아동 성학대물을 생성하는 AI를 금지하고, 간소화된 문서화 요건을 소규모 중견기업까지 확대합니다.

AI를 만들기보다 사용하는 대부분의 회사에게 이 연기로 달라지는 것은 거의 없습니다. 투명성과 리터러시 의무는 지금 적용됩니다. 추가된 시간은 누구를 채용할지처럼 사람에 대해 결정하는 시스템을 위한 것입니다.

GDPR, 그리고 아직 법이 아닌 개정

GDPR 자체는 바뀌지 않았습니다. 2024년 12월 유럽 데이터보호이사회는 AI 모델에 GDPR을 어떻게 해석하는지 밝혔습니다. 개인 데이터로 학습한 모델은, 모델로부터 직접 또는 모델에 던진 질문을 통해 사람을 식별할 가능성이 매우 낮을 때에만 익명으로 간주되며, 이는 사례별로 판단합니다. 정당한 이익은 처리가 엄격히 필요하고 권리 간의 균형이 유지되는 경우에만 법적 근거가 됩니다. 그리고 불법적으로 처리된 데이터로 만든 모델은 적절히 익명화되지 않았다면 이후 사용의 적법성에 영향을 줄 수 있습니다.

별도의 옴니버스는 GDPR과 데이터법(Data Act)의 일부를 완화하려 합니다. 2026년 10월 7일 회원국 대사들은 독일과 프랑스가 시간을 더 요청하자 EU 이사회 입장에 대한 표결을 연기했고, 10월 11일 회의에서는 이 문안이 논의되지도 표결되지도 않았습니다. 베를린은 소규모 기업과 비영리 단체를 여러 의무에서 면제해 줄 저위험 컨트롤러 범주를 원합니다. 이 중 어느 것도 아직 적용되지 않으며, 저희는 오늘 쓰여 있는 그대로의 GDPR을 기준으로 계획합니다.

계약과 데이터 이전

업무에서 쓰는 AI 대부분은 회사를 대신해 개인 데이터를 처리하는 제공업체를 거치며, 회사의 규칙이 담기는 곳은 계약서입니다. 계약서에는 제공업체가 프롬프트와 파일로 무엇을 할 수 있는지, 이를 로그와 함께 얼마나 오래 보관하는지, 어떤 하위 처리자를 어디서 쓰는지, 그리고 계약이 끝나면 데이터가 어떻게 되는지가 적혀 있어야 합니다. 제공업체가 귀사의 데이터로 학습하지 않는다고 말한다면, 서명한 계약서에서 그 문장을 찾아보십시오.

스위스에서 미국으로 나가는 데이터에는 법적 근거가 필요합니다. 2024년 9월 15일부터 Swiss-US Data Privacy Framework에 따라 인증받은 미국 기업으로는 추가 보장 없이 데이터를 이전할 수 있으므로, 각 제공업체와 각 하위 처리자의 인증 여부를 확인하십시오. 이에 상응하는 EU의 체계는 2025년 9월 3일 EU 일반법원에서 첫 번째 이의 제기를 넘어섰습니다. 2025년 10월 31일 제기된 항소는 저희가 아는 한 아직 판결이 나지 않았습니다. 귀사의 어떤 도구가 미국으로의 데이터 이전에 의존하는지, 그리고 그 대신 무엇을 할지 알아 두십시오.

신중한 회사가 지금 하는 일

이 중 어느 것도 대규모 프로그램이 필요하지 않습니다. 필요한 것은 목록 하나, 몇 가지 결정, 그리고 그것을 책임질 사람입니다.

목록을 만드십시오. 사용 중인 모든 AI 도구, 거기에 들어가는 데이터, 제공업체, 국가, 계약을 적습니다. 승인된 것이 아니라 팀이 실제로 쓰는 것을 물어보십시오.

데이터를 공개, 내부, 기밀로 분류하고, 어떤 등급의 데이터가 어떤 도구에 들어가도 되는지 한 페이지로 정리하십시오.

좋은 것을 제공하십시오. 섀도 AI는 승인된 도구가 무료 도구보다 못한 곳에서 자랍니다. 제대로 작동하는 승인된 어시스턴트가 있으면, 고객 데이터를 개인 계정에 붙여 넣을 이유의 대부분이 사라집니다.

접근을 통제하십시오. AI 도구에도 다른 모든 시스템과 같은 역할, 로그인, 퇴사 처리 절차를 적용합니다. 모든 것을 읽을 수 있는 어시스턴트는 언젠가 그것을 엉뚱한 사람에게 보여 줄 것입니다.

사람들에게 알리고 위험한 경우는 평가하십시오. 고객이 기계와 대화하고 있다면 웹사이트에 그렇게 밝히고, AI가 민감한 데이터를 다루거나 사람에 대해 결정하기 전에 영향평가를 하십시오.

책임자를 정하십시오. Cisco의 2026년 연구에서 조직 네 곳 중 세 곳은 AI 거버넌스 기구를 두고 있었지만, 그 기구가 성숙하다고 답한 곳은 12퍼센트에 불과했습니다. 그리고 보내기 버튼은 사람에게 맡기십시오. 누군가의 데이터로 무엇을 해도 되는지는 판단의 문제이며, 판단은 사람에게 남습니다.

저희가 이에 맞춰 만드는 방식

저희 제품도 같은 규칙을 따릅니다. Kontor는 bexio에서 견적서와 청구서를 작성하며 자체적으로는 아무것도 저장하지 않습니다. 데이터는 bexio에 머물고, 발송, 결제, 독촉은 사람의 몫으로 남습니다.

Twin은 각 역할에 회사 두뇌 중 필요한 부분만 제공하며, 모든 쓰기 작업은 사용자별 로그인으로 이루어집니다. 스위스나 EU, 또는 고객 자체 하드웨어에서 실행되며, 데이터가 공개 모델의 학습에 쓰이는 일은 결코 없습니다.

데이터가 회사 밖으로 아예 나가서는 안 될 때는 파트너 Eigna Labs가 만든 Eigna가 회사 자체 클라우드나 자체 서버에서 프라이빗 모델로 실행되며, GDPR과 EU 인공지능법을 고려해 설계되었습니다.

규칙은 계속 바뀔 것입니다. 자사 데이터가 어디로 가는지 아는 회사는 그 규칙을 따라갈 수 있습니다.