디센트 법률사무소가
해결해 드립니다.
어떤 도움이 필요하신가요?
성공사례
More-
기업 · 스타트업
비밀유지계약서 검토, 회원 DB와 내부자료 보호조항을 정비한 사례
의뢰인은 투자정보 관련 서비스를 운영하는 기업으로, 외부 전문가와 근로계약을 체결하면서 회사의 회원정보와 내부 운영자료를 보호하기 위한 비...
비밀유지계약서 검토본 제공 -
기업 · 스타트업
제휴계약 비밀유지계약서(NDA) 검토 및 조항 설계 사례
의뢰인은 사업 제휴계약을 체결하는 과정에서 상대방에게 수익구조와 제휴 조건 등 외부에 공개되지 않은 핵심 영업정보를 제공해야 하는 상황이었...
계약서 검토본 제공 -
가상자산 (디지털자산)
업무상배임죄 영업비밀침해 피의자 불송치 결정 성공사례
의뢰인 정보 개인 / 피의자 의뢰 내역 디센트 법률사무소 가상자산전담팀은 업무상배임, 상법위반, 부정경쟁방지 및 영업비밀보호...
불송치(혐의없음) 결정 -
형사
NFT 사업 부정경쟁방지법 위반 불기소 처분(혐의없음)
의뢰인 정보 개인 / 피의자 의뢰 내역 의뢰인은 NFT(대체불가토큰) 발행 회사를 퇴사한 후, 본인의 주식회사를 설립해 새로운 NFT를...
피의자 불기소(혐의없음) 결정 -
형사
부정경쟁방지법 위반 불송치(혐의없음) 결정
의뢰인 정보 개인 / 피의자 의뢰 내역 의뢰인은 NFT(대체불가토큰) 발행 회사를 다니다가 퇴사 후 주식회사를 설립하여 다른 NFT(대체...
불송치(혐의없음) 결정
법률정보
More-
기술자료 해외 유출, 영업비밀 보호와 기업의 대응 절차
대전지방공소청은 2026년 10월 14일 국내 반도체 검사 부품 업체의 전직 직원 3명을 기술자료의 해외 부정사용 등 혐의로 기소한 사건을 발표했습니다. 공소사실은 확정 판결과 구분해야 하며, 기업의 대응은 유출 정보의 법적 성격과 실제 반출·사용 경로를 확인하는 데서 시작합니다. 이 칼럼에서는 영업비밀·산업기술·국가핵심기술의 구분, 증거 보존과 접근 통제, 형사 대응·가처분·손해배상의 검토 기준을 살펴봅니다. 아래 가상 사례 4개는 실무 이해를 위한 예시이며 실제 의뢰 사건이 아닙니다. 1. 반도체 검사 부품 사건, 발표에서 확인된 범위는 무엇인가요? 대전지방공소청은 국내 프로브카드 업체의 전직 직원 3명이 중국 업체의 제품 개발에 국내 업체의 기술자료를 사용한 혐의로 2026년 10월 8일 기소됐다고 10월 14일 발표했습니다. 1명은 구속기소, 2명은 불구속기소됐으며, 발표된 혐의에는 부정경쟁방지법과 산업기술보호법 위반이 포함됩니다. 공소사실에는 설계도면 등을 외주 업체를 통한 개발에 이용한 내용과 이메일로 자료를 전송한 내용이 기재되어 있습니다. 보도자료의 공소사실은 재판으로 확정된 사실이 아닙니다. 또한 이 사건에서 언급된 첨단기술을 국가핵심기술과 같은 개념으로 바꾸어 설명해서는 안 됩니다. [대전지방공소청 2026. 10. 14. 반도체 검사 부품 기술유출 사건 발표] 기업이 이 사건에서 참고할 지점은 파일을 보낸 사람만 찾는 데서 조사를 끝내지 않는 것입니다. 받은 회사, 외주 개발 업체, 기술자료가 반영된 제품과 작업 이력을 연결해야 유출 경로와 추가 피해 가능성을 검토할 수 있습니다. 다만 다른 기업의 자료가 이 사건과 같은 법적 지위를 가진다고 전제할 수는 없습니다. 2. 영업비밀·산업기술·국가핵심기술, 무엇이 다른가요? 부정경쟁방지법상 영업비밀은 공개되지 않은 정보라는 점, 독립적인 경제적 가치, 비밀로 관리된 상태가 핵심입니다. 설계도면과 공정 조건뿐 아니라 가격 정책·고객 관련 정보도 개별 요건을 갖추면 검토 대상이 될 수 있습니다. 파일에 “대외비” 표시가 있다는 사실 하나만으로 판단을 마쳐서는 안 됩니다. 구분 확인할 법적 성격 기업이 준비할 출발 자료 영업비밀 비공지성·경제적 가치·비밀관리 상태를 구체적으로 설명 정보 목록, 개발 경위, 접근권한, 보안 규정·교육·서약 이력 산업기술 산업기술보호법의 정의와 지정·고시·인증 등 해당 근거 확인 관련 고시·인증 자료와 유출 기술의 대응표, 기술 설명서 국가핵심기술 별도의 국가핵심기술 지정 여부와 범위 확인 지정 고시, 기술 범위 검토 자료, 해당 거래·이전 구조 일반 회사 자료 위 보호 요건이 충족되지 않더라도 계약 등 별도 쟁점 검토 소유·사용 권한, 비밀유지 약정, 반출 허용 범위 국가법령정보센터 「부정경쟁방지 및 영업비밀보호에 관한 법률」 제2조 국가법령정보센터 「산업기술의 유출방지 및 보호에 관한 법률」 제2조·제14조 영업비밀 해당성 검토에서는 사고 후 새로 만든 보안 규정만 제출하는 것으로 부족할 수 있습니다. 문제된 자료를 반출할 당시 누가 접근할 수 있었고 어떤 제한이 실제로 적용됐는지가 중요합니다. 공용 폴더에 있는 파일이라도 접근 구성원과 업무상 필요를 설명해야 하며, 회사 안에 있었다는 이유만으로 비밀관리 상태가 당연히 인정된다고 볼 수 없습니다. 기술 담당자는 자료별 기능과 공개 기술과의 차이를 설명하고, 보안 담당자는 권한·다운로드·공유 설정을 제시하며, 법무 담당자는 법적 보호 근거와 행위 유형을 연결하는 방식이 좋습니다. 이 세 설명이 서로 다른 파일 버전을 가리키면 사실관계가 흔들릴 수 있으므로 공통 자료 목록을 먼저 확정하세요. 3. 반출·누설·사용, 행위를 시간순으로 구분해야 합니다 직원에게 업무상 열람 권한이 있었다는 사실과 자료를 개인 이메일로 보낼 권한이 있었다는 사실은 다릅니다. 반대로 개인 계정에 회사 자료가 있다는 사실만으로 해외 사용 목적이나 범죄의 모든 요건이 증명되는 것도 아닙니다. 업무 지시, 반출 승인, 전송 시점과 상대방, 실제 개발 작업을 따로 정리할 필요가 있습니다. 대법원 2026년 1월 15일 선고 2025도11906 판결은 부정한 이익을 얻거나 보유자에게 손해를 입힐 목적으로 영업비밀을 모르는 상대방에게 넘기는 경우, 공동 사용 공모나 실제 공동 사용 여부와 관계없이 누설·취득의 범죄가 각각 성립할 수 있다고 설명했습니다. “제품을 아직 완성하지 않았으니 전달만으로 문제되지 않는다”는 판단은 피해야 합니다. 이 판결의 법리를 모든 전송에 자동 적용하는 것이 아니라 목적과 보호 대상 등 개별 요건을 확인해야 합니다. 대법원 2026. 1. 15. 선고 2025도11906 판결 원문 자료 목록에는 원본 파일명뿐 아니라 버전, 작성일, 수정 이력, 수신자와 전송 경로를 표시하세요. 파일명이 바뀌었거나 일부 내용만 옮겨졌다면 이름의 일치 여부보다 정보의 실질과 사용 흔적을 기술적으로 비교해야 합니다. 해외 법인과 국내 외주업체가 함께 개발했다면 각 법인의 업무, 담당자, 계약과 지시 흐름까지 구분하는 것이 좋습니다. 4. 