📋 취약점 개요
AI 시스템이 타사 모델을 API로 호출하면 개인정보가 포함된 입력 프롬프트가 제3자로 이전됩니다. 이는 처리위탁(법 제26조)이나 국외이전(법 제28조의8)에 해당할 수 있으며, 참여 기업·기관의 권한과 책임을 계약으로 명확히 해야 합니다.
🖥️ 상태 비교 시뮬레이션
privacy$ (취약)
# AI 기능 데이터 흐름 확인
arch$ trace prompt-flow
>> 앱 → 자사 서버 → 해외 LLM API (개인정보 포함)
>> 위탁계약·국외이전 고지 없음 · 책임 분담 미정의
→ 사고 시 책임 소재 불명 · 이중 법 위반
🔧 조치 방법
- AI 기능의 데이터 흐름도를 작성해 개인정보가 어느 사업자·국가로 이전되는지 파악합니다.
- 타사 모델 이용이 처리위탁인지 제3자 제공인지 판단하고 그에 맞는 계약·고지 요건을 갖춥니다.
- 국외 이전에 해당하면 법 제28조의8 고지·동의(또는 대체 근거) 요건을 충족하고 처리방침에 기재합니다.
- 오픈소스·API 등 배포 방식 특성에 따라 참여 기업·기관의 권한·역할·정보주체 권리보장 책임을 계약·라이선스·사용지침에 반영합니다.
- AI 시스템에서 처리하는 개인정보 현황을 정보주체가 이해하기 쉽게 처리방침에 공개합니다.
✅ 점검 체크리스트
- AI 데이터 흐름도와 이전 현황 문서 존재
- 처리위탁·국외이전 요건 충족
- 참여자 역할·책임이 계약에 반영됨
근거: AI 프라이버시 리스크 관리 모델 · 개인정보 보호법 제26조·제28조의8 · PIA 5.7.3, 5.7.7, 5.7.8