기업용 AI 서비스 계약서, 도입 전 확인해야 할 핵심 쟁점
기업이 외부 AI SaaS나 LLM API를 도입할 때는 일반적인 SaaS 계약과 다른 기준으로 계약서를 검토할 필요가 있습니다.
기업용 AI 서비스 계약서에서는 고객 데이터의 AI 학습 여부, 개인정보 처리와 국외 이전, AI 결과물의 이용권, 제3자 권리침해 및 오류에 대한 책임, 모델 변경과 서비스 종료까지 함께 확인해야 합니다.
특히 외부 AI를 사내 업무에 이용하는 경우와 이를 기반으로 고객 대상 AI 서비스를 제공하는 경우는 계약 및 규제 검토 범위가 달라질 수 있습니다.
[목차]
1. 일반 SaaS 계약과 AI 계약의 차이
2. 고객 데이터와 AI 학습
3. 개인정보와 국외 이전
4. AI 결과물의 권리
5. AI 오류와 권리침해 책임
6. 모델·API 변경과 서비스 종료
7. 인공지능기본법상 확인사항
8. 자주 묻는 질문
9. 정리 및 유의사항
1. 기업용 AI 서비스 계약은 일반 SaaS 계약과 무엇이 다를까요?
AI 서비스 계약에서는 데이터의 이용 방식과 AI가 생성한 결과물에 관한 권리·책임을 추가로 확인해야 합니다.
기업은 AI 서비스에 고객정보나 계약서, 내부 보고서, 소스코드, 이미지·영상·음성 자료, RAG 또는 파인튜닝용 데이터 등을 입력할 수 있습니다.
일반 SaaS에서도 데이터 저장과 보안은 중요한 문제입니다.
그러나 생성형 AI에서는 입력한 데이터가 모델 학습에 다시 활용되는지, AI가 생성한 결과물을 어디까지 사용할 수 있는지, 잘못된 결과물로 문제가 발생했을 때 누가 책임지는지까지 검토 범위가 넓어집니다.
| 구분 | 일반 SaaS | AI 서비스에서 추가로 확인할 사항 |
|---|---|---|
| 데이터 | 저장·보안·삭제 | 모델 학습·서비스 개선 이용 여부 |
| 결과물 | 별도 쟁점이 상대적으로 적음 | 이용권·저작권·유사 결과물 |
| 책임 | 장애·보안사고 | AI 오류·제3자 권리침해 |
| 서비스 변경 | 기능 변경·종료 | AI 모델·API 버전 변경 |
따라서 기존 IT 계약서에 AI 관련 문구를 일부 추가하는 방식보다 데이터가 어떻게 이용되고, 생성된 결과물을 어떻게 사용할 수 있으며, 각 단계의 위험을 누가 부담하는지를 기준으로 계약을 검토하는 것이 중요합니다.
2. 고객 데이터를 AI 학습에 사용할 수 있을까요?
데이터의 권리 귀속과 공급사가 해당 데이터를 이용할 수 있는 범위는 서로 다른 문제입니다.
계약서에 고객 데이터가 고객사에 귀속된다고 규정되어 있더라도 공급사에게 서비스 제공, 품질 개선 또는 모델 학습 등을 위한 별도의 이용권이 부여되어 있을 수 있습니다.
따라서 계약서를 검토할 때는 서비스 제공을 위한 데이터 처리와 AI 모델의 학습·개선을 위한 데이터 이용을 구분할 필요가 있습니다.
🔹 서비스 제공을 위한 데이터 이용
사용자의 질문에 답하거나 업로드한 파일을 분석하기 위해 입력 데이터를 처리하는 것은 AI 서비스를 제공하는 과정에서 필요한 이용에 해당할 수 있습니다.
🔹 모델 학습을 위한 데이터 이용
반면 고객 데이터를 공급사의 범용 모델을 개선하거나 다른 고객에게 제공되는 모델 학습에 다시 이용하는 것은 별도의 쟁점입니다.