유출이 의심될 때, 기업이 우선 할 일 ① 원본과 접속·반출 기록을 보존합니다 사고 관련 계정·기기·메일·클라우드 기록이 자동 삭제되거나 덮어써지는지 먼저 확인하세요. 원본을 직접 편집하는 대신 별도 보존본을 확보하고 수집 일시, 담당자, 경로를 남기는 것이 좋습니다. 디지털 자료의 동일성을 확인할 해시값과 분석 과정 기록을 준비하면 이후 설명에 도움이 되지만, 해시값 하나가 수집의 적법성이나 증거능력을 모두 보장하는 것은 아닙니다. ② 추가 이용을 통제하되 조사 자료는 남깁니다 퇴사 계정 비활성화, 외부 공유 링크 회수, 접근권한 조정이 필요한지 보안 담당자와 확인하세요. 기록을 보존하기 전에 계정을 삭제하거나 기기를 초기화하면 전송 경로를 확인하기 어려워질 수 있습니다. 실제 침해가 진행 중이라면 조치 지연에 따른 피해와 증거 보존을 함께 고려해 필요한 순서를 정해야 합니다. ③ 조사 권한과 대상 범위를 확인합니다 회사 소유 기기의 업무 자료와 직원의 개인 계정·사생활 자료를 같은 방식으로 다뤄서는 안 됩니다. 내부 정책, 수집 권한과 적법한 절차를 검토하고 사고와 관련된 범위에서 자료를 확보하세요. 비밀번호를 우회하거나 개인 계정에 임의로 접속하는 행위를 조사 방법으로 삼아서는 안 됩니다. 필요하면 수사기관이나 전문 분석 절차를 통한 확보 방안을 검토할 수 있습니다. ④ 사실과 추정을 나눈 사건 일지를 만듭니다 “퇴사 직전 500개 파일 다운로드”라는 관찰 사실과 “해외 경쟁사에 모두 전달”이라는 추정은 별도 칸에 기록하세요. 날짜별로 근거 파일, 확인자, 미확인 사항을 남기고 기술·보안·인사 담당자가 같은 표를 사용하도록 하는 것이 좋습니다. 상대방에게 통지하거나 자료 반환·삭제를 요구할 때도 먼저 증거 보존과 문구의 법적 효과를 검토해야 합니다. 5. 형사 대응·가처분·손해배상은 어떤 차이가 있나요? 절차 주요 목적 준비할 설명 형사 고소·신고 관련 행위와 범죄 성립 여부에 대한 수사 요청 보호 정보의 요건, 행위자·목적·반출·누설·사용 경위와 증거 침해금지 가처분 등 계속되는 사용·공개 등으로 생기는 추가 침해의 차단 금지할 정보와 행위의 특정, 권리와 침해 위험, 긴급한 보전 필요성 손해배상 청구 침해로 발생한 손해의 회복 고의·과실과 침해, 손해 및 인과관계, 산정 근거 계약상 반환·비밀유지 요구 약정된 사용 범위·반환·폐기 의무 확인 계약 당사자, 대상 자료, 약정과 위반, 통지·확인 절차 부정경쟁방지법 제10조는 영업비밀 침해에 대한 금지·예방 청구와 필요한 조치를, 제11조는 고의 또는 과실에 의한 침해의 손해배상책임을 정하고 있습니다. 실제 가처분에서는 보호받을 권리와 긴급한 보전 필요성을 소명해야 하며, 원하는 금지 범위가 모두 인정된다고 전제할 수 없습니다. 국가법령정보센터 「부정경쟁방지 및 영업비밀보호에 관한 법률」 제10조·제11조 형사 고소를 접수했다고 해외 업체의 사용이 바로 중단되거나 손해액이 자동 지급되는 것은 아닙니다. 가처분을 검토할 때는 “우리 회사 기술 일체”처럼 넓은 표현보다 정보의 내용과 금지할 이용 행위를 특정할 수 있는지가 중요합니다. 자료를 특정하는 과정에서 비밀 자체를 과도하게 공개하지 않도록 제출 방법과 열람 범위도 함께 살펴야 합니다. 손해액 자료는 개발비 총액만 모으는 방식보다 유출 정보와 연결되는 개발 작업, 판매 감소, 가격 변화와 상대방의 이용 정황을 나누어 정리하는 것이 좋습니다. 개발비가 크다는 사실이 그 금액 전부의 배상으로 이어지는 것은 아닙니다. 해외 수령자에게 조치를 요구하려면 해당 법인의 소재지·관할·송달·집행 문제와 현지 절차도 별도 검토가 필요할 수 있습니다. 6. 가상 사례로 보는 기업의 판단 순서 사례 ① 승인된 재택근무를 위해 개인 이메일에 보낸 경우 직원이 도면을 개인 이메일에 보냈지만 재택 작업 지시와 승인 이력이 있다고 가정해 보겠습니다. 우선 승인된 자료·기간·목적과 실제 전송이 일치하는지 확인해야 합니다. 개인 이메일 사용은 보안 정책 위반일 수 있지만, 그 사실만으로 해외 영업비밀 침해의 모든 요건을 충족한다고 단정할 수 없습니다. 지시 기록을 누락한 채 전송 기록만 제출하면 사건 설명이 불완전해질 수 있습니다. 사례 ② 퇴사 전 대량 다운로드 후 해외 경쟁사로 이직한 경우 다운로드 시점, 직무상 필요, 자료의 보호 요건과 실제 수신자를 순서대로 확인해야 합니다. 이직 자체를 침해로 볼 수는 없습니다. 다만 업무 필요와 맞지 않는 자료 접근이나 외부 전송 정황이 있으면 추가 확인이 필요합니다. 반출 파일과 경쟁사 제품의 유사성을 설명할 때는 공개된 기술과 회사 고유 정보가 무엇인지 분리한 기술 비교표를 준비하는 것이 좋습니다. 사례 ③ 국내 외주업체가 받은 도면을 해외 법인 개발에 사용한 경우 국내 업체가 받았다는 이유로 검토를 끝내지 마세요. 누가 개발을 지시하고 자료의 최종 사용 장소와 목적이 무엇인지, 외주계약이 허용한 이용 범위를 살펴야 합니다. 기존 거래 관계에서 적법하게 받은 자료라 하더라도 새 고객의 제품 개발에 사용할 권한이 있는지는 별개입니다. 반대로 승인된 공동개발이라면 승인 범위와 소유·사용권을 확인해 유출 주장과 구분해야 합니다. 사례 ④ 신규 채용자가 전 직장의 기술 파일을 가져온 경우 받는 기업도 자료 출처와 사용 권한을 확인해야 합니다. 담당자의 설명만 듣고 개발 저장소에 병합하기보다 해당 파일 사용을 보류하고 접근을 제한한 상태에서 독립 개발 자료와 구분하는 방안을 검토할 수 있습니다. 확인 과정에서 자료를 무조건 삭제하기보다 수령 경위와 보존·반환 방식에 대한 법률 검토가 필요합니다. 단순히 직원을 채용했다는 사실과 타사의 보호 정보를 취득·이용하는 행위는 분리해서 판단해야 합니다. 7. 상담·수사·보전절차를 준비할 자료 목록 자료 묶음 구체적인 예 확인할 질문 보호 대상 도면·코드·공정 조건의 목록, 버전, 기술 설명서 공개 자료와 다른 부분은 무엇이며 어느 근거로 보호되는가? 관리 상태 권한표·보안 규정·서약서·교육·외부 공유 설정 반출 당시 비밀이라는 점을 어떻게 알리고 통제했는가? 반출·수령 경로 메일 헤더·첨부·다운로드·외부 링크·기기 기록 누가 언제 누구에게 어떤 버전을 보냈는가? 사용 정황 개발 작업 이력·외주 지시·비교 분석·제품 자료 자료가 실제 어떤 업무에 쓰였는가? 관계·권한 근로계약·NDA·외주계약·공동개발·반출 승인 해당 전송이나 사용이 허용된 범위는 어디까지인가? 피해·긴급성 개발·영업 자료, 계속 이용 정황, 출시 일정 지금 막아야 할 침해와 회복하려는 손해는 무엇인가? 