AI 챗봇은 GDPR을 준수하나요?

챗봇 자체가 준수 여부를 결정하는 것이 아니라, 챗봇을 어떻게 운영하느냐가 중요합니다. 처리의 적법 근거, 이용자에 대한 명확한 안내, 데이터를 다루는 모든 제공업체와의 데이터 처리 계약, EU 밖으로 전송할 때 유효한 전송 수단, 제한된 보관 기간, 열람 및 삭제 요청에 응답할 방법이 필요합니다.

고객에게 AI와 대화 중이라고 알려야 하나요?

EU에서는 AI Act의 투명성 의무가 2026년 8월 2일부터 적용되며, 상황상 명백한 경우를 제외하고 AI 시스템과 상호작용한다는 사실을 사람들에게 알려야 합니다. 처음부터 고객에게 알리는 것은 어느 지역에서나 바람직한 관행이며, 상담원과 연결할 수 있다는 점도 더 분명해집니다.

LLM 제공업체가 고객 메시지를 볼 수 있나요?

네, 프롬프트로 보내는 모든 내용은 모델을 운영하는 제공업체에 전달되며, 여기에는 대화 기록과 검색된 지식 정보도 포함됩니다. 그래서 제공업체 선택, 계약 조건, 데이터 보관 설정, 처리 지역이 중요하고, 불필요한 개인정보는 프롬프트에 넣지 않아야 합니다.

KVKK는 AI 챗봇에 무엇을 요구하나요?

튀르키예의 개인정보 보호법(법률 제6698호)은 튀르키예에 있는 사람들과의 챗봇 대화에도 다른 처리와 동일하게 적용됩니다. 정보 주체에게 고지하고, 처리의 법적 근거를 갖추고, 건강 정보 같은 특수 범주 데이터는 더욱 신중하게 다루어야 합니다. 또한 튀르키예 밖의 LLM 제공업체로 데이터를 보내는 것처럼 해외로 전송할 때는 위원회의 표준 계약 등 허용된 수단을 사용해야 합니다.

챗봇 대화는 얼마나 오래 보관해야 하나요?

요청 처리, 법적 의무, 품질 검토 등 고객에게 알린 목적에 필요한 기간만큼만 보관하세요. 대화 로그, LLM 제공업체 로그, 벡터 데이터베이스를 포함해 데이터 저장소마다 보관 기간을 정하고, 기간이 지나면 삭제하거나 익명화하세요.

AI 챗봇과 고객 데이터: 메시징 팀을 위한 GDPR·KVKK 개인정보 보호 체크리스트

WhatsApp이나 Instagram의 AI 에이전트는 고객 메시지를 여러 회사를 거쳐 처리합니다. 이 체크리스트로 데이터 경로를 파악하고, 제공업체를 고르고, 보관 기간과 동의를 GDPR 및 튀르키예 KVKK 기준에 맞게 관리하세요.

MonoChat 팀 업데이트: 2026년 10월 13일 7 분 소요

이 페이지 내용

AI 에이전트가 답할 때 고객 데이터가 가는 곳
AI 챗봇 개인정보 보호 체크리스트
한눈에 보는 GDPR과 KVKK 비교
MonoChat으로 AI와 데이터를 직접 통제하는 방법
출처

AI 챗봇을 GDPR과 KVKK에 맞게 운영하려면 다음을 지켜야 합니다. 고객 메시지가 거치는 모든 시스템을 파악하고, 적법 근거와 명확한 개인정보 처리방침을 갖추고, 제공업체마다 데이터 처리 계약을 체결하고, 데이터가 EU나 튀르키예 밖으로 나갈 때 유효한 전송 수단을 사용하고, 가능한 한 프롬프트에 개인정보를 넣지 않고, 보관 기간을 정하고, AI와 대화 중이라는 점을 알려야 합니다. 규정 준수는 챗봇 자체가 아니라 챗봇을 운영하는 방식에서 나옵니다.

까다로운 점은 WhatsApp 답장 하나가 네다섯 개 회사를 거칠 수 있다는 것입니다. Meta, 메시징 플랫폼, LLM 제공업체, 벡터 데이터베이스, 에이전트가 정보를 조회하는 CRM이 그 예입니다. 이 체크리스트는 각 항목을 차례로 짚어 봅니다. 메시징 팀을 위한 실무 가이드이며 법률 자문이 아니므로, 세부 사항은 개인정보 보호 책임자나 법률 자문가와 확인하세요.

