AI 도구의 데이터 개인정보 보호는 한 가지 기준으로 귀결됩니다. 날짜가 포함된 엔드포인트 수준의 보존 기간을 공개하는 벤더를 신뢰하고, 그렇지 않은 벤더는 공개하기 전까지는 미검증 업체로 취급하십시오. OpenAI는 2023년 3월 1일부터 API 데이터가 기본적으로 학습에 사용되지 않음을 문서화하고, 프롬프트가 포함된 어뷰즈 모니터링 로그는 30일간 유지된다고 별도로 명시합니다(OpenAI). 이 두 가지는 별개의 제어 항목입니다. Anthropic은 API 입력값을 30일 이내에 삭제하지만, 이용 정책 위반 콘텐츠는 최대 2년, 분류기 점수는 7년간 보관합니다(Anthropic).
다섯 가지 질문, 네 개 벤더의 문서화된 답변, 그리고 디렉토리의 나머지 18,948개 도구를 분류하기 위한 4단계 모델을 소개합니다.
위험이 직원에서 벤더로 이동했습니다
직원 행동을 감사하는 것은 이 문제의 저렴한 절반이며, 다른 모든 체크리스트가 다루는 부분입니다. 비싼 절반은 API 반대편의 벤더가 전송된 데이터를 보관하는지, 얼마나 오래 보관하는지, 나중에 누가 이를 강제로 요구할 수 있는지입니다.
섀도 AI가 이제 기본 설정이 되었습니다
직원의 45%가 회사 기기에서 정기적으로 AI를 사용하며, 전년 대비 15%에서 증가했고, 그 중 67%는 비회사 계정을 통해 사용합니다.
섀도 AI는 또한 DLP 데이터셋에서 세 번째로 흔한 비악의적 내부자 행동으로 올라섰으며, 이는 전년 대비 4배 증가한 수치입니다. 따라서 "미승인 도구를 사용하지 말라"는 규칙은 점심 전에 회사 노트북에서 대부분의 직원이 어기는 규칙입니다. 현실적인 방법은 벤더 수준에서 분류하는 것입니다. 문서화된 기준을 통과하는 도구를 결정한 다음, 해당 도구를 가장 쉬운 선택지로 만드십시오. 그 범위는 대부분의 팀이 계획하는 것보다 큽니다. 저희 디렉토리는 디렉토리의 13,157개 AI 앱을 포함한 18,948개의 활성 목록을 추적합니다. 즉, 40개짜리 보안 설문 대신 10분 안에 적용할 수 있는 필터가 필요합니다.
침해 비용이 얼마나 드는가
높은 수준의 섀도 AI는 평균 침해 비용에 USD 670,000을 추가했으며, 이는 전 세계 평균 USD 4.44백만(USD 4.88백만에서 감소)과 평균 241일의 탐지 및 봉쇄 기간을 기준으로 측정된 값입니다.
같은 연구에서 두 가지 추가 수치가 원인을 가리킵니다. AI 관련 보안 사고를 경험한 침해 조직의 97%는 적절한 AI 접근 통제가 없었고, 조사된 600개 조직의 63%는 AI 거버넌스 정책이 없었습니다.
이 맥락에서 거버넌스는 좁고 검증 가능한 개념입니다. 어느 벤더가 어떤 데이터를 보유하고 있는지, 어떤 서면 보존 조건하에서 보유하는지, 지금 바로 열어 법무팀에 인용할 수 있는 날짜가 명시된 정책 페이지로 확인할 수 있어야 합니다.
AI 도구 데이터 개인정보를 결정하는 다섯 가지 질문
이 질문들에는 모두 올바른 유형의 답변이 있습니다. 저장하고, 날짜를 기록하고, 다음 분기에 다시 확인할 수 있는 문서입니다. 답변이 형용사로 돌아온다면 벤더는 그 질문에 실패한 것입니다. "엔터프라이즈급 보안"은 답이 아닙니다. 마지막 업데이트 날짜가 있는 URL이 답입니다.