특히 기업의 영업비밀이나 기술자료를 AI 서비스에 입력한다면 다음 사항을 확인하는 것이 좋습니다.
• 모델 학습에 고객 데이터를 이용하는지
• 입력 데이터 외에 이용 로그나 사용자 피드백도 활용하는지
• 데이터 이용 목적과 보유기간은 어떻게 정해져 있는지
• 계약 종료 후 데이터는 언제 삭제되는지
따라서 단순히 “고객 데이터는 고객사 소유”라는 조항만 확인하기보다 공급사의 데이터 이용 목적과 범위를 함께 살펴봐야 합니다.
3. 개인정보가 해외 AI 서비스로 전달된다면 무엇을 확인해야 할까요?
개인정보가 포함된 데이터를 AI 서비스에서 처리한다면 실제 데이터 흐름을 기준으로 개인정보 처리위탁과 국외 이전 여부를 검토해야 합니다.
개인정보보호위원회는 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」에서 상용 LLM이나 API를 활용하는 경우를 포함해 생성형 AI 개발·활용 과정에서 개인정보 처리 근거와 안전조치를 검토하도록 안내하고 있습니다.
[개인정보보호위원회 생성형 AI 개인정보 처리 안내서 ↗]
해외 AI 서비스를 이용할 때는 공급사의 본사가 어느 국가에 있는지만 볼 것이 아니라 다음 사항을 확인해야 합니다.
• 개인정보가 실제 저장·처리되는 국가
• 클라우드 사업자 등 하위처리자 이용 여부
• 개인정보의 보유기간과 삭제 방식
• 개인정보 유출 등 사고 발생 시 통지 절차
「개인정보 보호법」은 개인정보의 국외 제공뿐 아니라 국외에서 이루어지는 처리위탁이나 보관에 대해서도 별도의 국외 이전 규정을 두고 있습니다.
[개인정보 보호법 ↗]
따라서 해외 AI SaaS를 도입할 때는 계약서와 함께 개인정보가 실제로 어떤 경로를 거쳐 저장·처리되는지 확인하는 것이 중요합니다.
4. AI 결과물의 권리는 어떻게 정해야 할까요?
계약상 AI 결과물을 이용할 수 있는 권리와 저작권법상 저작권이 인정되는지는 구분해야 합니다.
AI 서비스 계약을 통해 고객사가 결과물을 상업적으로 이용하거나 수정·가공할 수 있도록 정할 수 있습니다.
다만 계약서에서 결과물의 권리를 고객사에 귀속한다고 정했다고 해서 모든 AI 결과물에 저작권이 자동으로 발생하거나 고객사가 당연히 저작권자가 되는 것은 아닙니다.
따라서 계약서에서는 단순히 ‘결과물 소유권’이라는 표현만 확인하기보다 다음과 같은 실제 이용범위를 살펴볼 필요가 있습니다.
• 상업적으로 이용할 수 있는지
• 수정·가공할 수 있는지
• 공급사가 결과물을 재사용할 수 있는지
• 다른 이용자에게 동일하거나 유사한 결과물이 생성될 가능성이 있는지
한국저작권위원회 역시 생성형 AI와 관련해 인간의 창작적 기여 여부 등을 기준으로 AI 결과물의 저작권 문제를 별도로 안내하고 있습니다.
[한국저작권위원회 생성형 AI 저작권 안내자료 ↗]
결국 계약상 결과물의 이용범위와 저작권법상 보호 여부는 별도로 검토하는 것이 안전합니다.
5. AI 오류나 권리침해가 발생하면 누가 책임질까요?
AI 결과물로 문제가 발생했을 때 고객사와 공급사 가운데 누가 어떤 범위까지 책임을 부담하는지 계약에서 정할 필요가 있습니다.