모든 항목을 확보할 때까지 대응을 미룰 필요는 없습니다. 이미 가진 자료와 아직 없는 자료를 구분해 설명하면 추가 보존 조치와 법적 절차를 검토하기 쉽습니다. 다만 회사가 일방적으로 작성한 조사 결론만으로 원본 증거를 대체하지 않도록 주의하세요. 조사 담당자의 분석과 당사자의 진술, 시스템의 관찰 기록을 구분해 남기는 것이 좋습니다. 8. 자주 묻는 질문(FAQ) Q1. 대외비 표시가 없으면 영업비밀 보호를 받을 수 없나요? 표시 하나만으로 결론을 내릴 수는 없습니다. 접근권한·규정·교육·계약과 실제 운영 등 비밀관리 상태를 종합해 검토해야 합니다. 표시가 없다는 사정과 아무 관리도 하지 않았다는 사정은 구분됩니다. Q2. 퇴사자가 해외 회사로 이직하면 기술유출인가요? 이직 사실만으로 기술유출이 되는 것은 아닙니다. 반출·누설·사용 행위와 법적 요건을 확인해야 합니다. 전직금지 약정의 효력과 영업비밀 침해의 성립도 별도로 검토할 사항입니다. Q3. 자료를 전달했지만 제품을 만들지 않았다면 괜찮나요? 전달 자체가 별도 법적 쟁점이 될 수 있습니다. 대법원 판결처럼 영업비밀 누설·취득과 사용은 구분될 수 있습니다. 실제 범죄 성립은 자료의 성격, 목적과 행위 경위에 따라 검토해야 합니다. Q4. 먼저 삭제 확인서를 받으면 해결되나요? 삭제 확인만으로 유출 범위와 추가 이용이 모두 확인되는 것은 아닙니다. 수령자·백업·재전송·개발 이용 여부와 확인 방법을 함께 살펴야 합니다. 원본과 반출 기록을 보존하기 전에 삭제를 요구하면 사실관계 확인이 어려워질 수 있습니다. Q5. 형사 고소와 가처분은 같이 진행할 수 있나요? 서로 다른 목적의 절차이므로 병행 필요성을 검토할 수 있습니다. 각 절차에서 요구하는 주장과 자료, 대상자와 금지 범위가 다릅니다. 같은 기술자료를 가리키는 설명이 일관되는지 확인하는 것이 좋습니다. Q6. 개발비를 전부 손해액으로 청구할 수 있나요? 개발비 전부가 자동으로 배상액이 되는 것은 아닙니다. 침해 정보, 발생한 손해와 인과관계, 법률상 산정 기준을 검토해야 합니다. 해당 정보와 무관한 비용을 섞지 않고 근거를 구분해 정리하세요. 9. 기술유출 대응은 정보·권한·행위의 연결에서 시작합니다 기업이 우선 설명해야 할 것은 “우리 기술이 중요하다”는 평가를 넘어 보호되는 정보가 무엇이고, 누가 어떤 권한을 벗어나 어디로 전달하거나 사용했는지입니다. 원본과 당시 관리 상태를 보존하고, 추가 침해를 막을 조치와 피해 회복 절차를 나누어 검토하면 사실관계에 맞는 대응을 준비할 수 있습니다. 디센트 법률사무소는 기업의 기술자료 반출·누설·부정사용에 관하여 보호 대상과 증거를 검토하고 침해금지·형사 대응·손해배상 및 비밀유지 계약의 쟁점을 살펴봅니다. 유출 의심 자료 목록, 접근·전송 기록, 당시 보안 정책과 계약을 준비하면 구체적인 대응 방향을 검토할 수 있습니다.
-
기업용 AI 서비스 계약서, 도입 전 확인해야 할 핵심 쟁점
기업이 외부 AI SaaS나 LLM API를 도입할 때는 일반적인 SaaS 계약과 다른 기준으로 계약서를 검토할 필요가 있습니다. 기업용 AI 서비스 계약서에서는 고객 데이터의 AI 학습 여부, 개인정보 처리와 국외 이전, AI 결과물의 이용권, 제3자 권리침해 및 오류에 대한 책임, 모델 변경과 서비스 종료까지 함께 확인해야 합니다. 특히 외부 AI를 사내 업무에 이용하는 경우와 이를 기반으로 고객 대상 AI 서비스를 제공하는 경우는 계약 및 규제 검토 범위가 달라질 수 있습니다. 1. 기업용 AI 서비스 계약은 일반 SaaS 계약과 무엇이 다를까요? AI 서비스 계약에서는 데이터의 이용 방식과 AI가 생성한 결과물에 관한 권리·책임을 추가로 확인해야 합니다. 기업은 AI 서비스에 고객정보나 계약서, 내부 보고서, 소스코드, 이미지·영상·음성 자료, RAG 또는 파인튜닝용 데이터 등을 입력할 수 있습니다. 일반 SaaS에서도 데이터 저장과 보안은 중요한 문제입니다. 그러나 생성형 AI에서는 입력한 데이터가 모델 학습에 다시 활용되는지, AI가 생성한 결과물을 어디까지 사용할 수 있는지, 잘못된 결과물로 문제가 발생했을 때 누가 책임지는지까지 검토 범위가 넓어집니다. 구분 일반 SaaS AI 서비스에서 추가로 확인할 사항 데이터 저장·보안·삭제 모델 학습·서비스 개선 이용 여부 결과물 별도 쟁점이 상대적으로 적음 이용권·저작권·유사 결과물 책임 장애·보안사고 AI 오류·제3자 권리침해 서비스 변경 기능 변경·종료 AI 모델·API 버전 변경 따라서 기존 IT 계약서에 AI 관련 문구를 일부 추가하는 방식보다 데이터가 어떻게 이용되고, 생성된 결과물을 어떻게 사용할 수 있으며, 각 단계의 위험을 누가 부담하는지를 기준으로 계약을 검토하는 것이 중요합니다. 2. 고객 데이터를 AI 학습에 사용할 수 있을까요? 데이터의 권리 귀속과 공급사가 해당 데이터를 이용할 수 있는 범위는 서로 다른 문제입니다. 계약서에 고객 데이터가 고객사에 귀속된다고 규정되어 있더라도 공급사에게 서비스 제공, 품질 개선 또는 모델 학습 등을 위한 별도의 이용권이 부여되어 있을 수 있습니다. 따라서 계약서를 검토할 때는 서비스 제공을 위한 데이터 처리와 AI 모델의 학습·개선을 위한 데이터 이용을 구분할 필요가 있습니다. ? 서비스 제공을 위한 데이터 이용 사용자의 질문에 답하거나 업로드한 파일을 분석하기 위해 입력 데이터를 처리하는 것은 AI 서비스를 제공하는 과정에서 필요한 이용에 해당할 수 있습니다. ? 모델 학습을 위한 데이터 이용 반면 고객 데이터를 공급사의 범용 모델을 개선하거나 다른 고객에게 제공되는 모델 학습에 다시 이용하는 것은 별도의 쟁점입니다. 특히 기업의 영업비밀이나 기술자료를 AI 서비스에 입력한다면 다음 사항을 확인하는 것이 좋습니다. • 모델 학습에 고객 데이터를 이용하는지 • 입력 데이터 외에 이용 로그나 사용자 피드백도 활용하는지 • 데이터 이용 목적과 보유기간은 어떻게 정해져 있는지 • 계약 종료 후 데이터는 언제 삭제되는지 따라서 단순히 “고객 데이터는 고객사 소유”라는 조항만 확인하기보다 공급사의 데이터 이용 목적과 범위를 함께 살펴봐야 합니다. 3. 개인정보가 해외 AI 서비스로 전달된다면 무엇을 확인해야 할까요? 개인정보가 포함된 데이터를 AI 서비스에서 처리한다면 실제 데이터 흐름을 기준으로 개인정보 처리위탁과 국외 이전 여부를 검토해야 합니다. 