AI 에이전트가 답할 때 고객 데이터가 가는 곳

먼저 메시지 하나가 지나가는 경로를 그려 보세요. 일반적인 흐름은 다음과 같습니다.

단계	시스템	관련 데이터	확인할 질문
1	메시징 채널(WhatsApp, Instagram, Messenger)	전화번호 또는 사용자 이름, 메시지 내용, 미디어	어떤 약관과 저장 규칙이 적용되나요?
2	메시징 플랫폼	대화 기록, 연락처 프로필, 태그, 메모	누가 접근할 수 있고, 어디에 얼마나 오래 저장되나요?
3	지식 베이스와 벡터 데이터베이스	귀사의 콘텐츠. 개인정보는 업로드한 경우에만 포함	인덱스에 개인정보가 들어 있나요?
4	LLM 제공업체	프롬프트: 지침, 검색된 텍스트, 기록, 최신 메시지	데이터가 보관되거나 학습에 쓰이나요? 어디에서 처리되나요?
5	연결된 도구(CRM, 예약, 스토어)	주문 데이터, 예약, 계정 정보	에이전트가 무엇을 읽고 쓸 수 있나요?
6	상담원	상담원 연결 후의 전체 대화	누가 무엇을 볼 수 있고, 기록이 남나요?

모든 행은 개인정보가 처리되는 지점이므로 계약, 보관 규칙, 접근 통제가 필요합니다. 채우지 못하는 행이 있다면 그것이 가장 먼저 해야 할 일입니다.

AI 챗봇 개인정보 보호 체크리스트

1. 적법 근거를 정하고 문서화하세요

GDPR(제6조)에서는 처리 목적마다 법적 근거가 필요합니다. 먼저 문의한 고객에게 답하는 일은 보통 계약이나 정당한 이익에 근거합니다. 마케팅 메시지는 보통 동의에 근거합니다. 대화를 에이전트 개선에 활용하는 것은 별도의 목적이므로, 기존 근거가 이를 포함한다고 가정하지 말고 따로 평가하세요.

KVKK에는 별도의 처리 요건 목록이 있습니다. EU와 튀르키예 고객을 모두 상대한다면 각 법에 따른 근거를 문서로 남기세요.

2. AI 사용과 데이터 처리에 대해 알려 주세요

개인정보 처리방침에는 대화를 AI 시스템이 처리할 수 있다는 점, 어떤 제공업체가 데이터를 처리하는지, 어디에서 얼마나 오래 처리하는지, 상담원에게 연결하는 방법을 담아야 합니다. 포함할 내용은 GDPR 제13조와 제14조에 규정되어 있으며, KVKK에도 이에 상응하는 고지 의무가 있습니다.

EU에서는 AI Act의 투명성 의무가 2026년 8월 2일부터 적용됩니다. 상황상 명백한 경우를 제외하고 AI 시스템과 상호작용한다는 사실을 사람들에게 알려야 합니다. 짧은 첫 메시지 하나로 법적 요건과 고객의 기대를 모두 충족할 수 있습니다.

안녕하세요, 저는 Northwind Home의 가상 어시스턴트(AI)입니다. 주문,
반품, 배송에 대해 도와드릴 수 있습니다. 언제든 "상담원"이라고 입력하시면
저희 팀과 연결해 드립니다.
개인정보 처리방침: northwindhome.example/privacy

3. 모든 처리업체와 데이터 처리 계약을 체결하세요

메시징 플랫폼, LLM 제공업체, 벡터 데이터베이스 호스팅 업체, 귀사를 대신해 개인정보를 다루는 모든 도구 제공업체는 처리업체입니다. GDPR 제28조는 처리를 귀사의 지시 범위로 제한하고, 기밀 유지와 보안을 요구하며, 하위 처리업체, 삭제, 감사를 다루는 서면 계약을 요구합니다. 하위 처리업체 목록을 관리하고 제공업체가 바뀔 때마다 확인하세요.

4. EU 또는 튀르키예 밖으로의 전송을 확인하세요

많은 LLM 제공업체가 다른 나라에서 데이터를 처리합니다. GDPR 제5장에 따라 EEA 밖으로의 전송에는 적정성 결정이나 표준 계약 조항 같은 적절한 보호 조치가 필요합니다.

해외 전송에 관한 KVKK 규정은 2024년 6월에 바뀌었습니다. 이제 해외 전송은 적정성 결정, 개인정보 보호 위원회가 공표한 표준 계약 같은 적절한 보호 조치, 또는 제한적인 예외에 근거해야 합니다. 표준 계약은 체결 후 영업일 기준 5일 이내에 당국에 통지해야 합니다. 제공업체마다 데이터를 처리하는 위치를 확인하고, 귀사의 의무에 맞는 지역이나 제공업체를 선택하세요.

