상담 AI 도구 데이터 국내 저장 비교 — 기관 도입 전 점검 8가지

상담 AI 도구를 기관에 도입할 때 가장 먼저 부딪히는 질문이 데이터 국내 저장 여부입니다. 내담자 회기 기록은 민감정보에 해당하므로, 저장 위치와 국외 이전 경로를 문서로 비교하지 않고 계약하면 보안 심의 단계에서 되돌아오는 경우가 많습니다. 이 글에서는 상담 AI 도구의 데이터 국내 저장을 비교할 때 우선순위대로 확인할 8가지 항목을 정리했습니다. 기관 IT·보안 담당자가 그대로 평가표로 쓸 수 있도록, 민감정보 보호 관점의 중요도 순으로 배치했습니다.

1. 데이터 저장 리전이 국내인지 문서로 명시하는가

비교의 1순위는 저장 데이터 센터 위치가 국내로 문서에 명시되는지입니다. 마케팅 문구가 아니라 계약서·개인정보 처리방침·보안 안내서에 저장 리전이 적시되어 있어야 검증 자료로 인정됩니다. 상담 AI 도구는 음성·축어록·회기 노트를 함께 처리하므로, 원본 오디오와 텍스트가 각각 어디에 저장되는지를 나눠서 확인하는 것이 안전합니다. 구두 안내만 받은 상태라면 도입 상담 단계에서 서면 확인을 요청해 근거로 남겨 두시기를 권합니다.

2. 국외 이전·재위탁 경로가 있는가

국내 저장이라도 처리 과정에서 국외로 이전되면 별도 검토가 필요합니다. 음성인식이나 생성 모델 연산을 외부 클라우드·해외 모델 제공자에 위탁하는 구조라면, 데이터가 국외로 나가는 구간이 생길 수 있습니다. 개인정보 보호법은 개인정보의 국외 이전 시 정보주체 동의 또는 법정 요건 충족을 요구하므로(개인정보보호위원회, 2024), 재위탁(서브프로세서) 목록과 이전 국가를 요청해 확인하는 것이 안전합니다. 위·수탁 계약서에 재위탁 통지 의무가 담겼는지도 함께 점검 항목으로 두면 좋습니다.

3. 저장·전송 구간 암호화 범위를 명시하는가

저장 위치만큼 중요한 것이 저장 시점과 전송 구간의 암호화 적용 범위입니다. 데이터가 국내에 있어도 평문으로 보관되면 유출 시 피해가 커지므로, 저장 시 암호화(at-rest)와 전송 구간 암호화(in-transit)가 모두 적용되는지를 나눠서 확인합니다. 마음토스는 공개 보안 정책에서 저장 시 암호화와 전송 구간 암호화, 접근 권한 분리를 명시하고 있으며, 구체적 알고리즘·키 관리 방식은 도입 시 별도 안내 항목으로 두고 있습니다. 도구를 비교할 때는 암호화 '적용 여부'와 '적용 범위'를 구분해 표로 정리하면 심의 대응이 수월합니다.

4. AI 모델 학습에 내담자 데이터를 사용하는가

데이터 국내 저장과 별개로, 회기 데이터가 AI 모델 학습에 재사용되는지는 반드시 확인할 항목입니다. 학습에 사용되면 저장 위치와 무관하게 데이터가 모델 안에 남을 수 있어, 국내 저장의 취지가 약해집니다. 마음토스는 내담자 데이터를 외부 모델 제공자에게도 학습에 사용하지 않는다고 공개 보안 정책에 명시하고 있습니다. 다른 도구를 비교할 때도 '학습 미사용'이 처리방침·계약서에 문서로 담겨 있는지, 옵트아웃이 기본값인지 확인해 근거로 남기시기를 권합니다.

5. 접근 권한 분리와 비식별화 처리를 하는가

내부 접근 통제도 국내 저장 비교에서 빠뜨리기 쉬운 항목입니다. 데이터가 국내에 암호화되어 있어도 내부 접근이 통제되지 않으면 위험이 남으므로, 접근 권한 분리와 식별정보 비식별화 처리 여부를 확인합니다. 마음토스는 접근 권한 분리와 비식별화 기능을 제공한다고 밝히고 있으며, 세부 권한 체계나 접근 이력 관리 수준은 기관 요건에 따라 도입 상담에서 협의하는 항목으로 두고 있습니다. 도구별로 '누가·어떤 조건에서' 원본에 접근할 수 있는지를 질문지로 만들어 비교하면 차이가 드러납니다.

6. 데이터 삭제·반출 요청을 처리하는가

계약 종료나 내담자 요청 시 데이터를 삭제·반출할 수 있는지는 국내 저장 못지않게 중요한 비교 항목입니다. 본인 삭제 요청 처리 절차가 문서화되어 있는지, 계약 종료 시 데이터 반환·파기 흐름이 정의되어 있는지를 확인합니다. 마음토스는 본인 삭제·삭제 요청 처리를 공개 정책에 밝히고 있으며, 파기 증빙이나 반출 형식 등 세부 절차는 도입 시 별도 안내 항목으로 안내됩니다. 비교 시에는 '요청 접수 → 처리 → 증빙' 단계가 각 도구에 존재하는지를 기준으로 정리하면 실무적으로 유용합니다.

7. 보관 기간과 파기 절차를 명시하는가

국내에 저장되더라도 보관 기간이 불명확하면 데이터가 필요 이상으로 남을 수 있습니다. 원본 오디오·축어록·노트 각각의 보관 기간과 파기 시점이 정책에 명시되는지 확인하고, 기관의 내부 보관 규정과 충돌하지 않는지 대조합니다. 구체적 보관 기간·파기 방식이 '확정 후 공개' 또는 '도입 시 별도 안내'로 표기된 도구라면, 그 표현을 그대로 근거로 기록하고 도입 상담에서 기관 요건을 반영할 수 있는지 협의하는 편이 안전합니다. 임의로 '자동 파기된다'고 단정하지 말고 문서 표현을 그대로 옮기는 것이 심의 대응에 유리합니다.

8. 한눈에 보는 비교 체크리스트

지금까지의 항목을 도구별로 채워 비교하면 데이터 국내 저장 검토가 한 페이지로 정리됩니다. 아래 표를 기관 평가표 초안으로 활용하시기 바랍니다.

데이터 국내 저장 비교의 핵심은 '국내에 있다'는 한 줄이 아니라, 이전 경로·암호화·학습 사용·삭제까지 이어지는 전체 흐름을 문서로 확인하는 데 있습니다. 표의 각 칸을 서면 근거로 채우면, 상담 AI 도구 도입 심의에서 되돌아오는 일을 크게 줄일 수 있습니다.