개인정보보호위원회는 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」에서 상용 LLM이나 API를 활용하는 경우를 포함해 생성형 AI 개발·활용 과정에서 개인정보 처리 근거와 안전조치를 검토하도록 안내하고 있습니다. [개인정보보호위원회 생성형 AI 개인정보 처리 안내서 ↗] 해외 AI 서비스를 이용할 때는 공급사의 본사가 어느 국가에 있는지만 볼 것이 아니라 다음 사항을 확인해야 합니다. • 개인정보가 실제 저장·처리되는 국가 • 클라우드 사업자 등 하위처리자 이용 여부 • 개인정보의 보유기간과 삭제 방식 • 개인정보 유출 등 사고 발생 시 통지 절차 「개인정보 보호법」은 개인정보의 국외 제공뿐 아니라 국외에서 이루어지는 처리위탁이나 보관에 대해서도 별도의 국외 이전 규정을 두고 있습니다. [개인정보 보호법 ↗] 따라서 해외 AI SaaS를 도입할 때는 계약서와 함께 개인정보가 실제로 어떤 경로를 거쳐 저장·처리되는지 확인하는 것이 중요합니다. 4. AI 결과물의 권리는 어떻게 정해야 할까요? 계약상 AI 결과물을 이용할 수 있는 권리와 저작권법상 저작권이 인정되는지는 구분해야 합니다. AI 서비스 계약을 통해 고객사가 결과물을 상업적으로 이용하거나 수정·가공할 수 있도록 정할 수 있습니다. 다만 계약서에서 결과물의 권리를 고객사에 귀속한다고 정했다고 해서 모든 AI 결과물에 저작권이 자동으로 발생하거나 고객사가 당연히 저작권자가 되는 것은 아닙니다. 따라서 계약서에서는 단순히 ‘결과물 소유권’이라는 표현만 확인하기보다 다음과 같은 실제 이용범위를 살펴볼 필요가 있습니다. • 상업적으로 이용할 수 있는지 • 수정·가공할 수 있는지 • 공급사가 결과물을 재사용할 수 있는지 • 다른 이용자에게 동일하거나 유사한 결과물이 생성될 가능성이 있는지 한국저작권위원회 역시 생성형 AI와 관련해 인간의 창작적 기여 여부 등을 기준으로 AI 결과물의 저작권 문제를 별도로 안내하고 있습니다. [한국저작권위원회 생성형 AI 저작권 안내자료 ↗] 결국 계약상 결과물의 이용범위와 저작권법상 보호 여부는 별도로 검토하는 것이 안전합니다. 5. AI 오류나 권리침해가 발생하면 누가 책임질까요? AI 결과물로 문제가 발생했을 때 고객사와 공급사 가운데 누가 어떤 범위까지 책임을 부담하는지 계약에서 정할 필요가 있습니다. 대표적으로 제3자의 지식재산권 침해와 AI가 사실과 다른 정보를 생성하는 오류 문제가 있습니다. ? 제3자 권리침해 AI가 생성한 이미지나 문서, 코드 등이 기존 저작물이나 제3자의 권리를 침해한다는 주장이 제기될 수 있습니다. 이 경우 고객이 입력한 데이터 때문에 문제가 발생한 것인지, 공급사의 모델이나 서비스 구조에서 문제가 발생한 것인지에 따라 책임을 다르게 정할 필요가 있습니다. ? AI 오류 생성형 AI는 사실과 다른 정보를 생성할 수 있습니다. 기업이 AI 결과물을 단순 참고자료로 이용하는 경우보다 고객 상담, 계약 분석, 내부 의사결정 등 실제 업무에 직접 활용하는 경우 오류로 인한 사업상 위험이 커질 수 있습니다. 따라서 계약서에서는 공급사의 보증 범위, 면책사유, 손해배상 범위와 배상한도를 함께 확인해야 합니다. 특히 공급사의 책임이 일정 기간 동안 지급한 이용료 수준으로 제한되어 있는지, 개인정보 유출이나 지식재산권 침해에도 동일한 책임 제한이 적용되는지를 살펴볼 필요가 있습니다. 6. AI 모델이나 API 변경에도 대비해야 할까요? 특정 AI 모델이나 API에 의존해 서비스를 운영하는 기업이라면 모델 변경과 서비스 종료 조건도 계약에서 확인하는 것이 좋습니다. AI 공급사가 특정 모델의 제공을 종료하거나 새로운 버전으로 교체하면 결과물의 품질과 기능뿐 아니라 가격이나 기존 시스템과의 호환성에도 영향을 줄 수 있습니다. 예를 들어 특정 모델을 기준으로 자체 서비스를 구축했는데 해당 모델의 제공이 종료된다면 새로운 모델로 이전하기 위한 추가 개발비용이 발생할 수 있습니다. 따라서 중요한 AI 서비스를 도입할 때는 다음 사항을 확인할 필요가 있습니다. • 주요 모델 또는 API 변경 시 사전 통지 여부 • 핵심 기능 종료에 대한 통지기간 • 데이터 반환 및 이전 지원 여부 • 서비스 장애 및 복구 기준 AI가 회사의 핵심 서비스와 연결되어 있다면 현재 서비스를 안정적으로 이용할 수 있는지뿐 아니라 필요한 경우 다른 서비스로 이전할 수 있는 구조인지도 함께 확인하는 것이 좋습니다. 7. 인공지능기본법 시행 이후 무엇을 확인해야 할까요? AI를 사용한다는 사실만으로 모든 기업이 동일한 인공지능기본법상 의무를 부담하는 것은 아닙니다. 실제 AI 이용 및 서비스 제공 구조에 따라 적용 여부를 검토해야 합니다. 2026년 1월 22일부터 시행된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 생성형 AI 등을 이용한 제품·서비스를 제공하는 인공지능사업자에게 일정한 고지·표시 의무를 규정하고 있습니다. [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 ↗] 다만 현행 시행령에는 AI 활용 사실이 명백한 경우나 인공지능사업자가 내부 업무 용도로만 이용하는 경우 등에 관한 예외도 규정되어 있습니다. 따라서 기업 내부에서 AI를 업무보조 목적으로 사용하는 경우와 외부 AI를 이용해 고객 대상 AI 서비스를 제공하는 경우는 구분해서 검토할 필요가 있습니다. AI 이용 방식 주요 계약 검토사항 사내 업무용 AI 이용 데이터·개인정보·보안·기밀정보 고객 대상 AI 서비스 제공 위 사항 + AI 고지·표시 등 규제 대응 특히 고객에게 AI 서비스를 제공하는 기업이라면 법적 의무를 이행하는 데 필요한 기술정보나 기능을 공급사가 제공할 수 있는지, 규제 변경 시 어느 범위까지 협조할 것인지도 계약에서 검토할 수 있습니다. 8. 자주 묻는 질문 Q1. 기업용 ChatGPT나 AI SaaS를 이용할 때도 계약 검토가 필요한가요? 회사 내부 문서, 고객정보, 소스코드 등 중요 데이터를 공식 업무에 입력할 예정이라면 실제 적용되는 계약조건과 데이터 처리정책을 확인하는 것이 좋습니다. 기업용 서비스라는 이유만으로 데이터의 학습 이용 여부나 저장 위치, 보안조건 등이 모두 동일한 것은 아닙니다. Q2. 계약서에 고객 데이터는 고객사 소유라고 되어 있으면 충분한가요? 그것만으로 충분하지 않을 수 있습니다. 데이터의 권리 귀속과 공급사가 데이터를 이용할 수 있는 범위는 다른 문제이므로 서비스 제공뿐 아니라 모델 개선이나 AI 학습 등에 이용할 수 있는지도 함께 확인해야 합니다. Q3. 해외 AI 서비스를 이용하면 모두 개인정보 국외 이전에 해당하나요? 