AI 챗봇 도입 전 개인정보보호법, 뭘 준비해야 할까?

준비할 것은 여섯 가지입니다. 처리 목적·법적 근거 정리, 학습 등 2차 활용 여부 확인, 보관기간 설정, 위탁계약 체결·공개, 국외이전 점검, 그리고 유출 사고 대응 체계입니다. 최근 개인정보보호위원회 제재는 국외이전과 목적외 이용에 집중되고 있습니다. 2025년 카카오페이·애플에 83억 7,520만원(개인정보보호위원회, 2025), 테무에 13억 6,900만원(개인정보보호위원회, 2025)의 제재가 부과됐습니다. 이 글에서는 AI 챗봇·상담 자동화를 도입하려는 소상공인이 실제로 해야 할 일을 조문 근거와 함께 순서대로 정리합니다.

AI 챗봇을 쓰면 개인정보 동의부터 받아야 하나요?

동의가 유일한 방법은 아닙니다. 개인정보 보호법 제15조는 동의 외에도 「계약의 체결·이행에 필요한 경우」 등 여러 처리 근거를 인정합니다(개인정보 보호법, 법제처 국가법령정보센터). 고객이 예약이나 문의를 위해 스스로 채팅에 정보를 입력하는 경우, 그 응대 자체는 계약 이행 등 비동의 근거로 처리될 여지가 있습니다.

다만 조건이 있습니다. 2023년 개정 이후 보호법은 동의 없이 처리하는 개인정보가 있다면 그 항목과 법적 근거를 동의 기반 처리와 구분해 공개하도록 요구합니다(제22조의3 맥락). 즉 「동의를 안 받아도 된다」가 아니라, 「어떤 근거로 처리하는지 스스로 정리하고 처리방침에 밝혀야 한다」가 정확한 이해입니다.

실무에서 먼저 할 일은 목적을 한 문장으로 적어보는 것입니다. 「고객 문의 응대와 예약 접수를 위해 이름·연락처·상담 내용을 처리한다」처럼 목적과 항목이 분명해야 근거도 정할 수 있습니다. 목적이 여러 개라면(응대 + 마케팅 + 품질 분석) 각각 근거가 다를 수 있으므로 하나씩 따로 정리해야 합니다.

상담 내용을 AI 학습에 쓰는 건 왜 다른 문제인가요?

응대 목적의 처리와 모델 개선 목적의 재사용은 법적으로 다른 문제이기 때문입니다. 개인정보 보호법 제18조는 수집 목적을 벗어난 이용을 원칙적으로 금지합니다. 「고객 문의에 답하기 위해」 수집한 상담 기록을 나중에 AI 학습·품질 분석·마케팅에 돌려쓰는 것은 목적 범위를 다시 따져야 하는 별개의 이용입니다.

이 직관을 만든 사건이 「이루다」입니다. 개인정보보호위원회는 2021년 스캐터랩을 제재하면서, 한 목적으로 수집한 대화 데이터를 다른 AI 서비스 개발에 쓴 것을 문제 삼았습니다. 이미 갖고 있는 고객응대 데이터라고 해서 자유로운 학습 자료가 되는 것은 아니라는 뜻입니다.

소상공인에게 실질적으로 중요한 지점은 벤더 약관입니다. 외부 AI 업체가 「서비스 개선을 위해 대화 데이터를 활용할 수 있다」는 조항을 넣어뒀다면, 그것은 위탁 범위를 넘는 2차 활용 문제로 별도 정리가 필요합니다. 계약 전에 「우리 고객 대화가 벤더 모델 학습에 쓰이는지, 끌 수 있는지」를 반드시 확인하시기 바랍니다. 광고성 활용까지 넘어가면 정보통신망법 이슈도 겹치는데, 이 부분은 카카오 광고 메시지의 정보통신망법 준수법에서 따로 정리했습니다.

상담 기록은 얼마나 보관하고 언제 지워야 하나요?

보관기간을 먼저 정하고, 기간이 끝나면 지체 없이 파기하는 것이 원칙입니다. 개인정보 보호법 제21조는 보유기간 경과 또는 처리 목적 달성 시 지체 없는 파기를 요구하며, 다른 법령상 보존 의무가 있는 경우에만 예외적으로 분리 보관을 허용합니다.