1. 데이터가 모델 학습에 사용되는지, 어느 티어에서 사용되는지
필요한 문서는 티어를 명시한 정책 페이지입니다. OpenAI 문서는 "2023년 3월 1일부터 OpenAI API로 전송된 데이터는 (명시적으로 옵트인하지 않는 한) OpenAI 모델 학습이나 개선에 사용되지 않습니다"라고 명시하며(OpenAI Developer Docs), 이 기본값은 API에 적용되며 소비자용 ChatGPT에는 해당되지 않습니다. Anthropic은 소비자의 경우 반대 방향으로 기준을 설정했습니다. 학습을 허용한 무료, Pro, Max 사용자는 5년 보존, 옵트아웃한 경우 30일이며, Claude for Work, Gov, Education 및 API 액세스는 이 규정 밖에 있습니다(Anthropic).
팀이 실제로 구매한 SKU를 확인하십시오. 답변은 티어마다 다르며, 개인 로그인을 사용하는 직원은 계약과 다른 티어에 속합니다.
2. 보존 기간과 모든 예외 사항
엔드포인트 수준의 표가 필요합니다. OpenAI의 30일 어뷰즈 모니터링 기본값은 모든 곳에 적용되지 않습니다. 삭제하지 않은 Assistants API 객체는 "무기한 보존"되고, 파일은 "삭제할 때까지" 유지되며, /v1/videos는 다운로드용 48시간 + 어뷰즈 모니터링용 30일 동안 데이터를 보관합니다(OpenAI). Anthropic은 API 입력값과 출력값을 "수신 또는 생성 후 30일 이내에" 삭제하지만, 이용 정책 위반의 경우 2년, 신뢰 및 안전 분류 점수는 7년, 피드백 제출은 5년의 예외가 있습니다(Anthropic Privacy Center). 짧은 수치를 제시하는 모든 벤더에게 이 예외 목록을 서면으로 요구하십시오.
3. 누가 데이터에 접근하는지: 하위 처리자 및 모델 호스트
필요한 문서는 변경 통보 조항이 있는 버전 관리된 하위 처리자 목록입니다. 평가할 대부분의 도구는 래퍼이므로 실제 질문은 어떤 기반 모델이 어느 인프라에서 실행되는지입니다. 이는 데이터를 다루는 AI 에이전트에서 가장 중요한데, 에이전트는 여러 도구를 연결하고 작업당 하나 이상의 모델 호스트를 통해 라우팅하는 경우가 많습니다. 또한 하위 처리자 목록이 경계를 정의하는 플랫폼 수준 AI 벤더에도 중요합니다.
4. 처리 위치 및 거주지 설정이 기본값인지 여부
설정 화면 스크린샷과 활성화 날짜를 확보하십시오. 영업 통화에서의 "예"는 콘솔에서 지역이 프로젝트에 고정된 것을 확인하기 전까지는 아무 의미가 없으며, 기능 뒤에 있는 모델은 그 자체의 데이터 조건을 가집니다.
5. 법적 보존 명령 시 처리 방식
서면 법적 절차 정책이 필요합니다. 누가 통보를 받고, 언제 받으며, 어떤 티어가 보존 명령에서 제외되는지 명시되어야 합니다. 2026년 1월 5일 Sidney Stein 판사는 OpenAI가 2,000만 건의 비식별화된 소비자 ChatGPT 대화를 제출하도록 요구하는 명령을 확정했으며, 치안 판사의 판결이 "명백히 오류가 있거나 법에 위배되지 않는다"고 판시했습니다(Bloomberg Law). 이전 보존 명령은 2025년 10월 9일에 해제되었지만, 이미 포착된 로그는 계속 접근 가능한 상태로 남아 있습니다(ABA Journal). 법원은 삭제 일정보다 우선할 수 있습니다.
학습 옵트아웃과 보존은 별개의 제어 항목입니다
벤더는 귀하의 데이터로 학습하지 않는다고 사실대로 말하면서도 한 달 동안 디스크에 프롬프트를 보관할 수 있습니다. 이 두 가지는 별도의 문서에 있는 별도의 단락에서 관리되는 별개의 스위치입니다. 이를 혼동하는 것이 AI 벤더 검토에서 가장 흔한 실수입니다. 두 질문을 모두 하고 두 답변을 모두 저장하십시오.
OpenAI API 기본값이 말하는 것
OpenAI 개발자 문서의 정확한 문장은 다음과 같습니다. "2023년 3월 1일부터 OpenAI API로 전송된 데이터는 (명시적으로 옵트인하지 않는 한) OpenAI 모델 학습이나 개선에 사용되지 않습니다"(OpenAI Developer Docs). 이 기본값은 API에 적용됩니다. 소비자 ChatGPT 티어에는 해당되지 않으므로, 팀원이 개인 Plus 계정에 고객 자료를 붙여넣고 있다면 이 약속이 보호해주지 않습니다.