해외 서비스라는 사실만으로 일률적으로 판단하기보다 실제 개인정보가 어느 국가에서 저장·처리되는지를 확인해야 합니다. 개인정보가 해외에서 처리·보관되는 구조라면 개인정보 보호법상 국외 이전 관련 규정을 검토할 필요가 있습니다. Q4. AI 결과물의 권리를 고객사에 귀속시키면 저작권도 고객사에 생기나요? 반드시 그렇지는 않습니다. 계약으로 당사자 사이의 결과물 이용범위를 정할 수 있지만, 해당 결과물이 저작권법상 보호되는 저작물인지 여부는 인간의 창작적 기여 등 별도의 기준에 따라 판단됩니다. 9. 정리 및 유의사항 기업용 AI 서비스 계약에서는 이용료와 기능뿐 아니라 데이터의 이용 범위, AI 결과물의 권리, 개인정보 처리구조, 오류와 권리침해에 대한 책임까지 함께 확인해야 합니다. 특히 고객 데이터가 AI 모델 학습에 이용되는지, 해외 사업자나 하위처리자를 통해 개인정보가 처리되는지, 공급사의 책임이 과도하게 제한되어 있지는 않은지가 주요 검토 대상입니다. 또한 AI를 사내 업무에 이용하는지, 이를 활용해 고객에게 별도의 서비스를 제공하는지에 따라 인공지능기본법을 포함한 법적 검토 범위도 달라질 수 있습니다. 따라서 공급사가 제공한 표준계약서를 그대로 체결하기보다 실제 AI 활용 방식과 데이터 흐름을 기준으로 계약 조건을 검토하는 것이 중요합니다. 디센트 법률사무소의 AI 서비스 계약 자문 디센트 법률사무소는 기업의 실제 AI 도입 및 서비스 제공 구조를 기준으로 관련 계약과 규제 사항을 검토합니다. ? 기업용 AI·SaaS 서비스 계약서 작성 및 검토 ? 고객 데이터의 AI 학습·모델 개선 이용 조항 검토 ? 개인정보 처리위탁·국외 이전 구조 검토 ? AI 결과물 및 지식재산권 관련 계약 조항 검토 ? AI 오류·권리침해·손해배상 및 책임 제한 검토 ? 인공지능기본법 등 관련 규제 검토 ? AI 서비스 이용약관·개인정보 처리방침 정비 본 콘텐츠는 일반적인 법률정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률의견을 의미하지 않습니다. 실제 적용 여부는 AI 서비스 구조, 계약관계 및 데이터 처리방식 등에 따라 달라질 수 있습니다.
-
생성형 AI 개인정보, 고객정보·계약서 입력 전 확인해야 할 사항
생성형 AI를 계약서 검토, 회의록 정리, 고객 상담, 문서 작성 등에 활용하는 기업이 늘고 있습니다. 그러나 업무 효율을 높이기 위해 입력한 자료에 고객이나 임직원의 개인정보가 포함되어 있다면, 단순한 AI 활용을 넘어 개인정보 처리와 내부정보 관리 문제가 발생할 수 있습니다. 기업은 생성형 AI 서비스가 입력정보를 어떻게 저장·이용하는지 확인하고, 실제 업무 방식에 맞는 내부 이용 기준을 마련해야 합니다. 생성형 AI에 입력한 정보는 어떻게 처리될까요? 생성형 AI를 이용하는 화면에서는 질문을 입력하고 답변을 받는 과정만 확인할 수 있습니다. 그러나 실제로는 입력한 내용과 첨부파일이 서비스 제공자의 시스템으로 전송되며, 서비스 정책과 계정 유형에 따라 일정 기간 기록이나 로그로 보관되거나 서비스 개선 등에 활용될 수 있습니다. 업무자료를 입력하기 전에는 다음 사항을 확인해야 합니다. ▪️ 입력 데이터가 AI 학습에 활용되는지 ▪️ 대화와 첨부파일이 얼마나 보관되는지 ▪️ 대화 기록과 입력자료를 삭제할 수 있는지 ▪️ 데이터가 어느 국가와 서버에서 처리되는지 ▪️ 외부 앱이나 사내 시스템에 어떤 접근 권한이 부여되는지 유료 또는 기업용 서비스를 이용한다는 사실만으로 개인정보 문제가 모두 해결되는 것은 아닙니다. 실제 계약조건과 데이터 처리 구조를 함께 검토해야 합니다. 이름만 삭제하면 개인정보가 아닐까요? 계약서에서 고객의 이름이나 연락처를 삭제했다고 해서 반드시 개인정보가 아닌 것은 아닙니다. 개인정보에는 성명처럼 그 자체로 개인을 알아볼 수 있는 정보뿐 아니라, 다른 정보와 쉽게 결합해 특정인을 알아볼 수 있는 정보도 포함됩니다. 예를 들어 다음 정보가 함께 포함되어 있다면 이름을 삭제했더라도 특정 개인이 추정될 수 있습니다. ▪️ 회사명과 구체적인 담당 직책 ▪️ 계약 체결일과 거래금액 ▪️ 근무 부서와 인사평가 내용 ▪️ 구체적인 상담 경위와 가족관계 ▪️ 사건번호와 분쟁 발생 지역 회사명 자체는 법인의 정보이지만, 구체적인 직책이나 거래내용 등과 결합해 담당자를 알아볼 수 있다면 개인정보 해당 가능성을 별도로 확인해야 합니다. 따라서 이름만 삭제하기보다 업무에 필요하지 않은 정보를 최대한 제거하고, 실제 성명·연락처·회사명 등은 임의의 명칭이나 가상 정보로 대체하는 것이 적절합니다. 고객정보를 입력하면 바로 개인정보 보호법 위반일까요? 고객정보를 생성형 AI에 입력했다고 해서 모든 경우가 곧바로 개인정보 보호법 위반이 되는 것은 아닙니다. 다만 기업이 보유한 개인정보는 당초 수집한 목적과 적법한 처리 근거의 범위에서 이용해야 합니다. 생성형 AI 활용이 기존 처리 목적과 관련되는지, 추가적인 동의나 별도의 처리 근거가 필요한지를 검토해야 합니다. AI 서비스 제공자와의 관계도 확인해야 합니다. 서비스 제공자가 기업의 지시에 따라 정보를 처리하는지, 입력정보를 자신의 서비스 개선이나 학습 등 독자적인 목적으로도 이용하는지에 따라 처리위탁, 제3자 제공 등 검토해야 할 법적 구조가 달라질 수 있습니다. 개인정보가 해외 서버나 국외 사업자에게 전송된다면 국외 이전에 관한 요건도 함께 확인해야 합니다. 즉, 단순히 ‘AI에 고객정보를 입력했다’는 사실만으로 적용 규정을 판단하기는 어렵습니다. 다음과 같은 실제 처리 구조를 살펴봐야 합니다. ▪️ 개인정보를 AI 업무에 이용할 수 있는 처리 근거 ▪️ 서비스 제공자의 입력정보 이용 목적 ▪️ 학습 및 서비스 개선 활용 여부 ▪️ 데이터 보관기간과 삭제 방식 ▪️ 처리 서버와 국외 이전 국가 ▪️ 재위탁 또는 하위 처리업체의 범위 ▪️ 계약 종료 후 입력정보의 처리 방식 계약서와 상담자료는 개인정보만의 문제가 아닙니다 계약서와 고객 상담자료에는 개인정보 외에도 외부에 공개되지 않은 중요 정보가 포함될 수 있습니다. 예를 들면 다음과 같습니다. ▪️ 거래조건과 공급단가 ▪️ 영업전략과 사업계획 ▪️ 기술자료와 개발정보 ▪️ 고객사와 체결한 비밀유지약정 ▪️ 소송·수사 또는 분쟁 대응방안 ▪️ 미공개 재무정보와 내부 의사결정 자료 이러한 정보를 외부 생성형 AI에 입력하면 개인정보 보호법과 별도로 계약상 비밀유지의무, 영업비밀 보호, 고객사 보안약정 및 회사 내부 규정 문제가 발생할 수 있습니다. 따라서 기업의 생성형 AI 이용지침은 개인정보만을 대상으로 하기보다 영업비밀, 계약정보, 기술자료와 분쟁 대응자료까지 함께 관리하도록 설계해야 합니다. 