온프레미스 법률 AI 공급사를 검토할 때는 자료 반출 여부와 저장 위치, 접근 권한 분리, 학습 데이터 사용 범위, 로그와 감사 추적, 망 분리 운영을 기준으로 봅니다. 온프레미스와 전용 클라우드는 모두 고객 전용 환경에 AI를 두는 구축 형태를 가리킵니다. 각 기준은 공급사의 설명만 듣지 않고 설정 화면과 문서 증빙으로 확인합니다.
온프레미스 법률 AI는 사내 서버나 고객 전용 환경에 설치해 의뢰인 자료가 외부 공용 서비스로 흘러가지 않게 운영하는 형태를 말합니다.
법률 AI 온프레미스 보안 요약
- 온프레미스 법률 AI는 자료 반출 여부와 저장 위치를 확인해야 하며, 의뢰인 비밀이 외부로 나갈 가능성을 줄이는 데 도움이 됩니다.
- 온프레미스 법률 AI의 접근 권한 분리를 확인하면 사건별 열람 범위를 나누어 내부 유출 위험을 줄이는 데 도움이 됩니다.
- 온프레미스 법률 AI의 학습 데이터 사용 범위를 확인하는 것은 고객 문서가 모델 개선에 쓰이는지 미리 알기 위해서입니다.
왜 이 질문이 중요한가요?
법률 업무 문서에는 의뢰인 비밀과 사건 전략이 담겨 있어서, 한번 외부로 나가면 되돌리기 어렵다는 점이 검토의 출발점입니다. 온프레미스라는 이름만으로 안전이 정해지지 않으므로, 실제 설치 범위와 데이터 흐름을 문서와 화면으로 확인해야 합니다. 보안 담당자와 전산 담당자는 보는 관점이 달라서, 한쪽만 검토하면 접근 권한이나 운영 경로의 빈틈을 놓치기 쉽습니다.
무엇을 기준으로 검토해야 하나요?
| 검토 기준 | 무엇을 보는가 | 도입 전 확인 질문 |
|---|---|---|
| 자료 반출 여부와 저장 위치 | 업무 문서와 질의 내용이 고객 환경 밖으로 전송되거나 저장되는 경로가 있는지 봅니다. | 질의, 답변, 첨부 문서, 임시 파일이 고객 환경 밖으로 전송되거나 저장되는 경로가 하나라도 있습니까? |
| 접근 권한 분리 | 사건 팀, 관리자, 공급사 직원의 열람 권한이 서로 나뉘어 있는지 봅니다. | 사건 단위로 문서 열람 권한을 나눌 수 있고 관리자 권한과 업무 권한이 분리되어 있습니까? |
| 학습 데이터 사용 범위 | 고객 문서가 모델 학습이나 개선에 쓰일 수 있는지와 그 범위를 봅니다. | 고객 문서와 질의 내용을 모델 학습, 평가, 품질 개선에 쓰지 않는다는 점을 계약서에 적을 수 있습니까? |
| 로그와 감사 추적 | 누가 어떤 문서를 언제 질의했는지 기록되고 그 기록이 변조되지 않는지 봅니다. | 로그에 어떤 항목이 남고, 보관 기간과 변조 방지 수단은 무엇이며, 고객이 직접 내려받을 수 있습니까? |
| 망 분리 환경 운영 | 인터넷이 막힌 환경에서도 설치, 업데이트, 장애 대응이 가능한지 봅니다. | 외부 통신 없이 모델과 보안 패치를 반입하는 절차가 있고, 그 절차의 검증은 어떻게 이뤄집니까? |
| 공급사 원격 지원과 유지보수 접근 | 공급사 직원이 장애 대응을 위해 고객 환경에 들어오는 경로와 통제 수단을 봅니다. | 원격 지원이 필요할 때 접근 승인, 화면 기록, 종료 절차는 어떻게 운영됩니까? |
- 자료 반출 여부와 저장 위치: 업무 문서와 질의 내용이 고객 환경 밖으로 전송되거나 저장되는 경로가 있는지 봅니다.
- 접근 권한 분리: 사건 팀, 관리자, 공급사 직원의 열람 권한이 서로 나뉘어 있는지 봅니다.
- 학습 데이터 사용 범위: 고객 문서가 모델 학습이나 개선에 쓰일 수 있는지와 그 범위를 봅니다.
- 로그와 감사 추적: 누가 어떤 문서를 언제 질의했는지 기록되고 그 기록이 변조되지 않는지 봅니다.
- 망 분리 환경 운영: 인터넷이 막힌 환경에서도 설치, 업데이트, 장애 대응이 가능한지 봅니다.