AI 챗봇 로그에서 가장 흔한 실수가 「나중에 AI 개선에 쓸지 모르니 일단 무기한 보관」입니다. 이는 제21조 취지에 정면으로 어긋납니다. 상담 로그가 고객 응대와 분쟁 대응에만 필요하다면 그렇게 명시하고, 보관기간을 정해 기간 후 파기하거나 분리 보관해야 합니다. 나중에 분석·학습에 쓰고 싶어지면 그 시점에 목적 제한과 법적 근거를 다시 평가하는 것이 맞는 순서입니다.

데이터 관리가 막막하게 느껴질 수 있지만, 출발선이 낮은 것은 우리만이 아닙니다. KISDI가 2026년 발간물에서 인용한 2023년 중소기업 정보화 수준조사(4,300개사)에 따르면 중소기업의 50%는 데이터를 아예 수집하지 않고 있었습니다(KISDI, 2026). 챗봇 도입을 계기로 「무슨 데이터가 어디에 얼마나 쌓이는지」를 처음 정리하는 사업장이 대부분입니다.

외부 AI 업체를 쓰면 위탁계약이 꼭 필요한가요?

필요합니다. 외부 벤더가 우리 고객의 개인정보를 처리한다면 기본 프레임은 제26조의 「위탁」입니다. 위탁 목적 외 처리 금지, 기술적·관리적 보호조치 등을 담은 문서(위탁계약)를 갖춰야 하고, 위탁하는 업무 내용과 수탁자를 처리방침 등으로 공개해야 합니다.

여기서 흔한 오해가 「위탁하려면 고객 동의를 따로 받아야 한다」는 것입니다. 일반적인 처리 위탁에서 핵심은 별도 동의가 아니라 계약·관리감독·공개입니다. SaaS 클릭 약관만 믿고 넘어가지 말고, 위탁 목적, 목적 외 이용 금지, 보호조치, 재위탁(하위 수탁자) 여부, 해외 처리 여부가 문서에 실제로 담겨 있는지 확인하시기 바랍니다.

처리방침도 함께 손봐야 합니다. 개인정보보호위원회의 2024년·2026년 처리방침 작성 지침은 처리 항목, 비동의 처리의 법적 근거, 위탁 현황, 국외이전 사항, 자동화된 결정 관련 내용까지 공개 범위를 구체화했습니다. 챗봇을 붙였는데 처리방침이 3년 전 그대로라면 그 자체가 점검 대상입니다.

해외 챗봇·SaaS를 쓰면 국외이전 문제가 생기나요?

생길 수 있고, 최근 제재가 가장 집중되는 영역입니다. 해외 서버나 해외 AI 벤더로 고객 데이터가 넘어가면 국외이전에 해당할 수 있습니다. 2023년 개정으로 제28조의8·28조의9가 신설되어, 과거의 「별도 동의」 일변도에서 벗어나 계약 이행 등 다른 이전 근거도 인정되는 대신, 이전 근거·이전받는 자·이전 항목 등 법정 사항의 처리방침 공개와 이전 후 보호조치 의무가 명확해졌습니다.

제재 규모는 소상공인 기준으로 결코 작지 않습니다. 2025년 개인정보보호위원회는 국외이전 관련 위반 등으로 카카오페이·애플에 총 83억 7,520만원의 제재를 부과했고(개인정보보호위원회, 2025), 테무에는 과징금 13억 6,900만원 등을 부과했습니다(개인정보보호위원회, 2025). 2026년에는 빗썸이 국외이전 위반으로 2억 1,000만원의 과태료와 시정명령을 받았습니다(개인정보보호위원회, 2026).

가장 위험한 착각은 「글로벌 벤더니까 벤더가 알아서 책임진다」입니다. 이전 구조를 선택한 것은 한국 사업자 본인이고, 그 적법성에 대한 책임도 한국 사업자에게 남습니다. 해외 툴을 쓰기 전에 「데이터가 한국을 떠나는가, 떠난다면 어떤 근거인가, 처리방침에 공개했는가」 세 가지를 답할 수 있어야 합니다. 최근 제재 사례에서 배울 점은 AI 시대 개인정보보호법 제재 사례가 소상공인에게 주는 교훈에서 더 깊게 다뤘습니다.

