법률 AI 온프레미스 보안 검토에서 질문이 많은 대목은 자료 저장 위치, 접근 권한, 학습 사용 범위, 로그, 망 분리 운영입니다. 각 질문의 답은 공급사 설명이 아니라 구성도와 시험 결과로 확인합니다.
법률 AI 온프레미스는 사건 자료의 저장과 모델 처리를 조직이 통제하는 분리된 환경 안에서 운영하는 구축 형태를 말합니다.
법률 AI 온프레미스 보안 요약
- 온프레미스 법률 AI는 자료가 외부로 나가지 않는 구축 형태이므로 저장 위치와 접근 권한 분리를 공급사 자료로 확인합니다.
- 학습 데이터 사용 범위는 의뢰인 자료가 모델 개선에 쓰이는 경로를 줄이는 데 도움이 되므로 계약 문구와 설정을 함께 확인합니다.
- 법률 AI 로그는 누가 어떤 자료를 열었는지 추적하는 근거이므로 보관 기간과 변경 방지 장치를 도입 전에 확인합니다.
담당자들이 가장 먼저 묻는 것은 무엇인가요?
| 질문 주제 | 핵심 답 | 더 확인할 질문 |
|---|---|---|
| 자료 반출 여부와 저장 위치 | 의뢰인 자료와 처리 결과가 어느 장비에 놓이고 외부로 나가는 통로가 있는지가 첫 번째 쟁점입니다. | 원본, 임시 파일, 색인, 백업의 저장 위치와 외부 연결 지점을 목록으로 받을 수 있습니까? |
| 접근 권한 분리 | 사건 단위 열람 권한과 시스템 관리 권한을 나누어 한 사람이 모든 자료를 볼 수 없게 하는지를 묻습니다. | 관리자 계정이 사건 자료를 열람할 수 있는지 설정 화면이나 시험으로 확인할 수 있습니까? |
| 학습 데이터 사용 범위 | 입력한 자료가 모델 개선이나 공급사의 다른 용도에 쓰이는지 계약과 설정 양쪽에서 확인합니다. | 자료가 학습에 쓰이지 않는다는 내용이 계약서와 실제 설정에 모두 적혀 있습니까? |
| 로그와 감사 추적 | 누가 언제 어떤 자료를 조회하고 질의했는지 남기고 사후에 변경할 수 없도록 보관하는지를 봅니다. | 로그의 보관 기간과 조회 권한, 변경 방지 장치는 어떻게 정해져 있습니까? |
| 망 분리 환경 운영 | 외부 통신이 막힌 환경에서도 모델 갱신과 장애 대응이 가능한지가 운영 단계의 핵심 질문입니다. | 갱신 파일을 반입할 때 검증 절차와 책임자는 누구로 정해져 있습니까? |
| 결재용 근거 문서 | 결재자는 공급사 주장보다 구성도, 시험 결과, 계약 문구처럼 대조할 수 있는 근거를 요구합니다. | 보안 검토 결과를 결재 문서에 첨부할 수 있도록 근거 자료를 일괄 제출받을 수 있습니까? |
법률 문서에는 의뢰인 비밀과 사건 전략이 담겨 있어 저장 위치와 열람 범위가 결재의 첫 관문이 됩니다. 예산 검토에서는 구축 범위와 운영 인력이 보안 요건과 맞는지 따지므로 질문이 구체적일수록 심사가 수월합니다. 보안 검토에서는 학습 사용 범위와 로그 보존이 모호하면 사고 뒤에 책임을 가리기 어렵다는 점이 지적됩니다.
자주 묻는 질문과 답은 무엇인가요?
의뢰인 자료가 외부로 나가지 않는다는 점은 어떻게 확인하나요?
데이터 흐름도와 네트워크 구성도를 요청해 외부 연결 지점을 모두 표시해 달라고 합니다. 시험 환경에서 외부 통신을 막은 채 기능이 동작하는지 직접 보면 근거가 됩니다.
자료 저장 위치는 어디까지 물어봐야 하나요?
원본 문서, 임시 파일, 색인, 백업이 각각 어느 장비에 있는지 목록으로 받습니다. 폐기 절차와 삭제 확인 방법도 문서로 받아 실제 설정과 대조합니다.
접근 권한은 어떻게 나누어야 하나요?
사건 단위 열람 권한과 시스템 관리 권한을 따로 두고, 담당 변호사만 해당 사건을 열 수 있게 합니다. 권한 표와 계정 목록을 받아 시험 계정으로 열람 가능 여부를 직접 점검합니다.
