각 지역에는 LLM을 프로덕션에 배포하는 SaaS가 데이터를 처리하는 방식에 관한 서로 다른 규정이 있습니다. 이 가이드는 실무 지침서입니다. 각 규제기관이 실제로 요구하는 사항, Kunavo가 제공하는 것과 제공하지 않는 것, 그리고 사용자가 직접 처리해야 할 사항을 설명합니다. 법률 자문은 아니므로 법률 자문이 필요하면 변호사와 상담해야 하지만, 대부분의 엔지니어링 팀에 실제로 필요한 운영 체크리스트입니다.
어디에나 적용되는 네 가지
- LLM 업스트림으로 보내기 전에 PII를 가명화하세요 — 이름, 이메일, 전화번호, 계좌번호를 원문 그대로 제3자에게 보내지 마세요. 안정적인 토큰으로 마스킹하고 로컬에서 복원하세요
- 개인정보를 처리하는 모든 처리자와 데이터 처리 계약(DPA)을 체결하세요. Kunavo는 DPA를 제공하지 않습니다. 요청은 미국에서 처리된 후 상위 제공업체로 전달되므로 LLM 호출을 포함하는 DPA가 필요하다면 모델 제공업체(Anthropic, OpenAI 또는 Google 엔터프라이즈 약관)와 직접 계약하세요.
- 감사 추적 기록을 유지하세요 — 요청 ID, 사용한 모델, 프롬프트 해시, 토큰 수, 타임스탬프. 삭제권 요청에 따라 로그를 삭제할 수 있어야 합니다
- 개인정보처리방침을 업데이트하세요 — AI 처리와 하위 처리자(Kunavo + 업스트림 제공업체)를 명시적으로 언급하세요
리전별 요구사항
🇪🇺 유럽연합 — GDPR(일반)
- 각 처리자와 Article 28 DPA를 체결하세요. Kunavo는 이를 제공하지 않으며, LLM 호출의 경우 모델 제공업체(Anthropic, OpenAI 또는 Google 엔터프라이즈 약관)와 직접 계약하세요.
- 미국 기반 상위 제공업체(Anthropic, OpenAI)로의 이전에는 표준 계약 조항(SCC)을 적용하세요. 이는 제공업체 자체 DPA에 포함되며, Kunavo에는 EU 리전이 없고 요청은 미국에서 처리됩니다.
- LLM별 목적을 포함한 처리 활동 기록(제30조)
- 설계 단계부터 개인정보 보호 — 가명화, 데이터 최소화, 목적 제한
- 보안 사고가 EU 정보주체에 영향을 미치는 경우 72시간 이내 침해 통지
🇩🇪 독일 — DSGVO + Impressum + DDG
독일은 GDPR 위에 추가 요구사항을 적용합니다.
- Impressum(§ 5 DDG / § 18 MStV) — 운영자 신원, 주소, 연락처 및 감독 기관을 게시하세요. 독일을 대상으로 하는 사이트에는 필수입니다. Kunavo 자체 Impressum은 /legal/impressum에 있습니다.
- "필수적이지 않은" 데이터 처리(쿠키 동의, 분석)에 대한 더 엄격한 동의
- B2B 판매의 경우 역외 부가가치세(reverse charge) 규칙이 EU 역내에 적용됩니다. Kunavo의 표준 결제 화면에는 VAT가 표시되지 않고 VAT ID도 수집하지 않습니다. 장부 증빙 문서는 contact@kunavo.com으로 문의하세요
DSGVO-konformer LLM-Einsatz에는 PII 마스킹 코드가 포함된 독일어 심층 설명이 있습니다.
🇫🇷 프랑스 — RGPD + AI 주권 관련 우려
- RGPD는 GDPR이며 동일한 제28조 DPA가 적용됩니다
- CNIL이 집행기관이며 보건/금융 분야는 더 면밀한 조사를 예상해야 합니다
- 민감한 분야(공공, 의료, 국방)의 경우 EU 전용 라우팅을 고려하세요(예: Mistral과 직접 계약). Kunavo에는 EU 리전이 없으며 EU 전용 라우팅을 제공하지 않습니다.
- 프랑스 소비자에게 서비스를 제공하는 경우 개인정보처리방침은 프랑스어로 작성해야 합니다
프랑스어 심층 설명은 Conformité RGPD pour LLM en France를 참조하세요.