보존은 별도의 트랙에서 실행됩니다. OpenAI는 "특정 고객 콘텐츠(예: 프롬프트 및 응답)를 포함할 수 있는" 어뷰즈 모니터링 로그를 모든 API 기능 사용에 걸쳐 최대 30일 동안 보관합니다. "단, 법적으로 더 긴 보존이 필요하거나 OpenAI 서비스 또는 제3자를 피해로부터 보호하기 위해 합리적으로 필요한 경우는 제외됩니다"(OpenAI Developer Docs). 학습을 옵트아웃하더라도 해당 로그는 여전히 존재합니다.
30일이라는 수치가 엔드포인트 전반에 균일하지 않은 이유
대부분의 체크리스트는 "30일"이라고 적고 끝냅니다. 문서는 이보다 더 구체적입니다. 명시적으로 삭제하지 않은 Assistants API 객체는 "무기한 보존"되고, 파일은 "삭제할 때까지" 유지되며, /v1/videos API는 다운로드용 48시간 + 어뷰즈 모니터링용 30일 동안 데이터를 보관합니다(OpenAI Developer Docs).
따라서 "데이터를 얼마나 보관합니까"라는 질문의 답변은 엔지니어들이 연결한 엔드포인트에 따라 달라집니다. 청구서의 회사 이름으로는 결정되지 않습니다. 저희가 추적하는 AI 모델의 보존 기간을 비교할 때는 엔드포인트별, 제품 표면별로 확인하십시오. 회사당 하나의 숫자는 허구입니다.
Anthropic의 30일, 그리고 7년까지의 예외 사항
2026년 7월 1일 마지막으로 업데이트된 Anthropic의 상업용 보존 페이지에 따르면, 회사는 API 고객에 대해 "수신 또는 생성 후 30일 이내에 백엔드에서 입력값과 출력값을 자동으로 삭제"합니다(Anthropic Privacy Center). 같은 페이지의 예외 사항을 읽으면 상황이 달라집니다. 이용 정책 위반과 관련된 콘텐츠는 최대 2년, 신뢰 및 안전 분류 점수는 최대 7년, 사용자 피드백 제출은 5년 동안 보관됩니다(Anthropic Privacy Center).
7년은 30일 정책 위에 존재하는 두 번째 정책입니다. 짧은 보존 기간을 광고하는 모든 벤더에게 예외 목록을 서면으로 요구하십시오. 좋은 벤더는 공개하고, 나머지는 마케팅 페이지를 보내올 것입니다.
제로 데이터 보존은 신청해야 하는 것입니다
ZDR은 가장 강력한 통제 수단이지만 셀프서비스가 가장 적습니다. OpenAI 측에서는 서버 측에서 강제 적용되는데, 이것이 올바른 설계입니다. ZDR 하에서는 store 파라미터가 "요청이 값을 true로 설정하려 해도 항상 false로 처리됩니다"(OpenAI Developer Docs). 고객별로 신청하고 승인을 받아야 합니다. 체크박스가 없습니다.
Anthropic의 플랫폼 문서는 더 명확한 기준을 제시합니다. 대화 콘텐츠는 "기본적으로 보존되지 않으며, 예외는 30일 보존이 필요한 적용 대상 모델(Covered Models)"이고, Claude Fable 5.1, Mythos 5.1, Fable 5, Mythos 5는 "Anthropic의 명시적 승인 없이는 ZDR에서 사용할 수 없습니다"(Claude Platform Docs). 비준수 요청을 보내면 400 invalid_request_error가 반환되어 최소한 소리 없이 실패하지는 않습니다. 모델 선택이 이제 보존 결정입니다.
SOC 2는 CPA 회사가 작성하는 증명서입니다
SOC 2 보고서는 AICPA의 AT-C Section 205 증명 표준에 따라 CPA 회사가 시스템에 대해 작성하는 의견서입니다. 인증 기관도, 등록부도, 합격/불합격 기준도 없습니다(Vanta). 통제가 깨진 것을 발견한 감사인이 부정적 의견을 발행해도 그 문서는 여전히, 정확하게, SOC 2 보고서입니다.