기업이 마련해야 할 생성형 AI 이용 기준 생성형 AI 사용을 직원 개인의 판단에 맡기면 회사는 어떤 자료가 어느 서비스에 입력되었는지 파악하기 어렵습니다. 단순히 “개인정보를 입력하지 말라”고 공지하는 것보다 실제 업무에서 적용할 수 있는 구체적인 기준을 마련해야 합니다. 1. 승인된 서비스와 계정 회사에서 이용할 수 있는 생성형 AI 서비스와 계정 유형을 지정하고, 개인 계정이나 승인되지 않은 서비스에 업무자료를 입력하지 않도록 해야 합니다. 2. 입력 금지 정보 주민등록번호, 계좌정보, 건강정보 등 민감하거나 위험도가 높은 개인정보뿐 아니라 영업비밀, 미공개 계약조건과 소송·수사 대응자료 등 입력이 금지되는 정보의 범위를 구체적으로 정해야 합니다. 3. 고위험 문서 승인 절차 계약서, 인사자료, 고객 상담기록 등 위험도가 높은 문서는 담당 부서의 검토나 사전 승인을 거친 후 이용하도록 절차를 마련할 수 있습니다. 4. 식별정보 제거·대체 기준 실제 성명, 연락처, 회사명과 거래금액 등 개인이나 거래 당사자를 추정할 수 있는 정보의 제거·대체 기준을 정해야 합니다. 계약서 전체를 입력하기보다 검토가 필요한 조항만 분리하고, 실제 고객정보는 임의의 명칭이나 가상 정보로 변경하는 방식도 고려할 수 있습니다. 5. 기록과 학습 설정 입력정보의 학습 활용을 제한할 수 있는지, 대화 기록을 저장하지 않도록 설정할 수 있는지, 삭제 기능이 어떻게 운영되는지를 점검해야 합니다. 6. 내부 보고와 사고 대응 개인정보나 내부자료를 잘못 입력한 경우 담당 부서에 즉시 보고하고, 기록 삭제와 외부 연동 해제 등 필요한 조치를 진행할 수 있도록 대응 절차를 마련해야 합니다. 이미 고객정보나 내부자료를 입력했다면 직원이 고객정보나 내부 문서를 생성형 AI에 잘못 입력했다면 추가적인 공유와 결과물 사용을 우선 중단해야 합니다. 이후 다음 사항을 확인할 필요가 있습니다. ▪️ 어떤 계정과 서비스에 입력했는지 ▪️ 입력한 개인정보와 내부정보의 범위 ▪️ 대화 및 첨부파일 삭제 가능 여부 ▪️ 외부 서비스와의 연동 여부 ▪️ 학습이나 서비스 개선에 활용됐는지 ▪️ 제3자가 해당 정보에 접근할 가능성이 있는지 필요한 경우 대화 기록과 첨부파일을 삭제하고, 외부 연동 권한을 해제하며, 서비스 제공자에게 처리 중단이나 삭제를 요청해야 합니다. 개인정보 유출 신고 또는 정보주체 통지가 필요한지는 입력정보의 종류와 규모, 제3자의 접근 가능성, 삭제 여부와 예상 피해 등을 종합적으로 검토해 판단해야 합니다. 생성형 AI 활용, 금지보다 관리체계가 중요합니다 생성형 AI는 계약 검토와 문서 작성, 고객 대응 등 다양한 업무의 효율을 높일 수 있습니다. 그러나 임직원 개인의 판단에만 맡기면 기업은 고객정보와 내부자료가 어디로 전송되고 어떻게 이용되는지 관리하기 어렵습니다. 기업은 실제 AI 활용 방식과 처리하는 정보의 유형을 바탕으로 승인된 서비스, 입력 금지 정보, 식별정보 제거·대체 기준, 고위험 문서 승인 및 사고 대응 절차를 구체적으로 마련해야 합니다. 디센트 법률사무소는 기업의 생성형 AI 이용 구조를 기준으로 개인정보 처리의 적법성, 서비스 약관과 데이터 처리계약, 국외 이전, 영업비밀 보호 및 사내 AI 이용지침을 종합적으로 검토합니다. 본 콘텐츠는 일반적인 법률 정보 제공을 목적으로 하며, 개별 사건이나 사업에 대한 법률 자문을 구성하지 않습니다.
-
AI기본법 시행 6개월, 생성형 AI 기업이 점검해야 할 고지·표시의무
2026년 1월 22일 시행된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 생성형 AI를 활용하는 사업자에게 투명성 확보 의무를 부과하고 있습니다. 다만 생성형 AI 서비스의 법률 검토는 화면에 표시 문구를 추가하는 작업으로 끝나지 않습니다. 어떤 AI 모델을 사용하고, 이용자 정보가 어디로 전달되며, 생성 결과물이 어떤 방식으로 활용되는지에 따라 개인정보·저작권·계약상 책임까지 함께 검토해야 합니다. AI기본법상 사전 고지와 결과물 표시 AI기본법 제31조는 생성형 AI 관련 투명성 의무를 두 단계로 구분합니다. 먼저 생성형 AI를 이용한 제품이나 서비스를 제공하려는 인공지능사업자는 해당 제품·서비스가 생성형 AI에 기반해 운용된다는 사실을 이용자에게 사전에 고지해야 합니다. 이와 별도로 생성형 AI 또는 이를 이용한 서비스가 만든 결과물에는 해당 결과물이 생성형 AI에 의해 생성됐다는 사실을 표시해야 합니다. 특히 실제와 구분하기 어려운 음성·이미지·영상은 이용자가 AI 생성물임을 명확하게 인식할 수 있는 방식으로 고지하거나 표시해야 합니다. 즉, 서비스 이용 전에는 AI 활용 사실을 알리고, 결과물이 생성된 후에는 AI 생성물이라는 점을 표시하는 구조입니다. 결과물 표시는 워터마크만을 의미하지 않습니다 생성형 AI 결과물 표시는 반드시 눈에 보이는 워터마크 방식으로만 해야 하는 것은 아닙니다. 시행령은 사람이 직접 인식할 수 있는 방식과 기계가 판독할 수 있는 방식을 모두 허용합니다. 다만 기계 판독 방식만 적용한 경우에는 결과물이 생성형 AI로 만들어졌다는 사실을 안내 문구나 음성 등으로 한 번 이상 제공해야 합니다. 서비스명이나 이용 화면만으로 AI 활용 사실이 명백한 경우, 인공지능사업자의 내부 업무용으로만 사용하는 경우 등에는 고지·표시의무의 전부 또는 일부가 적용되지 않을 수 있습니다. 그러나 내부에서 생성한 자료를 광고·상담자료·보고서 등의 형태로 고객에게 제공한다면 내부 업무용 예외가 그대로 인정되는지는 별도로 검토해야 합니다. 서비스 화면에서만 제공되는 결과물인지, 다운로드하거나 외부에 공유할 수 있는 결과물인지에 따라 표시 방식도 다르게 설계할 필요가 있습니다. 외부 AI API를 이용하는 기업도 적용 대상이 될 수 있습니다 AI 모델을 직접 개발하지 않았다는 이유만으로 AI기본법 적용 대상에서 제외되는 것은 아닙니다. AI기본법은 다른 사업자가 제공한 AI를 이용해 인공지능제품이나 인공지능서비스를 제공하는 자를 ‘인공지능이용사업자’에 포함합니다. 따라서 외부 대규모언어모델을 API로 연동해 챗봇, 이미지 생성, 문서 작성 또는 상담 서비스를 제공하는 기업도 인공지능사업자에 해당할 수 있습니다. 적용 여부를 판단할 때는 자체 모델을 보유했는지보다, 해당 기업이 외부 AI를 이용해 이용자에게 어떤 제품이나 서비스를 제공하는지를 확인해야 합니다. 