기업용 AI 서비스 계약서, 데이터 학습부터 결과물 권리까지 확인해야 할 7가지

[기업용 AI 서비스, 일반 SaaS 계약서만 검토하면 충분할까요?]

안녕하세요, 디센트 법률사무소 진현수 대표변호사입니다.

기업이 ChatGPT와 같은 생성형 AI 서비스를 업무에 활용하거나 외부 LLM API를 자사 서비스에 연동하는 사례가 늘면서 AI 서비스 공급사와 체결하는 계약의 중요성도 커지고 있습니다.

기업용 AI 서비스 계약서는 일반 SaaS 계약과 달리 고객이 입력한 데이터를 AI 학습에 사용할 수 있는지, 개인정보가 어디에서 처리되는지, AI 결과물에 대한 권리는 누구에게 있는지까지 함께 확인해야 합니다.

특히 자사 서비스에 AI 기능을 탑재해 고객에게 제공한다면 공급사와의 계약뿐 아니라 인공지능기본법상 의무를 누가 어떻게 이행할 것인지도 검토할 필요가 있습니다.

🕒 바쁜 분들을 위한 3줄 요약

1. 고객 데이터: 회사가 입력한 계약서·고객정보 등이 서비스 제공에만 사용되는지, AI 모델 학습에도 활용되는지 구분해야 합니다.

2. 권리와 책임: AI 결과물을 사용할 수 있는 범위와 함께 저작권 침해, AI 오류, 보안사고가 발생했을 때 책임을 확인해야 합니다.

3. AI 규제: AI를 사내에서 이용하는 경우와 이를 활용해 고객 대상 서비스를 제공하는 경우는 법적 검토 범위가 달라질 수 있습니다.

1. 기업용 AI 계약은 일반 SaaS 계약과 무엇이 다를까요?

AI 서비스에서는 ‘데이터가 어떻게 이용되는지’와 ‘AI가 만든 결과물을 어떻게 사용할 수 있는지’가 새로운 핵심 계약 쟁점이 됩니다.

기업은 AI 서비스에 다음과 같은 자료를 입력할 수 있습니다.

• 고객정보 및 상담내역

• 계약서와 사업 관련 문서

• 회사 내부 보고서와 업무 매뉴얼

• 소스코드 및 기술자료

• 이미지·영상·음성 자료

• RAG 또는 파인튜닝 데이터

일반 SaaS에서도 데이터 저장과 보안은 중요한 문제입니다.

그러나 생성형 AI에서는 입력한 자료가 모델 학습에 다시 이용되는지, AI가 생성한 결과물에 어떤 권리가 인정되는지, 잘못된 결과물로 문제가 발생할 경우 누가 책임지는지까지 검토 범위가 넓어집니다.

따라서 기업용 AI 서비스 계약서는 기존 IT 계약에 몇 개의 AI 문구를 추가하는 방식보다는 데이터와 결과물, 책임의 흐름을 함께 확인하는 방식​으로 검토하는 것이 중요합니다.

2. 고객이 입력한 데이터를 AI 학습에 사용할 수 있을까요?

가장 먼저 확인할 부분은 고객 데이터의 ‘소유권’보다 공급사가 해당 데이터를 ‘어떤 목적으로 사용할 수 있는지’입니다.

계약서에 고객 데이터가 고객사에 귀속된다고 적혀 있더라도 공급사에게 별도의 이용권이 부여되어 있을 수 있습니다.

따라서 서비스 제공을 위한 데이터 처리와 공급사의 모델 학습·개선을 위한 데이터 이용을 구분해서 살펴봐야 합니다.

🔹 서비스 제공을 위한 이용

사용자의 질문에 답하거나 파일을 분석하기 위해 입력 데이터를 처리하는 것은 AI 서비스를 제공하는 과정에서 필요한 데이터 이용에 해당할 수 있습니다.

🔹 모델 학습을 위한 이용

반면 고객 데이터를 공급사의 범용 모델을 개선하거나 다른 고객에게 제공되는 모델의 학습에 사용하는 것은 별도의 문제입니다.

계약서에서는 모델 학습 여부뿐 아니라 입력 데이터, 이용 로그, 사용자 피드백 등 어떤 범위의 데이터를 어떤 목적으로 이용할 수 있는지를 확인할 필요가 있습니다.

특히 기밀정보나 기술자료를 입력하는 기업이라면 데이터 이용 목적과 보유기간, 계약 종료 후 삭제 기준까지 명확하게 정하는 것이 좋습니다.

3. 개인정보와 해외 AI 서비스는 어떻게 확인해야 할까요?

고객이나 임직원의 개인정보가 AI 서비스로 전달된다면 실제 데이터 처리 구조를 먼저 확인해야 합니다.

개인정보보호위원회는 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」에서 ChatGPT API와 같은 서비스형 LLM 활용을 별도의 AI 활용 유형으로 다루고 있습니다.

안내서는 AI 개발·활용 과정에서 개인정보의 종류와 출처, 처리 근거 및 안전조치를 단계별로 검토하도록 하고 있습니다.