WhatsApp에서 Meta의 Cloud API는 로컬 저장 기능을 제공합니다. 비즈니스 전화번호마다 메시지 데이터가 저장되는 위치를 선택할 수 있습니다. 다만 사용 중에는 콘텐츠가 Meta의 데이터 센터에서 국제적으로 처리될 수 있으며, Cloud API에서는 최대 60분 동안 처리된 후 선택한 지역에만 보관됩니다.

5. LLM 제공업체를 신중하게 고르세요

모델 제공업체는 프롬프트에 넣은 모든 내용을 볼 수 있습니다. 연결하기 전에 다음을 확인하세요.

학습 사용 여부. 제공업체가 API 데이터를 모델 학습에 사용하나요? 사용하지 않도록 설정할 수 있나요?
보관 기간. 악용 모니터링을 포함해 프롬프트와 출력이 얼마나 오래 보관되나요?
지역. 데이터가 어디에서 처리되고 저장되나요? 선택할 수 있나요?
계약. 사용 중인 요금제에서 데이터 처리 계약을 체결할 수 있나요?
자체 호스팅. 민감한 용도에는 자체 서버의 오픈소스 모델이 더 적합하지 않을까요?

자체 제공업체 계정(자체 키 사용)을 쓰면 계약, 지역 설정, 보관 옵션을 벤더 계정에서 물려받지 않고 직접 관리할 수 있습니다.

6. 프롬프트와 도구에 들어가는 데이터를 최소화하세요

데이터 최소화(GDPR 제5조)는 AI 에이전트에서 가장 효과적인 개인정보 보호 수단입니다.

고객 기록, 신분증 사본, 내부 메모를 지식 베이스에 업로드하지 마세요.
연락처 프로필 전체가 아니라 모델에 필요한 기록만 보내세요.
도구에는 가능한 한 좁은 권한만 부여하세요. 주문 상태 조회 도구에는 전체 고객 데이터베이스가 아니라 주문 번호만 있으면 됩니다.
주민등록번호, 카드 번호, 비밀번호 같은 항목은 마스킹하거나 받지 마세요.
필요하지 않은 민감 정보는 에이전트가 절대 요청하지 않도록 지시하세요.

에이전트 규칙: 채팅에서 카드 번호, 비밀번호, 신분증 번호를 절대 요청하지 않습니다.
고객이 직접 보내더라도 그 내용을 반복하지 말고, 보안 결제 링크나
저희 팀과의 통화를 안내합니다.

에이전트가 MCP 같은 프로토콜로 업무 시스템에 연결된다면 연결된 모든 시스템에 같은 원칙이 적용됩니다. 위험 요소는 고객 메시징을 위한 MCP에서 확인하세요.

7. 건강 정보 등 특수 데이터는 더욱 신중하게 다루세요

건강, 종교, 생체 정보와 같은 범주는 GDPR 제9조와 KVKK에서 추가로 보호받습니다. 병원, 약국, 보험사는 AI가 다루는 범위를 제한하고, AI의 의료 조언을 피하고, 임상 관련 질문은 자격을 갖춘 직원에게 넘겨야 합니다. 이런 데이터를 대규모로 처리하는 AI 에이전트를 출시하기 전에는 개인정보 영향 평가(GDPR 제35조)를 고려하세요.

8. 모든 저장소의 보관 기간을 정하세요

보관 제한(GDPR 제5조)이란 개인정보를 필요한 기간 동안만 보관한다는 뜻입니다. 다음 항목마다 기간을 정하고 문서로 남기세요.

메시징 플랫폼의 대화 기록
LLM 제공업체의 로그
내보낸 대화 기록과 분석 데이터
벡터 데이터베이스나 지식 베이스에 있는 모든 개인정보

그리고 가능하다면 백업을 포함해 실제로 삭제가 이루어지는지 확인하세요.

9. 열람 및 삭제 요청에 대비하세요

고객은 귀사가 자신에 대해 어떤 정보를 가지고 있는지 문의하고 삭제를 요청할 수 있습니다(GDPR 제15조와 제17조이며, KVKK에도 유사한 권리가 있습니다). 데이터 지도에 있는 모든 시스템에서 특정인의 대화를 찾는 방법과 각 시스템에서 삭제하는 방법을 알아 두세요.