🇯🇵 일본 — APPI + tokutei-shoutorihiki
- 特定商取引法 (Act on Specified Commercial Transactions): 판매자 정보, 환불 정책 및 결제 수단을 게시합니다. 일본 B2C에는 필수입니다. Kunavo 페이지: /legal/tokutei-shoutorihiki
- APPI(개인정보 보호법) — Kunavo는 데이터 처리 계약을 체결하지 않습니다. LLM 처리를 포함하는 계약이 필요하다면 모델 제공업체와 직접 계약하세요.
- 미국/EU 업스트림으로의 국외 이전에는 동의 또는 계약이 필요합니다
🇰🇷 한국 — PIPA
- 한국 개인정보 보호법 — 세계적으로 가장 엄격한 법률 중 하나
- 수집 및 국외 이전에 대한 명시적 동의
- 한국 사용자에게 서비스를 제공하는 경우 한국어 개인정보처리방침
🇧🇷 브라질 — 핀테크를 위한 LGPD + BACEN
- LGPD(Lei Geral de Proteção de Dados)는 구조적으로 GDPR과 유사합니다
- PIX/결제 사용 사례에는 운영 위험에 관한 BACEN Circulars 4.018 + 3.978이 적용됩니다 — 모델 결정을 문서화하고 이의를 제기할 수 있도록 하세요
- 잊힐 권리(Direito ao esquecimento, 제17조) — 로그를 삭제할 수 있어야 합니다
Claude para análise de risco PIX no Brasil은 LGPD + BACEN을 구체적으로 다룹니다.
🇹🇷 터키 — KVKK
- 개인정보 보호법(KVKK) — GDPR과 유사한 DPA 구조
- 국외 데이터 이전에는 명시적 동의 또는 KVKK 승인 보호조치가 필요합니다
- 처리가 기준을 초과하는 경우 데이터 관리자는 KVKK에 등록해야 합니다
Zero Data Retention(ZDR) — 필요한 경우
기본적으로 Anthropic은 악용 모니터링을 위해 프롬프트를 30일 동안, Google은 60일 동안 기록합니다. 고감도 워크로드(의료, 금융, 정부, EU 공공 부문)의 경우 모델 제공업체가 자체 엔터프라이즈 약관에 따라 ZDR을 제공합니다. Kunavo는 ZDR을 제공하지 않으므로 각각 제공업체와 직접 계약해야 합니다:
- Anthropic ZDR: Anthropic 엔터프라이즈 고객용입니다. Anthropic은 완료 후 30초 이내에 프롬프트를 삭제하고, 학습에 사용하지 않으며, 이를 계약상 보장합니다.
- Google Vertex AI ZDR + EU 리전: europe-west1(벨기에) 또는 europe-west4(네덜란드)로 라우팅되며 데이터가 EU에 남고 ZDR을 이용할 수 있습니다
- OpenAI ZDR: 엔터프라이즈 등급만 해당
Kunavo를 통해 전송된 요청은 미국에서 처리된 후 상위 제공업체로 전달되며, 각 제공업체의 자체 데이터 보존 정책이 적용됩니다. Kunavo는 해당 제공업체에 ZDR이나 EU 리전 라우팅을 활성화할 수 없습니다. 둘 중 하나가 필요한 워크로드는 모델 제공업체와 직접 계약해야 합니다.
Kunavo가 제공하는 것과 귀사에 남는 것
| 책임 | Kunavo | 사용자 |
|---|---|---|
| 모델 제공업체와의 DPA | 제공되지 않음 | ✓ (제공업체와 직접 계약) |
| 프롬프트의 PII 가명화 | ✓ | |
| 요청 수준 감사 로그 | ✓ (Kunavo 측) | ✓ (귀사 측) |
| ZDR 또는 EU 리전 라우팅 | 제공되지 않음 | ✓ (제공업체 엔터프라이즈 약관) |
| 하위 처리자를 언급하는 개인정보처리방침 | ✓ | |
| 귀사 데이터의 삭제권 | ✓ | |
| 충전용 장부 증빙 문서 | contact@kunavo.com으로 문의하세요 |
30분 감사 체크리스트
- LLM 호출에 DPA가 필요하신가요? Kunavo는 DPA를 체결하지 않으므로 모델 제공업체(Anthropic, OpenAI 또는 Google 엔터프라이즈 약관)와 직접 계약하세요.