예를 들어 국내 기업이 해외 AI 서비스를 이용할 때는 단순히 공급사의 본사가 해외에 있다는 사실보다

• 개인정보가 실제 어느 국가에서 저장·처리되는지

• 공급사가 다른 클라우드나 하위처리자를 이용하는지

• 개인정보가 계약 종료 후 언제 삭제되는지

• 유출 등 사고가 발생했을 때 언제 통지받을 수 있는지

등을 확인해야 합니다.

특히 개인정보의 국외 제공뿐 아니라 국외에서 이루어지는 처리위탁이나 보관도 개인정보 보호법상 국외 이전 규율을 검토해야 할 수 있습니다.

따라서 해외 AI SaaS를 도입할 때는 계약서와 함께 실제 데이터 플로우를 확인하는 것이 중요합니다.

4. AI가 만든 결과물은 고객사가 자유롭게 사용할 수 있을까요?

계약서상 AI 결과물을 이용할 수 있다는 것과 해당 결과물에 저작권이 인정된다는 것은 구분해야 합니다.

예를 들어 AI 서비스 계약에서 고객에게 결과물을 상업적으로 이용할 수 있는 권한을 부여할 수 있습니다.

그러나 계약상 이용권을 정했다고 해서 AI가 생성한 모든 결과물에 자동으로 저작권이 발생하거나 고객사가 저작권자가 되는 것은 아닙니다.

따라서 계약서에서는 결과물의 ‘소유권’이라는 표현만 보기보다 다음과 같은 실제 이용범위를 확인하는 것이 중요합니다.

• 상업적 이용이 가능한지

• 결과물을 수정·가공할 수 있는지

• 공급사가 같은 결과물을 다시 이용할 수 있는지

• 다른 이용자에게 유사한 결과물이 생성될 가능성이 있는지

한국저작권위원회는 생성형 AI와 관련해 AI 학습 및 결과물의 저작권 문제와 분쟁 가능성을 별도의 안내자료를 통해 다루고 있습니다.

결국 기업 입장에서는 계약상 결과물 이용권과 저작권법상 보호 여부를 구분해서 판단하는 것이 안전합니다.

5. AI 결과물이 다른 사람의 권리를 침해하거나 잘못된 답을 내면 누가 책임질까요?

AI 서비스 계약에서는 결과물이 문제가 되었을 때 공급사와 고객사 중 누가 어느 범위까지 책임지는지가 중요합니다.

대표적으로 두 가지 문제가 있습니다.

🔹 제3자 권리침해

AI가 생성한 이미지나 글, 코드 등이 기존 저작물이나 제3자의 권리를 침해한다는 주장이 제기될 수 있습니다.

이때 고객이 입력한 자료에서 문제가 시작된 것인지, 공급사의 모델이나 서비스에서 문제가 발생한 것인지에 따라 책임 구조가 달라질 수 있습니다.

🔹 AI 오류

생성형 AI는 사실과 다른 정보를 생성할 수 있기 때문에 결과물의 정확성을 어디까지 보증하는지도 확인해야 합니다.

특히 AI가 고객 응대, 계약 분석, 내부 의사결정 등 실제 업무 프로세스에 깊게 연결될수록 오류가 발생했을 때 기업이 부담할 위험도 커질 수 있습니다.

따라서 계약에서는 보증 범위, 면책사유, 손해배상 범위와 배상한도​를 함께 확인해야 합니다.

공급사의 책임이 최근 일정 기간 동안 지급한 이용료로 제한되어 있는지, 개인정보 유출이나 지식재산권 침해에도 같은 책임 제한이 적용되는지도 살펴볼 필요가 있습니다.

6. AI 모델이나 API가 바뀌는 경우도 계약에서 정해야 할까요?

특정 AI 모델이나 API에 의존해 서비스를 운영하는 기업이라면 모델 변경과 서비스 종료도 중요한 계약 쟁점입니다.

일반 SaaS에서도 기능 변경이나 서비스 종료가 발생할 수 있지만 AI 서비스에서는 모델 자체가 교체되면서 결과의 품질이나 기능, 가격이 달라질 가능성이 있습니다.

예를 들어 특정 모델을 전제로 자체 서비스를 개발했는데 공급사가 해당 모델을 종료한다면 새로운 모델로 이전하기 위한 개발 비용이 발생할 수 있습니다.

따라서 중요한 AI 서비스를 도입할 때는

• 주요 모델 또는 API 변경 시 사전 통지

• 핵심 기능 종료에 대한 통지기간

• 데이터 반환 및 이전 지원

• 서비스 가용성과 장애 대응 기준

등을 계약에서 확인해 두는 것이 좋습니다.

특히 AI가 회사의 핵심 서비스와 직접 연결되어 있다면 가격뿐 아니라 공급사를 변경하거나 서비스를 이전할 수 있는 구조인지도 함께 검토할 필요가 있습니다.

7. 인공지능기본법 시행 이후 계약에서는 무엇을 확인해야 할까요?

모든 기업이 AI를 사용한다고 해서 동일한 인공지능기본법상 의무를 부담하는 것은 아닙니다. 실제 AI 이용 구조를 기준으로 적용 여부를 확인해야 합니다.

