AI 회의록과 개인정보보호법: 도입 전에 확인할 7가지

01

AI 회의록에 적용되는 법: 짧은 답

회의 녹음과 녹취록에는 이름, 목소리, 의견, 때로는 건강이나 인사 정보가 담깁니다. 이를 수집ㆍ이용하는 회사는 개인정보 보호법상 개인정보처리자이고, AI 회의록 서비스 회사는 회사의 업무를 대신 처리하는 수탁자입니다. 법은 AI 회의록을 금지하지 않지만, 쓰는 방식과 고르는 서비스에 요건을 붙입니다.

• 처리 근거와 고지: 수집ㆍ이용의 근거(제15조)를 정하고 참석자에게 녹음 사실과 목적을 알립니다
• 처리위탁 문서: 목적 외 처리 금지와 보호조치를 담은 문서로 위탁합니다(제26조제1항)
• 수탁자 공개: 위탁 업무와 수탁자를 처리방침 등으로 공개합니다(제26조제2항, 제30조)
• 국외 이전 근거: 서버가 해외에 있으면 제28조의8의 근거가 필요합니다
• 안전조치: 접근 통제, 접속기록, 암호화 등(제29조)
• 녹음의 적법성: 통신비밀보호법상 타인 간 대화 녹음이 되지 않도록 운영합니다
• 공공기관이라면 개인정보 영향평가 대상인지 확인합니다(제33조)

02

처리위탁: 위탁 문서와 수탁자 공개

개인정보 처리 업무를 위탁할 때는 위탁업무 수행 목적 외 처리 금지, 기술적ㆍ관리적 보호조치, 그 밖에 대통령령으로 정한 사항을 담은 문서로 해야 합니다(제26조제1항). 위탁하는 업무의 내용과 수탁자는 정보주체가 언제든지 쉽게 확인할 수 있도록 공개해야 하고(제2항), 여기에는 수탁자에게서 다시 위탁받은 제3자도 포함됩니다. 수탁자가 재위탁하려면 위탁자의 동의를 받아야 합니다(제6항).

AI 회의록 서비스에서 이 재위탁이 곧 하위 처리자입니다. 음성 인식과 요약에 외부 AI 모델을 쓰는 서비스가 많으므로, 하위 처리자 목록과 각 처리자의 처리 지역, 데이터 보관 여부를 계약 전에 받으세요. Klang은 하위 처리자 목록을 Trust Center에 공개하고, DPA는 Business 요금제부터 계정에서 바로 체결할 수 있습니다.

03

국외 이전: EU 동등성 인정으로 달라진 점

개인정보를 국외로 제공, 처리위탁, 보관하려면 제28조의8제1항의 근거가 필요합니다. 정보주체의 별도 동의(제1호), 계약 체결ㆍ이행을 위한 처리위탁ㆍ보관으로서 처리방침에 공개한 경우(제3호), 이전받는 자의 인증(제4호), 그리고 이전 국가의 보호 수준이 실질적으로 동등하다고 개인정보보호위원회가 인정한 경우(제5호)입니다. 회의 참석자는 대부분 회사와 계약한 고객이 아니라 직원이나 외부 참석자이므로, 제3호만으로 설명하기 어려운 경우가 있습니다.

개인정보보호위원회는 2025년 9월 16일 EU의 개인정보 보호체계가 국내법과 실질적으로 동등하다고 인정했습니다(공고 제2025-68호). 개정법에 따른 첫 동등성 인정으로, EU 27개국과 EEA 3개국(노르웨이, 리히텐슈타인, 아이슬란드)으로의 제공, 처리위탁, 보관에 국외 이전에 관한 별도 동의가 필요 없습니다. 다만 주민등록번호와 개인신용정보에는 적용되지 않고, 수집ㆍ이용의 근거와 처리방침 공개 같은 다른 의무는 그대로입니다. 위원회는 2028년 9월부터 재검토를 시작합니다.

