AI 개발 외주와 개인정보 처리 위탁 – 국외 이전·가명정보까지 계약 전 확인할 것

핵심 요약

• 개인정보 보호법 제26조에 따라 개인정보 처리 업무를 외주 개발사에 맡기는 기업은 문서로 위탁하고, 위탁 내용과 수탁자를 공개하며, 수탁자를 교육·감독해야 합니다.
• 개인정보 보호법 제28조의8은 국외 "제공"에 해외에서 조회되는 경우를 포함하므로, 데이터가 국내 서버에 있어도 해외 개발자가 원격 조회할 수 있다면 국외 이전 검토 대상이 될 수 있습니다.
• 개인정보 보호법 제2조는 가명정보를 개인정보의 한 유형으로 정의하므로, 가명처리한 데이터도 처리 목적·위탁·국외 이전 요건을 따로 검토해야 합니다.
• 개인정보가 없는 합성 데이터로 개발·테스트하고 실제 개인정보는 고객사 환경에서 운영 단계에만 처리하도록 설계하면 외주 과정의 위험을 줄일 수 있습니다.

AI 외주에서 개인정보 처리 위탁이 생기는 지점

개발사에 실제 고객 문의 이력이나 이력서를 넘겨 기능을 만들 때, 완성된 시스템을 개발사가 유지보수하며 운영 데이터에 접근할 때, 질문과 문서가 외부 LLM API로 전송될 때 개인정보가 오갑니다. 개인정보로 모델을 학습시키면 나중에 특정 정보를 제거하는 일도 복잡해질 수 있습니다.

업무위탁은 개인정보 처리 업무를 외부 업체(수탁자)에게 맡기는 것을 말하며, 제26조가 적용됩니다.

• 문서로 위탁 – 목적 외 처리 금지, 기술적·관리적 보호조치 등 법령이 정한 사항을 문서에 담습니다.
• 공개 – 위탁 업무 내용과 수탁자를 개인정보 처리방침 등으로 공개합니다.
• 교육과 감독 – 위탁자는 수탁자를 교육하고 처리 현황을 점검합니다.
• 재위탁 – 수탁자가 업무를 다시 맡기려면 위탁자의 동의가 필요합니다. 개발사가 하청이나 프리랜서를 쓰는지 확인하십시오.

접근 통제, 접근 기록 관리, 암호화 등 제29조의 안전성 확보조치는 위탁자에게 적용되고 수탁자에게도 준용됩니다.

국외 이전 – 해외 개발사·클라우드·LLM API

국외 이전은 개인정보를 해외의 제3자에게 제공하거나 처리를 맡기거나 해외에 보관하는 것입니다. 2026년 10월 기준 제28조의8은 이를 원칙적으로 제한하고 다음 경우에 허용합니다. 표는 요지이므로 정확한 요건은 조문을 확인하십시오.

개인정보보호위원회의 국외이전 제도 안내도 국외의 제3자가 조회하는 경우를 국외 이전에 포함해 설명합니다. 해외 개발자가 원격으로 실제 개인정보를 조회할 수 있거나 해외 LLM API로 개인정보를 보낸다면 어떤 근거를 적용할지 개발 착수 전에 정해야 합니다.

가명정보와 합성 데이터의 차이

제2조는 가명정보를 개인정보의 한 유형으로 정의합니다. 이름이나 연락처를 가린 데이터도 여전히 개인정보입니다. 동의 없이 가명정보를 처리할 수 있는 제28조의2 특례는 통계작성, 과학적 연구, 공익적 기록보존 등의 목적에 한정되고, 추가 정보를 분리 보관하는 등 제28조의4의 안전조치도 필요합니다. 반면 실제 인물과 연결되지 않게 처음부터 만든 합성 데이터는 개인정보 처리 위험을 줄일 수 있습니다. 실제 데이터를 조금 바꾼 수준이라면 다른 정보와 결합해 개인을 알아볼 수 있는지 따져 봐야 합니다.

개인정보 처리 위탁 체크리스트 – 개발 단계별

AI가 사람의 개입 없이 결정을 내린다면 제37조의2의 거부권, 설명 요구권, 기준·절차 공개 의무도 확인하십시오. 개인정보보호위원회의 생성형 AI 개발·활용을 위한 개인정보 처리 안내서(2025년 8월)도 함께 참고할 만합니다.

해외 개발사에 맡기기 전에

개발 인력의 근무 국가와 계약 법인의 국가, 실제 개인정보가 꼭 필요한지, 운영 데이터 접근 통제 방식, 재위탁 여부, 계약 종료 시 반환·파기 방법을 서면으로 확인하십시오. 소스 코드 권리나 준거법 같은 계약 조항은 오프쇼어 개발 계약 체크리스트에서 따로 다룹니다.

예를 들어 베트남 하노이에서 개발하고 싱가포르 법인 NKKTech Global Pte. Ltd.로 계약하는 AI 엔지니어링 기업 NKKTech Global에 맡긴다면, 개인정보가 관련될 경우 베트남과 싱가포르를 기준으로 위탁·국외 이전을 검토하게 됩니다. 규제 분야 문서를 다룬 공개 사례 연구로는 미국 헬스케어 스타트업의 AI 컴플라이언스 문서 자동화(12주, 수작업 검토 시간 90% 감소, 월 600시간 이상 절감)가 있지만, 한국 법이 적용된 사례는 아닙니다. 자세한 내용은 한국 페이지와 문의 페이지에 있습니다.

자주 묻는 질문

해외 개발사에 AI 개발을 맡기면 개인정보 국외 이전에 해당하나요? 해외 개발사가 실제 개인정보를 받거나 원격으로 조회할 수 있다면 국외 이전 검토 대상이 될 수 있습니다. 완전히 합성한 데이터만 다룬다면 위험을 줄일 수 있지만, 가명정보는 여전히 개인정보이므로 요건을 별도로 검토해야 합니다.

ChatGPT 같은 해외 LLM API에 고객 데이터를 보내도 되나요? 개인정보가 포함되어 있다면 위탁과 국외 이전 규정을 검토하고 처리방침에 반영해야 할 수 있습니다. 전송 전 마스킹, 필요한 항목만 전송, 제공사의 데이터 보존·학습 정책 확인이 기본 대책입니다.

개인정보 없이도 AI 개발이 가능한가요? 많은 경우 가능합니다. 개발과 테스트는 합성 데이터로 하거나 적법한 근거와 보호조치를 갖춰 가명정보를 쓰고, 실제 개인정보는 고객사 환경 안에서 운영 단계에만 처리하도록 설계할 수 있습니다.