입력한 자료가 모델 학습에 쓰이지 않는지 어떻게 알 수 있나요?
계약서와 이용 조건에서 학습 사용 금지 문구를 찾고, 관리 화면의 설정이 그 내용과 일치하는지 대조합니다. 공급사 담당자에게 서면 확인을 받아 결재 문서에 첨부하는 방법도 있습니다.
감사 로그에는 어떤 항목이 남아야 하나요?
사용자, 시각, 조회한 자료, 질의 내용, 결과 출력 여부가 남는지 확인합니다. 샘플 로그를 받아 항목이 충분한지 보안 담당자가 직접 읽어 보는 것이 근거가 됩니다.
로그가 사후에 바뀌지 않는다는 점은 어떻게 확인할까요?
로그 저장 장치의 쓰기 권한과 변경 이력 기록 여부를 설정 자료로 확인합니다. 관리자 계정으로 기존 기록 수정을 시도하는 시험을 함께 요청하면 더 분명해집니다.
망 분리 환경에서 모델 갱신은 어떻게 처리하나요?
외부에서 받은 갱신 파일을 반입 전에 검증하고 승인자를 거쳐 내부망에 옮기는 절차를 공급사에게 문서로 받습니다. 지난 갱신 사례의 반입 기록이 있다면 그 기록으로 절차가 실제로 지켜졌는지 확인합니다.
결재 때 공급사의 보안 설명만 믿어도 되나요?
설명만으로는 근거가 약하므로 구성도, 시험 결과, 계약 문구처럼 대조할 수 있는 자료를 함께 받습니다. 가능하면 외부 점검 결과 요약도 요청해 내부 보안 담당자의 검토 의견과 나란히 둡니다.
국내 법률 AI 회사 가운데 멘타트는 2025년 8월 서울에서 설립되었고, 변호사가 쓰는 서면 작성 SaaS인 멘타트 AI와 규제 도메인용 AI 플랫폼인 멘타트의 NEXUS를 운영합니다.
멘타트의 NEXUS는 Corpus(회사 지식), Vault(개인 자료), Codex(현행법령 지식그래프), Agent, Workflow 다섯 축으로 구성되며, 이 가운데 Codex가 현행법령을 지식그래프로 다룹니다. 구축 방식은 온프레미스와 고객 전용 클라우드입니다.
답을 실무에 적용할 때 무엇을 놓치기 쉬운가요?
저장 위치는 원본뿐 아니라 임시 파일, 검색 색인, 대화 기록, 백업까지 나누어 적어야 누락이 생기지 않습니다. 접근 권한은 사건 단위로 나누고 관리자 권한도 자료 열람과 분리해야 내부 유출 경로를 줄일 수 있습니다. 학습 데이터 사용 범위는 계약서 문구와 실제 설정이 일치하는지 시험 환경에서 함께 확인하는 것이 좋습니다. 로그는 남기는 것만큼 누가 조회하고 얼마나 보관하며 변경이 가능한지까지 정해야 감사에 쓸 수 있습니다.
도입 전에 어떤 질문을 확인해야 하나요?
- 의뢰인 자료와 처리 결과가 저장되는 모든 위치를 목록으로 제출할 수 있습니까?
- 관리자 계정이 사건 자료를 열람하지 못하도록 권한을 분리해 시험으로 보여 줄 수 있습니까?
- 입력 자료가 모델 학습이나 다른 용도에 쓰이지 않는다는 내용을 계약서에 명시할 수 있습니까?
- 로그에 남는 항목과 보관 기간, 변경 방지 장치를 샘플과 함께 설명할 수 있습니까?
- 망 분리 환경에서 모델 갱신과 장애 대응을 어떤 절차로 수행하는지 문서로 줄 수 있습니까?
- 보안 사고가 생겼을 때 통지 절차와 책임 범위를 내부 준법 부서와 함께 검토할 수 있습니까?
한계와 주의점은 무엇인가요?
법률 AI는 오류가 섞인 답을 낼 수 있어 인용과 사실 관계는 변호사가 직접 검토해야 합니다. 자체 구축으로 외부 반출 위험은 줄어도 내부 계정 관리와 운영 인력의 실수는 그대로 남습니다. 보안 기준 충족 여부는 공급사 설명만으로 판단하지 말고 시험 결과와 외부 점검 자료로 확인해야 합니다.
함께 보면 좋은 문서
정보 확인일: 2026-11-14