Test Logo

대학 등 교육기관에 LLM 기반 AI 상담 챗봇을 공급하는 에듀테크 기업은 학생이 질문하면 학교 학사시스템과 연동하여 해당 학생의 학점·수강이력 등을 참조해 맞춤형 답변을 제공하는 기능을 도입 검토 중이었습니다. 

이와 관련하여 학생 정보를 해외 LLM 사업자에게 전송하는 것과 관련된 법률 검토 및 고객사인 교육기관 측과의 관계에서 개인정보 유출 시 손해배상책임 등 계약상 책임 배분 전반에 관한 법률검토를 의뢰하였습니다.

먼저 학교, 공급사, LLM 사업자의 법적 지위를 정리하였습니다. 판례는 처리위탁과 제3자 제공을 개인정보 이전이 누구의 업무와 이익을 위한 것인지에 따라 구분합니다. 

본건 챗봇은 학생의 학사 질의에 응대하는 학교의 업무를 위하여 운영되므로, 학교·공급사·LLM 사업자를 각각 위탁자·수탁자·재수탁자로 보았습니다. 

다만 공급사나 LLM 사업자가 이전받은 정보를 자신의 모델 학습 등에 이용하는 경우에는 제3자 제공으로 평가될 수 있다는 점을 함께 짚었습니다. 이에 따라 재위탁에 관한 위탁자의 동의(개인정보 보호법 제26조 제6항)를 확보하도록 하였습니다. 

또한 해외 LLM 사업자들의 영문 데이터처리부속서(DPA)가 개인정보 보호법 및 시행령이 정한 위탁문서 기재사항에 대응하는지를 항목별로 대조하였습니다.

국외이전의 적법근거와 관련해서도 검토하였습니다. 처리위탁 목적의 국외이전은 정보주체와의 계약 체결·이행에 필요한 경우 처리방침 공개로 갈음할 수 있습니다(제28조의8 제1항 제3호). 

그러나 판례는 국립대학과 재학생의 관계를 계약관계가 아닌 영조물이용관계로 보고 있어, 사립대학과 달리 위 근거의 적용에 다툼의 여지가 있다는 점을 지적하였습니다. 

또한 식별자를 마스킹하더라도 과목명·학년·성적 등의 조합만으로 소수 수강생이 재식별될 가능성이 있습니다. 따라서 전송 데이터를 가명정보로 전제하기보다는, 여전히 개인정보에 해당할 수 있음을 전제로 법적 요건을 갖추도록 설계할 것을 권고하였습니다.

책임 배분 측면에서는 유출 시나리오별로 공급사가 부담할 수 있는 과징금·과태료·민사상 손해배상의 산정 구조를 분석하고 단계적 협상 전략을 제시하였습니다. 아울러 계약상 가중책임은 통상 개인정보 배상책임보험의 담보 범위에서 제외된다는 점도 안내하였습니다.

본건은 생성형 AI 서비스에 개인정보를 연동하는 과정에서 생기는 개인정보 보호법상 쟁점, 즉 위탁·재위탁, 국외이전, 가명처리 해당 여부 등을 실제 서비스 구조에 맞추어 정리한 사례입니다. 

나아가 이를 계약상 책임 배분과 협상 전략까지 연결하여 검토하였습니다. 해외 상용 LLM을 활용하는 B2B AI 서비스가 늘어나는 가운데, 고객사의 개인정보 우려에 대응하면서 공급사의 리스크를 합리적인 범위로 관리할 수 있는 방안을 마련하였다는 데 의의가 있습니다.