'SOC 2 인증'이 그 자체로 경고 신호인 이유
AICPA의 지침이 해당 단어를 허용하지 않기 때문에 누구도 SOC 2로 인증을 받지 않습니다(Vanta). 보안 페이지에 "SOC 2 인증"이라고 쓰인 벤더는 자신의 감사인이 생산한 것을 모르거나 귀하가 모를 것이라고 기대하는 것입니다. 어느 쪽이든 해당 페이지의 나머지 내용을 얼마나 신뢰할 수 있는지에 대해 무언가를 알게 된 셈입니다.
보고서를 요청하십시오. 로고가 답변으로 돌아온다면, 그게 전부입니다.
SOC 2 주장을 검증 가능하게 만드는 것
네 가지가 있으며, NDA 하에 이 네 가지를 모두 제공하지 않는 벤더는 분위기만 제공하는 것입니다.
- 의견에 서명한 CPA 회사의 이름. 이를 통해 해당 회사가 인가된 실무 회사인지, 내부 팀이 아닌지 확인할 수 있습니다.
- Type I인지 Type II인지, 그리고 정확한 관찰 기간. 2026년 1월 1일부터 6월 30일을 포괄하는 Type II는 8월의 통제 상태에 대해 아무것도 알려주지 않습니다.
- 예외 섹션, 원문 그대로, 그리고 각 항목에 대한 경영진의 답변. 이 부분은 요약 PDF에서 잘려나가는 부분이며, 실제 발견 사항이 여기에 있습니다.
- 보고서가 커버하는 시스템. 기업 SaaS 제품으로 범위가 한정된 보고서는 고객 기록을 전송하는 추론 엔드포인트를 커버하지 않습니다.
ISO 42001과 감시 감사 문제
ISO/IEC 42001은 실제 인가 기관이 뒷받침하는 실제 인증이므로 SOC 2 마케팅 문구보다 더 강한 증거입니다. 그래도 유효기간이 있습니다. Anthropic은 2025년 1월 13일에 ANAB 인정을 통해 Schellman Compliance가 발행한 인가된 ISO/IEC 42001:2023 인증을 발표했습니다(Anthropic). 그 발표는 이제 1년 반이 지났습니다. 인증서에는 만료일이 있고 주기적인 감시 감사에 의존하므로, 보도 자료는 인증서가 한때 존재했음을 증명할 뿐, 현재도 존재한다는 것을 증명하지 않습니다.
벤더의 트러스트 센터에서 최신 인증서를 직접 확인하고, 유효 기간과 범위 설명을 확인한 후 날짜가 표시된 사본을 저장하십시오.
EU 데이터 거주지는 워크로드별 설정입니다
벤더에게 EU 데이터 거주지를 지원하는지 묻는 것은 트래픽의 절반을 커버할 수도 있는 "예"를 얻는 것입니다. 유용한 질문은 워크로드별로 하는 것입니다. 어떤 처리가 해당 지역에 유지되는지, 어떤 기본값 하에서 유지되는지, 그리고 활성화한 기능 뒤에 어떤 모델이 있는지를 확인하십시오.
모델 제외는 클라우드 선택을 초월합니다
Anthropic의 적용 대상 모델(Covered Models)은 Claude Console, Claude Enterprise, Amazon Bedrock, Google Cloud Agent Platform, Microsoft Foundry 모두에서 제로 데이터 보존이 불가능합니다(Anthropic Privacy Center). 클라우드를 선택하는 것으로 데이터 조건이 결정되지 않습니다. 기능 뒤에 있는 모델은 그 자체의 조건을 가지며, 벤더가 백엔드를 교체할 때 그 조건이 변경됩니다.
거주지 조항은 추론이 실행되는 위치와 기본 스토리지가 위치하는 곳을 규율합니다. 어뷰즈 모니터링 복사본은 별도의 일정으로 실행됩니다. OpenAI는 해당 로그를 기본적으로 최대 30일 동안 보관하며, "법적으로 더 긴 보존이 필요하거나 OpenAI 서비스 또는 제3자를 피해로부터 보호하기 위해 합리적으로 필요한 경우는 제외됩니다"(OpenAI Developer Docs).