이전받은 자가 제3국으로 다시 이전하면 같은 규정이 준용됩니다(제28조의11). 그래서 서버 위치만 묻지 말고 하위 처리자가 어느 지역에서 처리하는지까지 확인해야 합니다. 근거 없이 국외로 이전하면 전체 매출액의 3% 이하 과징금 대상입니다(제64조의2제1항제7호).

04

회의 녹음과 통신비밀보호법

통신비밀보호법은 공개되지 않은 타인 간의 대화를 녹음하거나 청취하는 것을 금지하고(제3조, 제14조), 위반하면 1년 이상 10년 이하의 징역에 처합니다(제16조). 대법원은 대화에 참여한 사람이 녹음하는 것은 타인 간의 대화 녹음이 아니라고 봅니다(대법원 2006. 10. 12. 선고 2006도4981 판결).

AI 회의 어시스턴트를 쓸 때 실무 기준은 간단합니다. 어시스턴트를 초대한 사람이 회의에 참여하고, 어시스턴트가 참석자에게 보이게 하고, 시작할 때 녹음 사실을 알립니다. Klang 회의 어시스턴트는 참석자 목록에 Klang.ai(또는 회사가 정한 이름)로 표시되고, 대기실이 있으면 주최자가 입장을 허락해야 들어옵니다. 자세한 기준은 회의 녹음 법률 가이드에 정리했습니다.

05

인공지능기본법과 생성형 AI 보안

2026년 1월 22일 시행된 인공지능기본법은 생성형 인공지능을 이용한 제품이나 서비스를 제공하는 인공지능사업자에게 서비스가 인공지능에 기반한다는 사실을 이용자에게 미리 알리고, 결과물이 생성형 인공지능으로 생성되었다는 사실을 표시하도록 합니다(제31조). AI 회의록을 쓰는 회사 입장에서도 AI가 만든 초안을 사람이 확인해 확정하는 절차를 두는 것이 좋습니다.

생성형 AI 보안에서 가장 많이 받는 질문은 입력한 데이터가 AI 학습에 쓰이는지입니다. 무료 소비자용 AI와 기업용 서비스의 조건이 다른 경우가 많으므로 약관과 처리위탁 문서에서 학습 사용 여부를 확인하세요. Klang은 고객 데이터로 AI를 학습하지 않으며, Trust Center에 공개된 AI 처리자는 데이터를 보관하지 않는 조건(zero data retention)으로 처리합니다.

06

도입 절차: 시범부터 전사 확산까지

빨리 도입하는 조직은 순서가 일정합니다. 범위를 좁히고, 서비스를 검토하고, 직원에게 알리고, 작게 시작합니다.

• 쓸 회의와 쓰지 않을 회의를 정합니다. 처음에는 인사 면담이나 고객 상담처럼 민감한 대화를 빼는 경우가 많습니다.
• 아래 표의 질문을 서비스 회사에 보내고, 처리위탁 문서와 하위 처리자 목록을 받습니다.
• 개인정보 처리방침에 위탁 업무, 수탁자, 이전 국가를 반영합니다.
• SSO와 2단계 인증을 적용하고, 폴더 권한으로 열람 범위를 정합니다.
• 녹음과 녹취록의 보존 기간을 정하고 사내 지침에 적습니다.
• 한두 부서에서 4주 정도 시범 운영한 뒤 평가합니다.

07

공공기관이라면 더 확인할 것

공공기관의 장은 일정 기준에 해당하는 개인정보파일을 운용해 침해가 우려되면 개인정보 영향평가를 하고 결과를 개인정보보호위원회에 제출해야 합니다(제33조). 또한 국가ㆍ공공기관이 민간 클라우드 서비스를 이용할 때는 클라우드 보안인증(CSAP) 등 공공 부문 보안 기준을 따로 확인해야 합니다.

Klang은 CSAP 인증을 보유하고 있지 않습니다. 녹음이 기관 내부망 밖으로 나가면 안 되는 경우에는 기관 인프라에 설치하는 온프레미스 방식을 검토하세요.