해외 AI API 쓰면 개인정보 국외 이전 고지 — 처리방침 작성법

왜 AI API 가 국외 이전이 되나요

개인정보 보호법 제28조의8은 개인정보를 국외로 제공(조회되는 경우 포함)·처리위탁·보관하는 것을 "이전"이라 부르고, 정해진 경우에만 허용합니다.

예를 들어 상담 내용, 올린 사진·문서, 이름이 들어간 글을 해외 AI 회사의 API 로 보내 답을 받는다면, 그 정보가 해외 서버에서 처리됩니다. 손님을 알아볼 수 있는 정보가 섞여 있다면 국외 이전으로 보고 준비하는 것이 안전합니다.

이전할 수 있는 근거

제28조의8 제1항이 정한 근거 중 작은 서비스가 주로 쓰는 것은 아래 두 가지입니다.

• 별도 동의(제1호): 국외 이전에 대해 따로 동의를 받는 방법. 동의를 받을 때는 제2항의 사항을 미리 알려야 합니다.
• 계약 이행을 위한 처리위탁·보관(제3호): 손님과의 계약을 맺고 이행하는 데 필요한 처리위탁·보관이면서, 제2항의 사항을 처리방침에 공개했거나 이메일 등으로 알린 경우
• 어느 근거든, 받는 회사가 그 정보를 자기 목적(예: 자기 모델 학습)으로 쓴다면 위탁이 아니라 제공으로 볼 여지가 있습니다. 각 회사의 API 데이터 정책과 약관을 확인하세요.

처리방침에 적을 사항

시행령 제31조 제1항 제2호는 국외 이전을 하면 처리방침에 이전 근거와 제28조의8 제2항 각 호의 사항을 적도록 합니다.

• 이전되는 개인정보 항목
• 이전되는 국가, 시기와 방법(예: 서비스 이용 시 네트워크를 통해 전송)
• 이전받는 자의 이름(법인은 회사 이름과 연락처)
• 이전받는 자의 이용 목적과 보유·이용 기간
• 이전을 거부하는 방법, 절차, 거부했을 때의 효과(예: 해당 기능을 쓸 수 없음)
• 국외 이전과 별도로, 처리를 맡긴 회사와 맡긴 일도 처리방침(위탁 항목)에 공개해야 합니다(제26조 제2항, 시행령 제28조 제2항).

처리방침 문장 예시

아래는 형식 예시입니다. 괄호 안은 내 서비스에 맞게 실제 값으로 바꾸고, 회사 연락처·국가·보관 기간은 각 회사의 공식 문서에서 확인한 값만 쓰세요.

"회사는 손님과의 계약 이행(AI 분석 결과 제공)을 위하여 아래와 같이 개인정보 처리를 국외에 위탁합니다. 이전받는 자: (회사 이름, 개인정보 문의 연락처) / 이전 국가: (국가) / 이전 항목: (손님이 입력한 질문과 올린 파일) / 이전 시기와 방법: 서비스 이용 시 암호화된 네트워크로 전송 / 이용 목적과 보유 기간: (AI 결과 생성, 각 회사 정책에 따른 기간) / 거부 방법과 효과: (거부하려면 해당 기능을 쓰지 않거나 문의처로 요청, 거부하면 AI 분석 기능을 이용할 수 없음)"

보내는 정보 줄이기

1. AI 에 보내기 전에 이름·전화번호·이메일·주소를 빼거나 가립니다. 결과에 꼭 필요하지 않다면 보내지 않는 것이 가장 좋습니다.
2. 유료 API 의 데이터 정책(학습 사용 여부, 보관 기간)을 확인하고, 무료 등급처럼 학습에 쓰일 수 있는 요금제는 피합니다.
3. 어떤 기능이 어느 회사로 무엇을 보내는지 목록을 만들어 처리방침과 맞춥니다.

자주 묻는 질문

함께 보면 좋은 글

• 개인정보처리방침 필수 항목 — AI로 만든 서비스가 자주 빠뜨리는 것
• 인공지능 기본법 AI 결과물 표시·고지 의무 쉽게 정리
• API 키·비밀키가 코드에 노출됐을 때 바로 해야 할 일

참고

• 개인정보 보호법 제28조의8(개인정보의 국외 이전)
• 개인정보 보호법 시행령 제31조(개인정보 처리방침의 내용)
• 개인정보보호위원회 안내서 목록