단순 Q&A 챗봇도 「자동화된 결정」 규제를 받나요?

대부분의 안내형 챗봇은 해당하지 않을 가능성이 큽니다. 2023년 개정으로 도입된 자동화된 결정 관련 권리는, 자동화된 결정이 개인의 권리·의무에 중대한 영향을 미치는 경우 설명을 요구할 수 있고, 중대한 영향이 있는 경우 거부까지 가능하도록 설계됐습니다. 영업시간·가격·예약 안내처럼 정보를 답하기만 하는 챗봇은 「결정」을 내리는 것이 아니므로 통상 이 규제의 직접 대상이 아니라고 볼 수 있습니다(개인정보보호위원회 2024년 안내 기준의 해석이며, 개별 사안은 다를 수 있습니다).

달라지는 순간은 AI가 「결정」을 내리기 시작할 때입니다. 환불을 자동으로 거절하거나, 예약 승인·거부를 사람 개입 없이 확정하거나, 고객 등급·혜택을 자동으로 정하는 구조라면 자동화된 결정 규제에 가까워집니다. 이 경우 판단 기준과 절차를 공개하고, 설명 요구에 대응할 프로세스를 갖춰야 합니다. 개인정보보호위원회의 2026년 조사 계획도 AI 자동화 결정 솔루션과 프로파일링, 국외이전 적법성을 중점 대상으로 지목했습니다.

실무적으로 가장 안전한 설계는 「AI는 안내하고, 결정은 사람이 확정한다」는 경계를 지키는 것입니다. 환불·분쟁·심사성 판단은 사람 확인 단계를 남겨두면 규제 리스크와 고객 불만을 동시에 줄일 수 있습니다.

도입 절차를 6단계로 정리하면 어떻게 되나요?

자금 확인부터 사고 대응까지, 아래 순서대로 진행하면 됩니다.

1. 자금 경로 확인 — 2026년 소상공인 지원예산은 5.4조원 규모로 AI·디지털 전환에 방점이 찍혀 있습니다(중소벤처기업부, 2026). 스마트상점·AI바우처 등 국비 사업의 2026년 본 접수는 대부분 마감됐으므로, 다음 회차 대비와 지자체 상시 사업 확인이 현실적입니다. 사업별 지원 한도와 일정은 2026 소상공인 AI 지원사업 총정리를 참고하시기 바랍니다.
2. 데이터 맵 작성 — 챗봇에 어떤 정보가 들어가는지(이름·연락처·예약 내용·상담 텍스트·녹취 등), 어디에 저장되는지, 누가 접근하는지, 한국을 떠나는지, 얼마나 보관하는지 다섯 가지 질문에 답을 적습니다. 답이 안 나오면 아직 도입 준비가 안 된 것입니다.
3. 위탁계약 체결 — 제26조 요건(목적 외 이용 금지·보호조치·재위탁·해외 처리)을 담은 문서를 벤더와 체결하고, 벤더의 학습 활용 여부를 명시적으로 정리합니다.
4. 처리방침 + 안내문 갱신 — 처리 항목, 비동의 처리의 법적 근거, 위탁·국외이전 사항, 해당 시 자동화된 결정 내용을 처리방침에 반영하고, 채팅 진입부에 고객이 바로 볼 수 있는 안내문을 붙입니다.
5. 보관기간 확정 — 상담 로그의 목적과 보관기간을 정하고, 기간 만료 시 파기 또는 분리 보관 절차를 만듭니다(제21조).
6. 사고 대응 준비 — 유출 인지 시 정보주체에게 지체 없이 통지해야 하며, 시행령은 원칙적으로 72시간 이내 통지 프레임을 두고 있습니다(제34조·시행령). 담당자 한 명, 에스컬레이션 경로, 확산 차단 방법 세 가지만 미리 정해두면 소상공인 수준에서는 충분한 출발점입니다.

4단계의 안내문은 예를 들어 이런 형태가 될 수 있습니다(편집팀이 작성한 예시 문구이며 법률 자문이 아닙니다. 실제 적용 전 검토가 필요합니다).