대표적으로 제3자의 지식재산권 침해와 AI가 사실과 다른 정보를 생성하는 오류 문제가 있습니다.
🔹 제3자 권리침해
AI가 생성한 이미지나 문서, 코드 등이 기존 저작물이나 제3자의 권리를 침해한다는 주장이 제기될 수 있습니다.
이 경우 고객이 입력한 데이터 때문에 문제가 발생한 것인지, 공급사의 모델이나 서비스 구조에서 문제가 발생한 것인지에 따라 책임을 다르게 정할 필요가 있습니다.
🔹 AI 오류
생성형 AI는 사실과 다른 정보를 생성할 수 있습니다.
기업이 AI 결과물을 단순 참고자료로 이용하는 경우보다 고객 상담, 계약 분석, 내부 의사결정 등 실제 업무에 직접 활용하는 경우 오류로 인한 사업상 위험이 커질 수 있습니다.
따라서 계약서에서는 공급사의 보증 범위, 면책사유, 손해배상 범위와 배상한도를 함께 확인해야 합니다.
특히 공급사의 책임이 일정 기간 동안 지급한 이용료 수준으로 제한되어 있는지, 개인정보 유출이나 지식재산권 침해에도 동일한 책임 제한이 적용되는지를 살펴볼 필요가 있습니다.
6. AI 모델이나 API 변경에도 대비해야 할까요?
특정 AI 모델이나 API에 의존해 서비스를 운영하는 기업이라면 모델 변경과 서비스 종료 조건도 계약에서 확인하는 것이 좋습니다.
AI 공급사가 특정 모델의 제공을 종료하거나 새로운 버전으로 교체하면 결과물의 품질과 기능뿐 아니라 가격이나 기존 시스템과의 호환성에도 영향을 줄 수 있습니다.
예를 들어 특정 모델을 기준으로 자체 서비스를 구축했는데 해당 모델의 제공이 종료된다면 새로운 모델로 이전하기 위한 추가 개발비용이 발생할 수 있습니다.
따라서 중요한 AI 서비스를 도입할 때는 다음 사항을 확인할 필요가 있습니다.
• 주요 모델 또는 API 변경 시 사전 통지 여부
• 핵심 기능 종료에 대한 통지기간
• 데이터 반환 및 이전 지원 여부
• 서비스 장애 및 복구 기준
AI가 회사의 핵심 서비스와 연결되어 있다면 현재 서비스를 안정적으로 이용할 수 있는지뿐 아니라 필요한 경우 다른 서비스로 이전할 수 있는 구조인지도 함께 확인하는 것이 좋습니다.
7. 인공지능기본법 시행 이후 무엇을 확인해야 할까요?
AI를 사용한다는 사실만으로 모든 기업이 동일한 인공지능기본법상 의무를 부담하는 것은 아닙니다. 실제 AI 이용 및 서비스 제공 구조에 따라 적용 여부를 검토해야 합니다.
2026년 1월 22일부터 시행된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 생성형 AI 등을 이용한 제품·서비스를 제공하는 인공지능사업자에게 일정한 고지·표시 의무를 규정하고 있습니다.
[인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 ↗]
다만 현행 시행령에는 AI 활용 사실이 명백한 경우나 인공지능사업자가 내부 업무 용도로만 이용하는 경우 등에 관한 예외도 규정되어 있습니다.
따라서 기업 내부에서 AI를 업무보조 목적으로 사용하는 경우와 외부 AI를 이용해 고객 대상 AI 서비스를 제공하는 경우는 구분해서 검토할 필요가 있습니다.
| AI 이용 방식 | 주요 계약 검토사항 |
| 사내 업무용 AI 이용 | 데이터·개인정보·보안·기밀정보 |
| 고객 대상 AI 서비스 제공 | 위 사항 + AI 고지·표시 등 규제 대응 |
특히 고객에게 AI 서비스를 제공하는 기업이라면 법적 의무를 이행하는 데 필요한 기술정보나 기능을 공급사가 제공할 수 있는지, 규제 변경 시 어느 범위까지 협조할 것인지도 계약에서 검토할 수 있습니다.