표시의무와 개인정보·저작권 문제는 구분해야 합니다 생성형 AI 서비스에서는 이용자가 입력한 정보가 외부 AI 모델로 전달되고, 생성된 결과물이 다시 이용자나 기업에 제공됩니다. 이 과정에서 발생하는 개인정보와 저작권 문제는 AI기본법상 표시의무와는 별개의 법률 쟁점입니다. 1. 입력정보와 개인정보 처리 고객의 이름, 상담 내용, 계약서, 사진 또는 내부자료를 외부 AI에 입력한다면 다음과 같은 데이터 처리구조를 확인해야 합니다. ▪️ 입력정보의 저장 및 모델 학습 활용 여부 ▪️ 개인정보가 처리되는 서버와 국가 ▪️ 보관기간과 삭제 방법 ▪️ 처리위탁·제3자 제공·국외 이전 해당 여부 ▪️ 외부 플러그인이나 다른 서비스로의 재전달 여부 외부 AI 사업자와의 관계가 개인정보 처리위탁인지, 제3자 제공이나 국외 이전에 해당하는지는 계약서의 명칭보다 실제 데이터 흐름을 기준으로 판단해야 합니다. 2. 생성 결과물과 저작권 AI가 생성한 이미지·문구·영상·코드라고 해서 기업에 독점적인 저작권이 당연히 인정되는 것은 아닙니다. 결과물 작성 과정에서 사람이 어느 정도 창작적으로 관여했는지, 입력한 원본 자료를 적법하게 사용할 수 있는지, 해당 AI 서비스의 약관이 상업적 이용을 허용하는지 등을 확인해야 합니다. 생성 결과물이 기존 저작물이나 캐릭터, 사진, 디자인과 유사하다면 제3자의 권리를 침해할 가능성도 있습니다. 사람에 대한 판단에 사용된다면 고영향 AI 여부를 확인해야 합니다 모든 생성형 AI가 고영향 AI에 해당하는 것은 아닙니다. 다만 AI가 문서 작성이나 단순 안내를 넘어 채용, 대출, 의료, 교육 등 사람의 권리나 기회에 영향을 미치는 판단에 사용된다면 고영향 AI 해당 여부를 검토해야 합니다. 예를 들어 지원자의 이력서를 요약하는 기능과 합격 가능성을 평가해 점수화하는 기능은 동일하게 보기 어렵습니다. 고영향 AI에 해당하는 경우에는 다음과 같은 조치를 검토해야 합니다. ▪️ 위험관리방안 수립 ▪️ 주요 판단 기준에 관한 설명 방안 마련 ▪️ 이용자 보호 절차 운영 ▪️ 사람에 의한 관리·감독 ▪️ 관련 문서의 작성 및 보관 생성형 AI 서비스 출시 전 정비할 문서 생성형 AI 법률 검토는 이용약관이나 표시 문구부터 작성하는 방식으로 진행하기 어렵습니다. 먼저 사용 모델, 이용자가 입력하는 정보, 데이터 전송 경로, 생성 결과물의 이용 범위 및 사람의 검토 절차를 정리해야 합니다. 이후 실제 서비스 구조와 다음 문서가 서로 일치하는지 확인해야 합니다. AI 고지·표시 문구 서비스 이용 전 사전 고지와 생성 결과물 표시를 구분해 설계 서비스 이용약관 AI 결과물의 이용 범위와 오류·권리침해 발생 시 대응절차 반영 개인정보처리방침 외부 AI 모델을 포함한 개인정보 처리·보관·이전 구조 반영 AI 공급계약 및 API 약관 데이터 이용, 보안사고, 지식재산권과 서비스 중단 책임 확인 사내 AI 사용기준 고객정보·계약서·영업비밀의 입력 제한과 내부 승인 절차 마련 생성형 AI 서비스 구조를 기준으로 한 법률 검토 AI기본법상 생성형 AI 투명성 의무는 서비스 이용 전 고지와 생성 결과물 표시로 구분됩니다. 그러나 실제 기업의 법률 리스크는 표시 방식에만 한정되지 않습니다. 외부 AI 모델의 이용 구조, 개인정보의 처리와 이전, 생성 결과물의 권리, 고영향 AI 해당 가능성 및 공급업체와의 책임 배분까지 함께 확인해야 합니다. 디센트 법률사무소 기업법무팀은 생성형 AI 서비스의 기능과 데이터 흐름을 기준으로 AI기본법 적용 여부, 고지·표시 방식, 개인정보·저작권 및 외부 AI 모델 계약구조를 종합적으로 검토합니다. 본 콘텐츠는 일반적인 법률 정보 제공을 목적으로 하며, 개별 사건이나 사업에 대한 법률 자문을 구성하지 않습니다.
-
베트남 유통업 진출, 사업허가와 프랜차이즈 등록 시 확인해야 할 법적 요건
한국 유통·F&B·화장품 기업의 베트남 진출 사례가 증가하면서, 직접 매장을 운영하거나 프랜차이즈 방식으로 진출하려는 문의도 함께 늘고 있습니다. 베트남 유통업은 세계무역기구(World Trade Organization, WTO) 가입 당시 조건부로 개방된 업종입니다. 이로 인해 법인설립을 마쳤다고 하더라도 별도의 사업허가증과 소매점포 설립허가를 받아야 실제 영업을 개시할 수 있습니다. 프랜차이즈 방식으로 진출하는 경우에도 계약 체결만으로는 절차가 종료되지 않으며, 소관 기관에 대한 등록 또는 신고가 추가로 요구될 수 있습니다. 이 글에서는 베트남 유통업 진출 시 적용되는 인허가 체계, 프랜차이즈 등록 요건, 매장 확장 단계에서 고려해야 할 사항을 순서대로 살펴봅니다. 적용 법령 및 인허가 체계 1) 법인설립과 영업허가의 구분 투자등록증(Investment Registration Certificate, IRC)과 기업등록증(Enterprise Registration Certificate, ERC)은 외국인투자기업(Foreign Invested Enterprise, FIE)의 존재와 사업 목적을 증명하는 문서입니다. 다만 이는 실제 판매 행위 자체를 허가하는 문서는 아니므로, 등록 사업 범위에 도소매·유통업을 포함했다는 사실만으로 오프라인 매장 운영이나 소비자 대상 온라인 판매가 곧바로 가능해지는 것은 아닙니다. 베트남 무역법(Luật Thương mại) 및 대외무역관리법(Luật Quản lý ngoại thương)의 시행령인 Nghị định 09/2018/NĐ-CP(2018. 1. 15. 시행)에 따르면, FIE가 도매·소매 유통, 상품 임대(금융리스 제외), 상거래 중개, 전자상거래, 물류(국제조약상 이미 개방된 분야 제외) 등을 영위하려면 사업허가증을 받아야 합니다. 반면 수입한 상품을 소비자가 아닌 다른 사업자에게만 판매하는 순수 B2B 무역업은, IRC·ERC에 해당 사업 범위(CPC 코드 기준)를 정확히 등록하는 것으로 별도 허가 없이 운영이 가능한 경우가 있습니다. 소비자 대상 판매(B2C) 여부가 추가 인허가 필요 여부를 가르는 기준이 될 수 있습니다. 2) 사업허가증과 소매점포 설립허가 구분 사업허가증(BL) 소매점포 설립허가(ROEL) 발급 기관 본점 소재지 관할 성급 산업무역국(DOIT) 점포 소재지 관할 DOIT 근거 조항 Nghị định 09/2018/NĐ-CP 제8조~제13조 동 시행령 제22조, 제27조~제29조 유효기간 원칙적으로 무기한(일부 품목은 5년 제한) IRC 잔여기간 또는 임대차 기간 중 짧은 쪽 두 번째 매장부터 해당 없음 경제적 수요심사(ENT) 적용 가능 출처: Nghị định 09/2018/NĐ-CP 사업허가증은 세계무역기구 등 국제조약 가입국 투자자의 경우 해당 조약상 시장접근 조건을, 그 외 국가 투자자는 별도 요건을 충족해야 발급받을 수 있습니다. 