계약하기 전에 관리자 콘솔에서 확인해야 할 세 가지:
- 라우팅 또는 거주지 토글의 이름, 현재 상태, 마지막 변경 날짜.
- 어떤 관리자 역할이 이를 변경할 수 있는지. 워크스페이스 소유자라면 누구든 비활성화할 수 있는 설정은 통제가 아닙니다.
- 날짜가 있는 파일로 저장된 버전 관리된 하위 처리자 목록. 다음 분기의 비교 작업이 2분짜리 일이 됩니다.
고객 기록을 다루는 소규모 벤더에게도 같은 질문을 적용하십시오. 공개된 지역 설정이 가장 먼저 사라지는 곳인 저희가 추적하는 2,917개의 AI 모바일 앱을 포함해서입니다.
AI법 위반 과태료가 이것을 가치 있게 만드는 이유
제99조의 최고 티어는 최대 €35,000,000 또는 전 세계 연간 총매출액의 7% 중 높은 금액이며, 중간 티어는 €15,000,000 또는 3%, 정보 티어는 €7,500,000 또는 1%입니다(EU AI Act). 이 상한선은 GDPR의 €2,000만과 4%를 초과합니다. 네 개의 관리자 콘솔에서 한 시간을 보내는 것은 이 금액에 비하면 저렴합니다.
모든 정책은 법원에 의해 무효화될 수 있습니다
삭제 일정은 비즈니스 약속입니다. 벤더를 귀하에게 구속합니다. 연방 판사를 구속하지 않으며, 둘이 충돌하면 판사가 이깁니다.
2,000만 건의 대화 제출 명령
2026년 1월 5일, 미국 지방 법원 판사 Sidney Stein은 통합 저작권 MDL의 뉴스 원고들에게 OpenAI가 비식별화된 소비자 ChatGPT 대화 2,000만 건의 샘플을 제출하도록 하는 치안 판사의 명령을 확정했으며, "Wang 판사의 판결이 명백히 오류가 있거나 법에 위배되지 않는다"고 판시했습니다(Bloomberg Law). 법원이 의존한 개인정보 보호 장치는 비식별화, 보호 명령, 변호사 열람 전용 지정이었습니다. 이것들은 실제 안전장치입니다. 대부분의 구매자는 30일 보존 정책을 데이터가 벤더를 벗어나지 않는다는 보장으로 읽으며, 이 명령은 그 간극의 크기를 보여줍니다.
2024년에 ChatGPT에 입력한 사람들은 그 과정에서 아무런 발언권이 없었습니다.
보존 명령은 왔다가 사라지지만 포착된 로그는 남습니다
이전 보존 명령은 2025년 10월 9일에 해제되었습니다. OpenAI는 이후 출력 로그 데이터의 보존 및 분리 의무에서 해제되었고, 제한적인 예외를 제외하고는 2025년 9월 26일 이후의 로그를 더 이상 보관할 필요가 없게 되었습니다. 명령 하에 이미 포착된 로그는 계속 접근 가능한 상태로 남았습니다(ABA Journal). 소송 보존 명령은 래칫과 같습니다. 언제든지 삭제 일정을 중단시킬 수 있으며, 해제된다고 해서 그 동안 동결된 데이터가 캡처 취소되는 것은 아닙니다.
어떤 티어가 제외되었는지, 그리고 그것이 중요한 이유
제로 데이터 보존을 적용한 API 고객, ChatGPT Enterprise, Edu는 원래 보존 명령에서 제외되었습니다(ABA Journal). 이것이 법적 압박 하에서 어떤 계약 티어가 유지되는지에 대한 가장 가까운 증거입니다. 소비자 티어는 포함되었습니다. 서명된 엔터프라이즈 계약과 서버 강제 ZDR이 있는 티어는 포함되지 않았습니다.
어떤 도구에도 적용할 수 있는 4단계 신뢰 모델
사용하는 모든 도구를 네 가지 티어 중 하나로 분류하고, 티어에 따라 접근할 수 있는 데이터를 결정하십시오. 폴더에 저장할 수 있는 문서가 티어를 설정하며, 영업 엔지니어의 통화 중 확약은 티어를 높이지 않습니다. 벤더 자체 도메인의 날짜가 있는 정책 URL. 명명된 CPA 회사와 시작일·종료일이 있는 보고서 기간. 버전 또는 변경 이력이 있는 하위 처리자 목록. 관리자 콘솔에서 스크린샷으로 확인할 수 있는 거주지 토글.