8. 자주 묻는 질문
Q1. 기업용 ChatGPT나 AI SaaS를 이용할 때도 계약 검토가 필요한가요?
회사 내부 문서, 고객정보, 소스코드 등 중요 데이터를 공식 업무에 입력할 예정이라면 실제 적용되는 계약조건과 데이터 처리정책을 확인하는 것이 좋습니다.
기업용 서비스라는 이유만으로 데이터의 학습 이용 여부나 저장 위치, 보안조건 등이 모두 동일한 것은 아닙니다.
Q2. 계약서에 고객 데이터는 고객사 소유라고 되어 있으면 충분한가요?
그것만으로 충분하지 않을 수 있습니다.
데이터의 권리 귀속과 공급사가 데이터를 이용할 수 있는 범위는 다른 문제이므로 서비스 제공뿐 아니라 모델 개선이나 AI 학습 등에 이용할 수 있는지도 함께 확인해야 합니다.
Q3. 해외 AI 서비스를 이용하면 모두 개인정보 국외 이전에 해당하나요?
해외 서비스라는 사실만으로 일률적으로 판단하기보다 실제 개인정보가 어느 국가에서 저장·처리되는지를 확인해야 합니다.
개인정보가 해외에서 처리·보관되는 구조라면 개인정보 보호법상 국외 이전 관련 규정을 검토할 필요가 있습니다.
Q4. AI 결과물의 권리를 고객사에 귀속시키면 저작권도 고객사에 생기나요?
반드시 그렇지는 않습니다.
계약으로 당사자 사이의 결과물 이용범위를 정할 수 있지만, 해당 결과물이 저작권법상 보호되는 저작물인지 여부는 인간의 창작적 기여 등 별도의 기준에 따라 판단됩니다.
9. 정리 및 유의사항
기업용 AI 서비스 계약에서는 이용료와 기능뿐 아니라 데이터의 이용 범위, AI 결과물의 권리, 개인정보 처리구조, 오류와 권리침해에 대한 책임까지 함께 확인해야 합니다.
특히 고객 데이터가 AI 모델 학습에 이용되는지, 해외 사업자나 하위처리자를 통해 개인정보가 처리되는지, 공급사의 책임이 과도하게 제한되어 있지는 않은지가 주요 검토 대상입니다.
또한 AI를 사내 업무에 이용하는지, 이를 활용해 고객에게 별도의 서비스를 제공하는지에 따라 인공지능기본법을 포함한 법적 검토 범위도 달라질 수 있습니다.
따라서 공급사가 제공한 표준계약서를 그대로 체결하기보다 실제 AI 활용 방식과 데이터 흐름을 기준으로 계약 조건을 검토하는 것이 중요합니다.
디센트 법률사무소의 AI 서비스 계약 자문
디센트 법률사무소는 기업의 실제 AI 도입 및 서비스 제공 구조를 기준으로 관련 계약과 규제 사항을 검토합니다.
🔸 기업용 AI·SaaS 서비스 계약서 작성 및 검토
🔸 고객 데이터의 AI 학습·모델 개선 이용 조항 검토
🔸 개인정보 처리위탁·국외 이전 구조 검토
🔸 AI 결과물 및 지식재산권 관련 계약 조항 검토
🔸 AI 오류·권리침해·손해배상 및 책임 제한 검토
🔸 인공지능기본법 등 관련 규제 검토
🔸 AI 서비스 이용약관·개인정보 처리방침 정비
본 콘텐츠는 일반적인 법률정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률의견을 의미하지 않습니다. 실제 적용 여부는 AI 서비스 구조, 계약관계 및 데이터 처리방식 등에 따라 달라질 수 있습니다.