쌀·설탕·영상물·서적·신문·잡지 등 특정 품목은 소관 부처의 의견 청취 절차가 추가로 요구될 수 있습니다. 첫 번째 매장은 상대적으로 간단한 절차(동 시행령 제28조)를 거치지만, 두 번째 매장부터는 원칙적으로 경제적 수요심사(Economic Needs Test, ENT, 동 시행령 제29조)를 거쳐야 할 수 있습니다. 면적 500㎡ 미만이면서 상업센터(commercial center) 내에 위치하고 편의점·미니마트 형태가 아닌 소매점포는 ENT 대상에서 제외될 수 있습니다. 또한 포괄적·점진적 환태평양경제동반자협정(CPTPP), 한-베트남을 포함한 유럽연합-베트남 자유무역협정(EVFTA) 등 관련 조약 체결국 투자자는 일정 요건을 충족하는 소형 매장에 한해 ENT 적용을 받지 않을 수 있습니다. 3) 프랜차이즈 관련 법령 프랜차이즈(가맹점 영업권 양도, Nhượng quyền thương mại)는 베트남 상법(Luật Thương mại 2005) 제284조부터 제291조, Nghị định 35/2006/NĐ-CP(이후 Nghị định 120/2011/NĐ-CP, Nghị định 08/2018/NĐ-CP로 개정), Thông tư 09/2006/TT-BTM(이후 Thông tư 04/2016/TT-BCT, Thông tư 03/2024/TT-BCT로 개정)의 적용을 받습니다. 해외 프랜차이저가 베트남으로 프랜차이즈를 도입하는 경우 산업무역부(Ministry of Industry and Trade, MOIT)에 등록해야 합니다. 반면 베트남 국내 사업자 간 프랜차이즈는 2018년 개정으로 등록 의무가 폐지되었고, 점포 소재지 관할 성급 산업무역국(Sở Công Thương)에 운영 현황을 보고하는 절차로 간소화되었습니다. 이에 따라 한국 본사의 최초 진출 단계는 등록 대상, 현지 마스터 프랜차이지의 하위 가맹점 모집 단계는 신고 대상으로 구분됩니다. 실무 기준 및 유의사항 1) ENT 적용과 매장 확장 전략 경제적 수요심사(ENT)는 두 번째 매장부터 적용될 수 있는 절차로, 매장을 여러 곳에 개설할 계획이 있는 경우 1호점 입지 선정 단계에서부터 함께 검토할 필요가 있습니다. 상업센터 내 소형 매장 등 ENT 예외 요건을 활용할 수 있는지 여부에 따라 이후 확장 일정과 비용이 달라질 수 있습니다. 한편 산업무역부는 2025년 9월부터 Nghị định 09/2018/NĐ-CP를 대체할 신규 시행령 초안을 공개하여 의견수렴을 진행하고 있습니다. 초안에는 발급 권한을 성 인민위원회로 일원화하고 ENT 적용 대상국을 축소하는 내용이 포함되어 있으나, 2026년 7월 현재 정식 시행 전 단계이므로 실제 진출 시점에 최신 시행 여부를 다시 확인할 필요가 있습니다. 2) 프랜차이저·마스터 프랜차이지 요건 프랜차이즈로 제공하려는 사업 시스템은 최소 1년 이상 실제 운영 이력을 갖추어야 합니다. 해외 프랜차이저로부터 1차로 영업권을 받은 베트남 사업자가 이를 다시 하위 가맹점에 재가맹하려는 경우에도, 본인이 해당 사업 방식으로 최소 1년 이상 운영한 이력을 먼저 갖추어야 합니다. 다점포 확장을 초기부터 계획하는 경우 이 요건이 전체 일정에 영향을 줄 수 있습니다. 프랜차이저는 계약 체결 전 예비 프랜차이지에게 사업 시스템, 재무 정보 등을 담은 정보공개서를 제공할 의무가 있으며, 이 서류는 등록 신청 서류에도 포함됩니다. 계약서 서명일이 아닌 등록 완료일을 기준으로 사업 개시 일정을 수립해야 실제 오픈 지연을 방지할 수 있습니다. 등록 없이 해외 브랜드 프랜차이즈를 먼저 개시하는 경우 행정 제재나 사업 재정비 요구로 이어질 수 있습니다. 3) 품목별 추가 인허가 사업허가증과 소매점포 설립허가를 받았다고 하여 모든 인허가 절차가 종료되는 것은 아닙니다. 매장에서 조리·판매하는 식품은 소관 부처(보건부·농업농촌개발부·산업무역부 중 품목에 따라 결정)로부터 식품안전 기준 충족 확인을 받아야 합니다. 수입 화장품은 보건부 산하 기관에 제품 신고 절차를 거쳐 신고번호를 받아야 통관과 판매가 가능하며, 이 신고번호가 없는 경우 통관이 지연될 수 있습니다. 쌀·설탕·영상물·서적·신문·잡지 등은 사업허가증 단계에서부터 소관 부처 의견 청취 절차가 추가되는 품목으로 분류되어 있습니다. 품목별 세부 인허가 요건은 취급 품목과 사업 형태(직접 수입·제조·프랜차이즈 등)에 따라 달라질 수 있어, 구체적인 품목이 확정된 이후 개별적으로 확인하는 것이 필요합니다. 쟁점 및 대응 방향 1. 진출 방식에 따른 인허가 부담 주체 한국 본사가 FIE를 직접 설립하여 매장을 운영하는 구조와, 현지 사업자와 대리점·유통 계약을 체결해 판매를 위탁하는 구조는 인허가 부담의 주체가 다릅니다. 후자의 경우 사업허가증·소매점포 설립허가 취득 의무는 원칙적으로 현지 파트너에게 있으나, 그만큼 브랜드에 대한 통제력은 낮아질 수 있습니다. 2. 계약 구조 설계 시 고려사항 1) 로열티·기술이전 대가 송금 프랜차이즈 로열티나 상표 사용료를 베트남에서 한국으로 송금할 경우 베트남 원천세(외국인계약자세 성격) 부과 대상이 될 수 있으며, 한국 측에서도 관련 소득에 대한 세무 신고 의무가 함께 발생할 수 있습니다. 2) 지식재산권 라이선스 조항 프랜차이즈 계약과 별도로 상표·영업비밀 등 지식재산권 사용 허락 조항을 명확히 정리해 두어야, 계약 종료 시 상표 사용 중단 등을 둘러싼 분쟁을 예방할 수 있습니다. 3) 매장 확장 계획의 사전 반영 두 번째 매장부터 적용될 수 있는 ENT를 고려하여, 1호점 입지 선정 단계에서부터 확장 계획을 함께 설계하는 것이 유리할 수 있습니다. 법인설립과 영업허가 취득 절차를 동일한 것으로 오인하는 경우가 실무상 가장 빈번한 리스크로 확인됩니다. 사업허가증, 소매점포 설립허가, 프랜차이즈 등록은 각각 별도의 요건과 소관 기관을 두고 있으므로, 진출 초기 단계에서부터 개별 절차를 구분하여 검토할 필요가 있습니다. 디센트 법률사무소 국제법무팀 베트남을 포함한 해외 진출은 현지 인허가 절차뿐 아니라 한국 본사와 현지 법인 또는 파트너 간의 계약 구조 설계가 함께 검토되어야 하는 영역입니다. 디센트 법률사무소 국제법무팀은 법인설립, 인허가 취득, 프랜차이즈 계약 검토, 지식재산권 라이선스 및 로열티 관련 세무 쟁점까지 진출 단계별 실무를 다루고 있습니다. 베트남 유통업 진출이나 프랜차이즈 방식의 사업 확장을 검토하고 계신다면, 취급 품목과 매장 확장 계획을 함께 정리하여 문의해 주시기 바랍니다.