- 모든 LLM 호출 전에 PII 가명화 단계 추가(리전별 심층 설명에 템플릿 코드 제공)
- 감사 로그에 request_id, prompt_hash, model, tokens, timestamp가 포함되고 삭제 가능한지 확인
- 개인정보처리방침 업데이트: "Kunavo" + 업스트림 제공업체를 하위 처리자로 명시하고 목적(분류, 생성 등)을 언급
- 지역별 고지문을 게시하세요: Impressum(DE), tokutei-shoutorihiki(JP) — Kunavo 자체 고지문은 /legal에서 형식을 확인할 수 있습니다.
- 민감한 분야라면 모델 제공업체와 직접 ZDR을 마련하세요(Kunavo는 이를 제공하지 않습니다).
- 월별 검토 주기 설정 — 규정과 공급업체는 변하며 감사 로그 보존 기간도 조정해야 할 수 있습니다
당황하지 말되 건너뛰지 마세요
특수 범주 데이터가 없는 대부분의 B2C SaaS에서는 보편적인 네 가지와 최신 개인정보 처리방침만으로 95%를 충족할 수 있습니다. 나머지 5%인 분야별 고지문, ZDR, 주권형 상위 제공업체는 규모를 확장하거나 규제 산업으로 진입할 때 필요합니다.
자주 묻는 질문
Kunavo는 DPA(데이터 처리 계약)에 서명하나요?
아니요. Kunavo는 GDPR 제28조 데이터 처리 계약, 표준 계약 조항 또는 EU 데이터 보관을 제공하지 않습니다. 요청은 미국에서 처리된 후 업스트림 모델 공급업체로 전달되며, 콘텐츠 처리 방식에는 각 공급업체의 개인정보 보호 및 데이터 보존 정책이 적용됩니다. DPA가 필요한 팀은 Anthropic, OpenAI 또는 Google의 엔터프라이즈 조건에 따라 모델 공급업체와 직접 계약해야 합니다.
LLM 제공업체는 기본적으로 프롬프트를 얼마나 오래 보관하나요?
기본적으로 Anthropic은 악용 모니터링을 위해 프롬프트를 30일 동안 기록하고 Google은 60일 동안 기록합니다. Zero Data Retention은 이 기간을 없애지만 각 모델 공급업체와 직접 협의해야 하며 Kunavo는 이를 제공하지 않습니다.
LLM API 호출에 Zero Data Retention(ZDR)을 적용하려면 어떻게 해야 하나요?
모델 공급업체와 직접 계약하세요. Kunavo는 Zero Data Retention을 제공하지 않습니다. Kunavo를 통해 전송된 요청은 미국에서 처리된 후 각 공급업체의 자체 보존 정책에 따라 업스트림 공급업체로 전달되기 때문입니다. Anthropic은 엔터프라이즈 고객에게 ZDR을 제공하며, 이 경우 완료 후 30초 이내에 프롬프트를 삭제하고 학습에 사용하지 않으며 계약상 의무를 집니다. Google Vertex AI는 europe-west1(벨기에) 또는 europe-west4(네덜란드)로 라우팅되는 EU 리전에서 ZDR을 제공합니다. OpenAI ZDR은 Enterprise 등급에서만 사용할 수 있습니다.
LLM 기능을 출시하기 위한 최소한의 컴플라이언스 작업은 무엇인가요?
모든 리전에 네 가지가 적용됩니다. PII가 LLM 업스트림에 도달하기 전에 가명화하고, 데이터 처리 계약에 서명하며, 삭제권 요청에 따라 삭제할 수 있는 감사 추적 기록(요청 ID, 모델, 프롬프트 해시, 토큰 수, 타임스탬프)을 유지하고, AI 처리와 하위 처리자를 명시하도록 개인정보처리방침을 업데이트해야 합니다. 특수 범주 데이터가 없는 대부분의 B2C SaaS에서는 이 네 가지와 DPA만으로 요구사항의 약 95%를 충족합니다.
AI 제품에 GDPR 외의 고지를 요구하는 국가는 어디인가요?
독일은 § 5 DDG / § 18 MStV에 따라 Impressum을 요구합니다. 일본은 B2C 거래에서 판매자 신원, 환불 정책 및 결제 수단을 공개하는 특정상거래법 고지를 요구합니다. 한국의 PIPA는 한국어 개인정보 보호 고지와 국외 이전에 대한 명시적 동의를 요구합니다. 브라질의 LGPD에는 PIX 및 결제 사용 사례에 대해 BACEN Circulars 4.018 및 3.978이 추가로 적용됩니다. 터키의 KVKK는 해외 데이터 이전에 대해 명시적 동의 또는 KVKK가 승인한 보호조치를 요구합니다.