고객 데이터와 AI: 모델에 법적으로 포함시킬 수 있는 내용과 이를 증명하는 방법

AI와 고객 데이터 사용: 법적 고려사항

대부분의 기업이 AI를 고객 데이터에 적용하고자 할 때 먼저 묻는 질문은 "이것이 허용되는가?"입니다. 그러나 결정적인 것은 1년 후 규제 기관이나 대형 고객에게 이를 허용했고 적절하게 처리했음을 증명할 수 있는지 여부입니다. 법적 업무는 대부분 서류 작업과 규율에 관한 것입니다. 다행히도 이를 계획할 수 있습니다.

이 기사는 GDPR을 참고점으로 삼고 있는데, 이는 다른 개인정보 보호법의 기준을 가장 많이 복제하는 법률이기 때문입니다. 이 글은 법률 자문으로 간주되어서는 안 되며, 변호사들이 당신에게 물어볼 결정 사항들을 다루고 있으며, 미리 답변을 준비해 두는 것이 좋습니다.

목적을 명확히 하라

고객 데이터는 특정 이유 때문에 수집됩니다: 주문을 이행하거나, 지원을 제공하거나, 청구서를 보내기 위해서요. 일반적으로 법은 이를 해당 이유로 사용하고 그에 부합하는 목적으로 사용할 수 있도록 허용합니다. 지원 티켓을 사용하여 지원 팀이 더 빠르게 답변할 수 있도록 돕는 것은 보통 부합하지만, 같은 티켓을 다른 회사에 판매하기 위해 모델을 훈련시키는 것은 그렇지 않습니다.

따라서 데이터를 업로드하기 전에 다음 문장을 작성하세요: "우리는 이 데이터를 X를 수행하기 위해 Y의 이익을 위해 사용하고 있습니다." 만약 작성할 수 없거나 문장이 불분명하다면, 그만두세요. 이 문장은 모든 것의 기준이 됩니다.

법적 근거를 알자

개인 데이터의 모든 사용에는 합법적인 근거가 필요합니다. AI 프로젝트에 있어 현실적인 옵션은 일반적으로 계약(고객 서비스를 제공하기 위해 처리가 필요함), 합당한 이익(진정한 사업적 필요성이 있지만 고객의 권리를 침해하지는 않는 경우), 또는 동의입니다.

합당한 이익은 가장 일반적인 근거이며 가장 자주 주장되는 근거이지만, 실제 작업 없이 주장되는 경우가 많습니다. 이는 서면적인 균형 테스트를 요구합니다: 당신이 얻는 것, 고객이 위험에 처하는 것, 그리고 그들이 이 사용에 대해 합리적으로 기대할 수 있는 것. 이 문서를 작성하는 데에는 몇 시간이 걸리지만, 감사자가 가장 먼저 요청하여 확인하려는 문서입니다.

일부 데이터는 제외해야 한다

건강 정보, 생체 인식 데이터, 종교나 정치적 신념, 성적 지향, 노동조합 회원: 이러한 카테고리는 특별한 처리 기준을 가지고 있으며, 처리하기 위한 장벽이 훨씬 높습니다. 또한 어린이 데이터와 금융 식별자(카드 번호 등)도 주의가 필요합니다.

실용적인 규칙은 간단합니다. 해당 데이터를 처리하는 프로젝트가 없다면, 그리고 이에 대한 조언을 받지 않았다면, 모델에 도달하기 전에 필터링하세요. 적색 도구가 이를 위해 존재하며, 실제 데이터를 테스트하여 95%의 카드 번호를 걸러내도 5%는 여전히 통과할 수 있다는 점을 명심하세요.

데이터가 어디로 이동하는지 또한 중요하다

고객 데이터를 AI 공급업체에 전송하면 해당 공급업체는 당신의 처리자가 됩니다. 따라서 데이터 처리 계약서를 작성하고, 특히 다음 세 조항을 주의 깊게 읽어보세요:

훈련: 공급업체가 귀하의 입력을 자신의 모델을 개선하는 데 사용합니까? 일반적으로 비즈니스 계층은 '아니오'라고 명시합니다. 서면으로 확인하세요.
보관: 공급업체는 귀하의 요청에 따라 프롬프트와 출력을 얼마나 오래 보관합니까?
위치: 데이터는 어디에서 처리됩니까? EU 외부로 전송하려면 법적 메커니즘, 예를 들어 적절성 결정이나 표준 계약 조항이 필요합니다.

자신의 인프라에 모델을 실행하면 이러한 질문 대부분이 사라집니다. 하지만 문서화를 해야 합니다.

검색은 훈련보다 방어하기 쉽다

고객 데이터를 제공할 수 있는 두 가지 일반적인 방법이 있습니다. 모델을 훈련하거나 미세 조정하여 데이터가 모델의 일부가 되도록 하거나, 데이터를 자신의 시스템에 보관하고 모델이 답변할 때 필요한 정보를 조회하도록 합니다. 이를 '검색'이라고 부릅니다.

고객 데이터의 경우, 검색은 거의 항상 더 안전한 선택입니다. 고객이 데이터 삭제를 요청하면, 기록을 삭제하고 미래의 모든 답변에서 해당 기록이 사라집니다. 훈련된 모델에서 데이터를 추출하는 것은 실제로는 거의 불가능합니다. 이는 개인정보 삭제권을 이행하기가 매우 어려워진다는 것을 의미하며, 규제 기관은 이를 알고 있습니다.

어떻게 올바른 처리를 증명할 것인가

증명할 수 없는 준수는 가치가 없습니다. 다음 기록을 유지하고 최신 상태로 유지하세요:

처리 기록: AI 시스템, 데이터 소스, 목적 및 법적 근거를 나열한 문서입니다.
개인정보 보호 영향 평가: 새로운 기술과 대량의 개인 데이터가 거의 항상 이를 유발합니다. 이 문서는 규제 기관에게 가장 설득력 있는 문서 중 하나입니다.
처리자 계약서: 모든 데이터 처리 업체와 서명하세요.
로그: 데이터가 시스템에 입력된 시간, 권한, 그리고 귀하의 적색 작업이 실행되었음을 증명하는 증거를 포함합니다.
책임자: 시스템 변경 시 모든 위 항목을 검토하는 담당자를 지정하세요.

EU AI 법은 특히 고용이나 신용과 같은 고위험 영역에서 추가 문서 의무를 부과합니다. 만약 귀하의 기록이 이미 이러한 5가지 요소를 포괄한다면, 대부분 준비가 된 것입니다.

초기부터 무게를 지라

기업들이 문제가 되는 것은 시범 프로젝트를 먼저 실행하고 나중에 서류를 재구성하는 것입니다. 이를 반대로 하세요. 목적과 근거를 작성하고, 계약을 체결하고, 로그를 시작하고, 그리고 구축하세요. 이는 최대 몇 주가 더 걸릴 수 있지만, "증명할 수 있습니까?"라는 질문에 대한 답변이 폴더가 아닌 상황을 만들 수 있습니다.

이 기초 작업은 Hercules A가 제공하는 서비스 중 일부입니다. 당신이 저희와 함께 일하든 아니든, 이를 초기 단계에서 수행하세요.