티어 1, 공개 전용: 검증 가능한 문서 없음
보존 페이지를 찾을 수 없거나, 트러스트 센터가 문의 양식이거나, 하위 처리자 목록이 "요청 시 제공"인 경우입니다. 해당 도구를 공개 채널로 취급하십시오. 마케팅 사이트에 편안하게 게시할 수 있는 내용만 입력하고, 그 외에는 아무것도 입력하지 마십시오. AI 앱 디렉토리의 13,157개 도구 대부분은 기본적으로 여기에 속합니다. 다른 회사 API를 기반으로 한 2인 래퍼는 보통 아무런 문서도 없기 때문입니다.
티어 2, 내부용: 날짜가 있는 정책, 명명된 감사인, 공개된 하위 처리자
파일에 세 가지 문서가 있으며, 각각 작성한 날짜가 있습니다. 내부 문서는 괜찮습니다. 고객 데이터는 안 됩니다.
티어 3, 기밀: 계약상 ZDR, 거주지 활성화, 법적 절차 약속
제로 데이터 보존은 서명된 계약에 포함되어야 하며, OpenAI 측에서는 귀하가 토글하는 것이 아니라 고객별로 신청하고 승인받는 방식으로 적용됩니다(OpenAI Developer Docs). 또한 벤더가 소환장 및 보존 명령을 처리하는 방법에 대한 서면 약속도 필요합니다. 기밀 비즈니스 데이터, 소스 코드, 고객 기록이 여기에 해당합니다.
티어 4, 규제 대상: 서명된 계약과 분기별 재확인이 있는 경우에만
의료 데이터, 금융 기록, 실질적인 DPA 하에 있는 모든 데이터. 서명된 계약, 명명된 하위 처리자, 워크로드별로 확인된 거주지, 그리고 다음 검토를 위한 달력 항목. 네 가지 모두를 충족할 수 없다면 해당 워크로드는 도구에서 배제하거나 디스크를 직접 소유하는 셀프 호스팅 오픈 소스 대안으로 이전하십시오.
유효성 규칙: 분기를 초과한 모든 평가는 만료된 것입니다
2026년 6월 9일, Anthropic은 네 개의 적용 대상 모델을 지정하고 Claude Console, Claude Enterprise, Amazon Bedrock, Google Cloud Agent Platform, Microsoft Foundry 전반에서 해당 모델들의 ZDR 옵션을 제거했습니다(Anthropic Privacy Center). ZDR 조건에 서명한 고객들은 잘못한 것이 없었습니다. 약속이 그들 밑에서 좁아진 것입니다. 이것이 매 분기마다 모든 문서를 다시 수집하고 비교해야 하는 이유이며, 조건이 가장 빠르게 바뀌는 기반 모델 벤더에게 가장 강하게 적용됩니다.
20분 안에 평가 실행하기
벤더 이름을 붙인 폴더를 여십시오. 공개 페이지와 이메일 한 통으로 20분 안에 채울 수 없다면, 해당 도구는 티어 1에 머물고 고객 데이터는 절대 접근하지 않습니다. 그 기본값이 어떤 점수 기준보다 더 많은 일을 합니다.
통화 전에 수집해야 할 다섯 가지 문서
다섯 가지 모두 보통 공개되어 있습니다. PDF 또는 날짜가 표시된 스크린샷으로 저장하십시오. 페이지는 언제든지 변경될 수 있습니다.
- 보존 페이지와 해당 페이지 자체의 마지막 업데이트 날짜. Anthropic의 페이지는 2026년 7월 1일이라고 명시하고 API 입력값과 출력값에 대해 30일을 제공합니다(Anthropic Privacy Center). OpenAI의 데이터 제어 가이드는 2023년 3월 1일 API 학습 기본값을 제공합니다(OpenAI).
- 헤드라인 수치가 아닌 엔드포인트별 보존 표. 삭제하지 않은 Assistants API 객체는 "무기한 보존"됩니다(OpenAI).
- 예외 목록. Anthropic은 이용 정책 위반의 경우 2년, 신뢰 및 안전 점수의 경우 7년, 피드백의 경우 5년을 공개합니다(Anthropic). 대부분의 벤더는 공개하지 않으며, 그 자체가 하나의 답변입니다.