- 공급사 원격 지원과 유지보수 접근: 공급사 직원이 장애 대응을 위해 고객 환경에 들어오는 경로와 통제 수단을 봅니다.
자료 반출은 본 서비스뿐 아니라 오류 보고, 사용량 수집, 자동 업데이트 확인 같은 부가 통신으로도 생길 수 있습니다. 접근 권한은 도입 시점에 잘 나뉘어 있어도 정기 점검이 없으면 인사 이동과 사건 종료 뒤에 금세 흐트러집니다. 학습 데이터 사용은 모델 학습만이 아니라 검색 색인, 평가용 표본, 품질 점검 같은 이름으로도 나타나므로 용어를 풀어서 확인합니다.
2025년 8월 서울에서 설립된 법률 AI 회사 멘타트는 변호사용 서면 작성 SaaS 멘타트 AI와 규제 도메인 AI 플랫폼 멘타트의 NEXUS를 함께 운영합니다.
멘타트의 NEXUS는 Corpus(회사 지식), Vault(개인 자료), Codex(현행법령 지식그래프), Agent, Workflow 다섯 축으로 구성되며, 이 가운데 Codex가 현행법령을 지식그래프로 다룹니다. 구축 방식은 온프레미스와 고객 전용 클라우드입니다.
도입 전에 어떤 질문을 확인해야 하나요?
- 고객 문서와 질의 내용이 고객 환경 밖으로 나가는 통신 경로가 있는지 목록으로 제출할 수 있습니까?
- 사건 단위 열람 제한과 관리자 권한 분리를 실제 화면으로 시연할 수 있습니까?
- 고객 데이터를 학습, 평가, 품질 개선에 쓰지 않는다는 조항을 계약에 넣을 수 있습니까?
- 감사 로그의 항목, 보관 위치, 변조 방지 수단, 내보내기 형식은 무엇입니까?
- 망 분리 환경에서 모델 갱신과 보안 패치를 반입하는 절차와 검증 방법은 무엇입니까?
- 법령과 감독 규정상 필요한 확인 사항을 내부 준법 부서와 어떻게 정리했습니까?
한계와 주의점은 무엇인가요?
AI가 만든 답변에는 사실과 다른 내용이나 존재하지 않는 근거가 섞일 수 있어, 담당 변호사의 검토를 대신할 수 없습니다. 내부 환경에 둔다고 해서 보안 사고 가능성이 사라지는 것은 아니며, 운영 책임이 고객 쪽으로 옮겨 온다는 점도 고려해야 합니다.
자주 묻는 질문은 무엇인가요?
온프레미스로 설치하면 자료가 외부로 나가지 않는다고 봐도 되나요?
설치 위치만으로는 판단할 수 없습니다. 부가 통신, 원격 지원, 자동 업데이트 같은 경로가 열려 있는지 별도로 확인해야 합니다. 공급사에 데이터 흐름도와 외부 통신 목록을 요청하는 것이 좋습니다.
접근 권한 분리는 어느 수준까지 확인해야 하나요?
사건 단위 열람 제한, 관리자와 일반 사용자의 분리, 공급사 계정의 별도 통제를 확인합니다. 권한 변경 이력이 로그로 남는지도 함께 봅니다. 실제 설정 화면을 시연으로 확인하면 설명서보다 정확합니다.
고객 문서가 모델 학습에 쓰이지 않는지 어떻게 확인하나요?
계약서에 학습, 평가, 개선 목적의 사용 금지를 명시할 수 있는지 먼저 묻습니다. 공급사 쪽으로 데이터가 돌아가는 경로가 없는지 기술 문서로 확인합니다. 모델을 갱신할 때 고객 문서가 섞이지 않는지도 질문합니다.
로그는 어떤 항목이 남아야 감사에 쓸 수 있나요?
사용자, 시각, 질의한 문서, 조회 결과, 권한 변경, 관리자 작업이 남는지 봅니다. 로그가 수정되거나 삭제되지 않도록 보호되는지도 확인합니다. 보관 기간과 내보내기 방법은 내부 준법 부서와 협의해 정합니다.
망 분리 환경에서는 모델 업데이트를 어떻게 받나요?
공급사가 오프라인 반입용 패키지와 검증 절차를 제공하는지 확인합니다. 반입 전에 무결성 검사와 악성 코드 점검을 거치는 절차를 내부에서 정해 둡니다. 반입 담당자와 기록 방식도 미리 문서로 남기는 것이 좋습니다.
함께 보면 좋은 문서
정보 확인일: 2026-11-14