10. AI만으로 내리는 결정을 피하세요

GDPR 제22조는 사람에게 중대한 영향을 미치는 결정을 오로지 자동화된 처리에만 근거해 내리는 것을 제한합니다. AI는 답변, 정보 수집, 분류까지만 맡기고, 승인, 거절, 신용 결정, 예외 처리는 사람이 맡도록 하세요. 신뢰할 수 있는 AI에서 상담원으로의 연결은 서비스 기능이자 규정 준수 기능입니다.

11. 접근을 보호하고 로그를 남기세요

대화를 읽을 수 있는 사람을 제한하고, 역할 기반 접근 권한을 사용하고, 다단계 인증을 요구하고, 누가 무엇을 했는지 감사 로그를 남기세요. GDPR 제32조는 위험에 적합한 보안을 요구하며, 제33조는 개인정보 침해가 사람들에게 위험을 초래하는 경우 감독 기관에 72시간 이내에 통지하도록 정하고 있습니다.

12. 채널 자체의 규칙을 따르세요

Meta의 WhatsApp Business 메시징 정책에는 수신 동의, 데이터 사용, AI에 관한 자체 요건이 있습니다. Meta가 허용하는 범위는 2026년 WhatsApp AI 챗봇 정책 가이드에서, 먼저 보내는 메시지에 대한 동의는 WhatsApp 수신 동의에서 다룹니다.

한눈에 보는 GDPR과 KVKK 비교

항목	GDPR	KVKK(법률 제6698호)
이용자 고지	제13조, 제14조	고지 의무
처리업체 계약	제28조	처리업체의 보안에 대해 개인정보 처리자가 공동 책임(제12조)
해외 전송	제5장: 적정성, 표준 계약 조항	적정성, 당국에 통지하는 표준 계약, 제한적 예외
특수 범주	제9조	특수 범주의 개인정보
보관	보관 제한, 제5조	목적이 끝나면 삭제, 파기 또는 익명화
정보 주체의 권리	열람, 삭제 등	열람, 삭제 등 유사한 권리

MonoChat으로 AI와 데이터를 직접 통제하는 방법

MonoChat은 시스템에서 민감한 부분을 귀사가 직접 통제할 수 있도록 만들어졌습니다. 다음은 보안 및 규정 준수 페이지에서 설명하는 제품 기능입니다.

자체 LLM 키. 커스텀 LLM으로 OpenAI, Anthropic, Google, Azure, AWS 등 자체 제공업체 계정을 연결하면 요금과 데이터 계약을 직접 관리할 수 있고, 어떤 어시스턴트가 어떤 모델을 쓸지도 직접 정합니다.
자체 호스팅 모델. 프롬프트가 자사 인프라에 머물러야 한다면 Ollama나 자체 모델 API를 통해 자체 서버에서 실행하는 모델을 연결할 수 있습니다.
자체 벡터 데이터베이스. VectorDB 연동을 사용하면 지식 베이스 벡터를 귀사가 선택한 벡터 데이터베이스에 보관하며, 저장 및 보관 정책과 지역, 클라우드도 직접 선택합니다.
범위별 지식. AI 지식 베이스는 콘텐츠를 별도의 접근 통제가 있는 범위로 나누어, 각 에이전트가 필요한 정보만 검색하게 합니다.
통제된 AI 작업. AI 함수 도구는 검증, 권한, 허용 목록에 등록된 엔드포인트, 로그와 함께 실행되므로 어시스턴트는 허용한 일만 할 수 있습니다.
접근 통제와 로그. 역할 기반 접근, 워크스페이스 격리, 감사 로그, 암호화되고 워크스페이스 단위로 관리되는 제공업체 자격 증명을 제공합니다.
공식 채널 API. WhatsApp은 공식 WhatsApp Business Platform(Cloud API)으로 연결되며, MonoChat은 공식 Meta Business Partner입니다.
인증과 정책. MonoChat은 ISO 27001과 ISO 9001 인증을 보유하고 있으며, 개인정보 처리방침은 KVKK(법률 제6698호)에 따라 작성되었습니다. 개인정보 열람, 정정, 삭제 요청에는 30일 이내에 답변합니다.
온프레미스 옵션. Enterprise 요금제에서는 더 엄격한 요건을 위한 온프레미스 배포를 제공합니다.

무료 Basic 요금제(에이전트 1개, 채널 1개)로 app.monochat.ai에서 제품을 평가해 볼 수 있으며, 검토 전에 전체 개인정보 처리방침을 읽어 보세요.

출처

MonoChat으로 실행해 보세요

전체 가이드