- 변경 통보 기간이 있는 버전 관리된 하위 처리자 목록.
- SOC 2 보고서 표지, 또는 보고서를 받기 위한 NDA 요청.
벤더들이 일상적으로 회피하는 네 가지 질문
그대로 전송하십시오. 같은 이메일 스레드에서 서면으로 답변을 요청하여 폴더에 첨부할 수 있는 내용을 확보하십시오.
가장 최근 SOC 2 보고서에 서명한 CPA 회사의 이름과 정확한 보고서 기간을 명시하십시오. Anthropic은 ISO 42001 인증서에 Schellman Compliance를 명시했으므로(Anthropic), 그 기준은 공개적이고 충족 가능합니다. 명시된 보존 기간의 모든 예외를 나열하십시오. EU 거주지가 이미 생성된 프로젝트에서 활성화될 수 있는지, 아니면 새 프로젝트에서만 가능한지 확인하십시오. 저희 데이터를 대상으로 한 소환장 또는 보존 명령을 받았을 때의 통보 정책을 명시하십시오.
답변이 마케팅 페이지인 경우 처리 방법
트러스트 센터 랜딩 페이지 링크는 답변이 아닌 것으로 취급하고, 확인받고 싶은 특정 문장과 함께 질문을 다시 전송하십시오. 한 번 추가 질문 이후 침묵은 티어를 결정합니다. 티어 1, 공개 데이터 및 합성 데이터만 허용됩니다. 같은 20분으로 디렉토리의 어떤 목록에도 이를 적용할 수 있으며, 소규모 벤더는 대규모 벤더보다 더 빨리 실패하여 통화 시간을 절약할 수 있습니다.
자주 묻는 질문
회사 데이터로 AI 도구를 사용하는 것이 안전한가요?
어떤 티어와 계약을 맺고 있느냐에 전적으로 달려 있으며, 소비자 티어에 대부분의 위험이 있습니다. OpenAI 개발자 문서에 따르면 2023년 3월 1일부터 OpenAI API로 전송된 데이터는 명시적으로 옵트인하지 않는 한 OpenAI 모델 학습이나 개선에 사용되지 않으며, 이 기본값은 소비자 ChatGPT 플랜이 아닌 API에만 적용됩니다. 실질적인 위험은 관리되지 않는 사용에 있습니다. 직원의 45%가 현재 회사 기기에서 정기적으로 AI를 사용하며 전년 대비 15%에서 증가했고, 67%는 비회사 계정을 사용합니다. AI 관련 보안 사고를 경험한 침해 조직의 97%는 적절한 AI 접근 통제가 부재했습니다. 명명된 보존 조건이 있는 비즈니스 계약으로 직원들을 이전하십시오. 높은 수준의 섀도 AI는 평균 침해 비용에 약 USD 670,000을 추가했기 때문입니다.
AI 학습에서 옵트아웃하면 데이터가 저장되지 않나요?
아닙니다. 학습 옵트아웃과 보존은 두 개의 별개 제어 항목이며, 벤더들은 이를 별도로 문서화합니다. OpenAI는 "모든 API 기능 사용에 걸쳐 기본적으로 최대 30일 동안 특정 고객 콘텐츠(예: 프롬프트 및 응답)를 포함할 수 있는" 어뷰즈 모니터링 로그를 보관하며, 30일이라는 수치는 균일하지 않습니다. 삭제하지 않은 Assistants API 객체는 "무기한 보존"되고, 파일은 "삭제할 때까지" 유지되며, /v1/videos API는 다운로드용 48시간 + 어뷰즈 모니터링용 30일 동안 데이터를 보관합니다. Anthropic의 상업 정책은 "수신 또는 생성 후 30일 이내에 백엔드에서 입력값과 출력값을 자동으로 삭제"한다고 명시하며, 훨씬 긴 예외가 있습니다. 이용 정책 위반과 관련된 콘텐츠는 최대 2년, 신뢰 및 안전 분류 점수는 최대 7년, 피드백 제출은 5년. 모든 벤더에게 해당 예외 목록을 서면으로 요구하십시오.
AI 벤더에게 'SOC 2 인증'이란 무슨 의미인가요?