현행 인공지능기본법 제31조는 인공지능사업자가 고영향 AI나 생성형 AI를 이용한 제품·서비스를 제공하는 경우 AI에 기반해 운용된다는 사실을 사전에 고지하도록 하고 생성형 AI 결과물이라는 사실을 표시하도록 규정하고 있습니다.

다만 현행 시행령은 AI 이용 사실이 이미 명백한 경우나 인공지능사업자가 내부 업무 용도로만 이용하는 경우 등에 대해 고지·표시 의무의 예외를 두고 있습니다.

따라서 다음 두 상황은 구분해서 볼 필요가 있습니다.

또한 인공지능사업자는 자신이 제공하는 AI가 고영향 인공지능에 해당하는지 검토하고 필요한 경우 관계기관에 확인을 요청할 수 있습니다.

따라서 기업이 외부 AI API를 이용해 고객 대상 서비스를 제공한다면 공급사가 법적 의무 이행에 필요한 기술정보나 기능을 제공하는지, 규제 변경 시 어느 범위까지 협조할 것인지도 계약에서 검토할 수 있습니다.

8. 자주 묻는 질문

Q1. 기업용 ChatGPT나 AI SaaS도 계약 검토가 필요한가요?

기업의 중요 데이터를 공식 업무에 입력할 예정이라면 검토하는 것이 좋습니다.

특히 기업용 서비스라는 명칭만으로 데이터가 모델 학습에 사용되지 않는다거나 모든 보안조건이 동일하다고 볼 수는 없으므로 실제 적용되는 계약조건과 데이터 처리정책을 확인해야 합니다.

Q2. 고객 데이터가 고객사 소유라고 되어 있으면 괜찮은가요?

그것만으로 충분하지 않을 수 있습니다.

데이터의 권리 귀속과 공급사가 해당 데이터를 이용할 수 있는 범위는 다른 문제이므로 서비스 제공, 모델 개선, AI 학습 등에 어느 범위까지 이용할 수 있는지를 함께 확인하는 것이 중요합니다.

Q3. 해외 AI SaaS를 사용하면 모두 개인정보 국외 이전에 해당하나요?

해외 서비스라는 이유만으로 일률적으로 판단하기보다 실제 개인정보가 어디에서 저장·처리되는지를 확인해야 합니다.

개인정보가 해외 서버로 이전되어 처리·보관되는 구조라면 개인정보 보호법상 국외 이전 규정을 검토해야 합니다.

Q4. AI 결과물의 저작권을 계약서에서 고객사에 귀속시키면 되나요?

계약을 통해 결과물의 이용범위를 정할 수는 있지만 해당 결과물이 저작권법상 보호되는지 여부는 별도의 문제입니다.

따라서 단순한 권리귀속 문구보다는 상업적 이용, 수정·가공, 재사용 가능 여부 등 실제 이용조건을 구체적으로 정하는 것이 좋습니다.

9. 디센트 인사이트: AI 계약서는 데이터와 책임의 흐름을 확인해야 합니다

기업용 AI 계약서를 검토할 때 모든 AI 관련 위험을 하나의 계약에 넣으려고 할 필요는 없습니다.

중요한 것은 우리 회사가 어떤 데이터를 AI에 전달하고, 공급사는 이를 어디까지 이용하며, 생성된 결과물을 어떻게 사용할 수 있고, 문제가 생겼을 때 누가 책임지는지를 연결해서 확인하는 것​입니다.

특히 외부 AI SaaS나 LLM API를 본격적으로 도입한다면 다음 세 가지 질문부터 확인해 볼 수 있습니다.

🔹 우리 회사의 데이터는 어디까지 사용되는가?

서비스 제공을 위한 처리인지, 모델 학습이나 개선에도 이용되는지 확인해야 합니다.

🔹 AI 결과물을 업무에 사용했을 때 발생하는 책임은 어떻게 나뉘는가?

오류, 권리침해, 보안사고에 대한 보증·면책·배상 범위를 확인해야 합니다.

🔹 우리 회사는 AI를 단순히 이용하는가, 고객에게 AI 서비스를 제공하는가?

AI의 이용 방식에 따라 개인정보와 계약뿐 아니라 인공지능기본법상 검토 범위도 달라질 수 있습니다.

공급사가 제공하는 표준계약서를 그대로 체결하기보다 실제 서비스와 데이터 처리구조에 맞춰 위 사항을 확인하는 것이 중요합니다.

[디센트 법률사무소 – 기업용 AI 서비스 계약 자문]

🔸 기업용 AI·SaaS 서비스 계약서 작성 및 검토

🔸 고객 데이터의 AI 학습·모델 개선 이용 조항 검토

🔸 개인정보 처리위탁·국외 이전 구조 검토

🔸 AI 결과물 및 지식재산권 관련 계약 조항 검토

🔸 AI 오류·권리침해·손해배상 및 책임 제한 검토

🔸 인공지능기본법 등 관련 규제 검토

🔸 AI 서비스 이용약관·개인정보 처리방침 정비

디센트 법률사무소 상담 안내 ☎️

[유선 문의] 02-6951-5248

[이메일] admin@decentlaw.io

[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층