본 채팅 상담은 고객 문의 처리를 위해 AI 보조 기능을 활용할 수 있습니다. 입력하신 정보는 문의 응대 목적 범위에서 처리되며, 외부 업체에 처리를 위탁하거나 국외 서버를 사용하는 경우 개인정보 처리방침에서 상세 내용을 확인하실 수 있습니다. 주민등록번호, 카드번호, 민감한 건강정보는 입력하지 마세요.

처리방침 쪽에는 다음과 같은 조항 초안을 출발점으로 삼을 수 있습니다(역시 예시 문구입니다).

당사는 고객 문의 응대를 위해 AI 기반 상담 솔루션을 이용할 수 있으며, 필요한 범위에서 개인정보 처리 업무를 외부 수탁업체에 위탁할 수 있습니다. 국외이전이 발생하는 경우 이전의 법적 근거, 이전받는 자, 이전 항목, 이전 국가, 보유·이용기간, 거부 방법 등 법정 사항을 본 처리방침에 공개합니다.

핵심 시나리오별 의무를 표로 압축하면 다음과 같습니다.

표. AI 고객응대 PIPA 체크리스트

부담스럽게 느껴질 수 있지만, 이 체크리스트는 도입을 막는 장벽이 아니라 도입 전에 한 번 통과하는 관문입니다. 실제로 2025년 서울시 소상공인 AI 실태조사에서 AI를 이미 사용 중인 곳은 9.7%에 그쳤고, 67.3%는 사용 경험도 계획도 없다고 답했으며(중소기업중앙회 서울지역본부, 2025), 가장 필요한 정책으로는 54.7%가 자금 지원을 꼽았습니다(중소기업중앙회 서울지역본부, 2025). 지금 준비를 시작하는 사업장은 오히려 앞선 편입니다. 참고로 Omago(오마고)는 중소기업의 고객 상담을 자동화하는 AI 에이전트 플랫폼입니다. 어떤 도구를 쓰든, 위 여섯 단계를 계약과 문서로 갖출 수 있는지를 먼저 확인하시기 바랍니다.

자주 묻는 질문

AI 챗봇을 쓰면 개인정보 동의를 꼭 받아야 하나요?

동의가 유일한 근거는 아닙니다. 제15조는 계약 이행 등 비동의 근거도 인정합니다. 다만 비동의 근거로 처리하는 항목과 근거는 동의 기반 처리와 구분해 공개해야 하므로, 「동의 생략」이 아니라 「근거 정리 + 처리방침 공개」가 실제 할 일입니다.

고객 상담 내용이 AI 학습에 쓰이나요?

벤더와 계약에 따라 다릅니다. 응대 목적 처리와 모델 학습 재사용은 제18조상 별개 문제이므로, 벤더 약관에 학습 활용 조항이 있는지, 끌 수 있는지 계약 전에 확인해야 합니다. 2021년 이루다 제재가 보여주듯, 이미 보유한 상담 데이터라도 자동으로 학습 자료가 되는 것은 아닙니다.

해외 챗봇을 쓰면 국외이전 동의가 필요한가요?

반드시 동의만 필요한 것은 아닙니다. 2023년 개정(제28조의8·9)으로 동의 외 이전 근거도 인정되지만, 대신 이전 근거·이전받는 자·이전 항목 등을 처리방침에 공개하고 보호조치를 갖춰야 합니다. 책임은 벤더가 아니라 이전 구조를 선택한 한국 사업자에게 남는다는 점이 핵심입니다.

챗봇 상담기록 보관기간은 얼마가 맞나요?

법이 일률적인 기간을 정해주지는 않습니다. 원칙은 목적에 필요한 기간을 사업자가 미리 정하고, 기간 만료·목적 달성 시 지체 없이 파기하는 것입니다(제21조). 다른 법령상 보존 의무가 있으면 그 기간만큼 분리 보관합니다. 「일단 무기한 보관」이 가장 위험한 선택입니다.

출처: 개인정보보호위원회 제재 발표(2025·2026), 개인정보 보호법·시행령(법제처 국가법령정보센터), 중소기업중앙회 서울지역본부(2025), KISDI(2026), 중소벤처기업부(2026)

본 글은 일반적인 정보 제공을 위한 것으로 법률 자문이 아닙니다. 구체적인 사안은 개인정보보호 전문가 또는 법률 전문가와 상담하시기 바랍니다.