벤더가 AICPA 자체 지침에서 허용하지 않는 언어를 사용하고 있다는 의미입니다. SOC 2는 AT-C Section 205에 따라 인가된 CPA 회사가 수행하는 증명으로, 인증 기관이 없고 합격/불합격 결과가 없으므로 부정적인 의견도 여전히 "SOC 2 보고서"를 생성합니다. 보고서 자체, CPA 회사 이름, 보고서 기간, 의견을 요청하십시오. 마케팅 페이지의 배지는 이 중 어느 것도 알려주지 않습니다. ISO/IEC 42001은 이에 비해 실제 인증이며, Anthropic은 2025년 1월 13일에 ANAB 인정 기관인 Schellman Compliance를 통해 인가된 ISO 42001 인증을 발표했습니다. 인증서는 주기적인 감시 감사가 필요하므로 발표보다는 최신 인증서를 확인하십시오.
계약 후 벤더의 제로 데이터 보존 약속이 변경될 수 있나요?
예, 2026년에 문서화된 사례가 있습니다. 2026년 6월 9일 도입된 Anthropic의 적용 대상 모델 보존 규칙은 Claude Console, Claude Enterprise, Amazon Bedrock, Google Cloud Agent Platform, Microsoft Foundry 전반에서 해당 모델들의 ZDR 옵션을 제거했습니다. 플랫폼 문서에는 이제 대화 콘텐츠가 "기본적으로 보존되지 않으며, 예외는 30일 보존이 필요한 적용 대상 모델로, Claude Fable 5.1, Mythos 5.1, Fable 5, Mythos 5가 이에 해당하며 Anthropic의 명시적 승인 없이는 ZDR에서 사용할 수 없다"고 명시되어 있으며, 비준수 요청은 400 invalid_request_error를 반환합니다. ZDR은 OpenAI에서도 토글이 아닙니다. 고객별로 승인되며, 승인되면 store 파라미터가 "요청이 값을 true로 설정하려 해도 항상 false로 처리됩니다".
EU 데이터 거주지는 프롬프트가 유럽을 벗어나지 않는다는 것을 의미하나요?
아닙니다. 거주지를 예/아니오 체크박스로 취급하는 것이 구매자들이 곤란해지는 방식입니다. 거주지 조항은 일반적으로 추론이 실행되는 위치와 기본 스토리지가 위치하는 곳을 규율하지만, 어뷰즈 모니터링 복사본은 별도의 일정에 따라 운영됩니다. OpenAI는 해당 로그를 기본적으로 최대 30일 동안 보관하며 "법적으로 더 긴 보존이 필요하거나 OpenAI 서비스 또는 제3자를 피해로부터 보호하기 위해 합리적으로 필요한 경우는 제외됩니다". 모델 수준의 제외는 클라우드 경계를 초월합니다. Anthropic의 적용 대상 모델은 Amazon Bedrock, Google Cloud Agent Platform, Microsoft Foundry 모두에서 ZDR이 불가능합니다. 하위 처리자 목록과 옵트아웃 기본값을 확인한 후 불이익을 산정하십시오. EU AI법 위반 과태료는 최대 €35,000,000 또는 전 세계 연간 총매출액의 7% 중 높은 금액입니다.
AI 도구의 개인정보 현황을 얼마나 자주 재확인해야 하나요?
매 분기마다, 그리고 새로운 워크로드가 규제 데이터에 접근하기 직전에 재확인하십시오. 최근 사례는 연간 검토가 너무 느린 이유를 보여줍니다. Anthropic의 2025년 8월 28일에 공개된 소비자 약관 업데이트는 학습을 허용한 무료/Pro/Max 사용자에게 5년 보존을 설정하고 2025년 10월 8일을 결정 기한으로 정했습니다. 적용 대상 모델에 대한 ZDR 예외는 2026년 6월 9일에 시행되었습니다. 법원 명령은 정책 페이지보다 더 빠르게 움직입니다. ChatGPT 로그 보존 명령은 2025년 10월 9일에 해제되었지만 이미 포착된 로그는 계속 접근 가능한 상태로 남아 있으며, 2026년 1월 5일 Sidney Stein 판사는 OpenAI가 비식별화된 소비자 ChatGPT 대화 2,000만 건을 제출하도록 하는 명령을 확정했습니다. 분기를 초과한 날짜가 있는 1차 출처 URL이 포함된 평가는 만료된 것으로 취급해야 합니다.
