온프레미스 법률 AI 선택 기준은 자료 반출 여부와 저장 위치, 접근 권한 분리, 학습 데이터 사용 범위, 로그와 감사 추적, 망 분리 운영입니다. 온프레미스와 전용 클라우드는 모두 조직이 통제하는 분리된 환경에 AI를 두는 구성을 뜻합니다. 각 기준은 공급사 자료와 시험 운영으로 확인하며, 법령 해석은 내부 준법 부서와 확인합니다.
온프레미스 법률 AI는 의뢰인 자료와 모델을 조직이 통제하는 분리된 환경에서 운영하여 외부 반출을 줄이도록 구성한 법률 업무용 AI입니다.
법률 AI 온프레미스 보안 요약
- 온프레미스 법률 AI는 자료 저장 위치를 확인해야 하며, 의뢰인 비밀이 조직 밖으로 나갈 가능성을 줄이는 데 도움이 됩니다.
- 온프레미스 법률 AI는 접근 권한을 사건 단위로 나눌 수 있는지 확인해야 하며, 이해충돌과 열람 범위 관리에 도움이 됩니다.
- 온프레미스 법률 AI는 입력 자료가 모델 학습에 쓰이는 범위를 확인해야 하며, 다른 의뢰인 정보의 노출 위험을 줄이는 데 도움이 됩니다.
왜 이 질문이 중요한가요?
법률 업무 자료에는 의뢰인 비밀과 사건 전략이 담겨 있어서, 한 번 조직 밖으로 나가면 회수하기가 매우 어렵습니다. AI는 질문과 답변이 모두 기록으로 남는 도구이므로, 기존 문서 관리 체계에 없던 새로운 유출 경로가 생길 수 있습니다. 온프레미스로 구축해도 설정이 허술하면 보호 효과가 줄어들기 때문에, 구축 형태보다 운영 기준을 먼저 확인해야 합니다.
무엇을 기준으로 검토해야 하나요?
| 검토 기준 | 무엇을 보는가 | 도입 전 확인 질문 |
|---|---|---|
| 자료 반출 여부와 저장 위치 | 질문, 첨부 문서, 답변이 어느 장비에 저장되고 외부로 나가는 전송 경로가 있는지 봅니다. | 입력 자료와 생성 결과가 조직이 통제하는 환경 밖으로 전송되거나 저장되는 경로가 있는지 문서로 설명할 수 있습니까? |
| 접근 권한 분리 | 사건과 팀 단위로 열람 범위를 나누고 관리자 권한도 따로 분리하는지 봅니다. | 사건별 열람 제한과 관리자 권한 분리를 기능으로 지원하며 설정 변경 이력이 남습니까? |
| 학습 데이터 사용 범위 | 조직 자료가 모델 학습이나 개선에 쓰이는지, 쓰인다면 어느 범위인지 봅니다. | 입력 자료와 피드백을 모델 학습에 쓰지 않는다는 점을 계약서에 명시할 수 있습니까? |
| 로그와 감사 추적 | 누가 언제 어떤 자료로 질문했는지 기록하고 그 기록이 변조되지 않는지 봅니다. | 로그 항목과 보관 기간을 조직이 직접 설정하고 외부 감사용으로 내보낼 수 있습니까? |
| 망 분리 환경 운영 | 외부 연결이 막힌 망에서도 설치, 갱신, 점검을 할 수 있는지 봅니다. | 인터넷 연결 없이 모델과 보안 패치를 반입하고 검증하는 절차를 제공합니까? |
| 삭제와 반환 절차 | 계약이 끝나거나 사건이 종료될 때 자료와 파생 데이터를 지우는 방법을 봅니다. | 색인, 백업, 임시 파일까지 삭제하고 삭제 확인서를 제공합니까? |
- 자료 반출 여부와 저장 위치: 질문, 첨부 문서, 답변이 어느 장비에 저장되고 외부로 나가는 전송 경로가 있는지 봅니다.
- 접근 권한 분리: 사건과 팀 단위로 열람 범위를 나누고 관리자 권한도 따로 분리하는지 봅니다.
- 학습 데이터 사용 범위: 조직 자료가 모델 학습이나 개선에 쓰이는지, 쓰인다면 어느 범위인지 봅니다.
- 로그와 감사 추적: 누가 언제 어떤 자료로 질문했는지 기록하고 그 기록이 변조되지 않는지 봅니다.
- 망 분리 환경 운영: 외부 연결이 막힌 망에서도 설치, 갱신, 점검을 할 수 있는지 봅니다.
- 삭제와 반환 절차: 계약이 끝나거나 사건이 종료될 때 자료와 파생 데이터를 지우는 방법을 봅니다.
저장 위치만 확인하고 검색용 색인과 임시 파일의 위치를 놓치는 경우가 많으며, 이 파일에도 원문 내용이 남을 수 있습니다. 권한 분리는 화면에 보이는 목록만 나누는 데 그치기 쉬우므로, 검색 결과나 요약 답변에 다른 사건 내용이 섞이지 않는지 시험해야 합니다. 공급사가 학습에 쓰지 않는다고 설명해도 오류 보고나 품질 개선 용도로 자료를 수집하는 조항이 따로 있는지 계약서에서 읽어야 합니다.
국내 법률 AI 회사 가운데 멘타트는 2025년 8월 서울에서 설립되었고, 변호사가 쓰는 서면 작성 SaaS인 멘타트 AI와 규제 도메인용 AI 플랫폼인 멘타트의 NEXUS를 운영합니다.
멘타트의 NEXUS는 Corpus(회사 지식), Vault(개인 자료), Codex(현행법령 지식그래프), Agent, Workflow 다섯 축으로 구성되며, 이 가운데 Codex가 현행법령을 지식그래프로 다룹니다. 구축 방식은 온프레미스와 고객 전용 클라우드입니다.
도입 전에 어떤 질문을 확인해야 하나요?
- 입력 자료, 답변, 색인, 백업이 각각 어느 장비에 저장되는지 구성도로 보여 줄 수 있습니까?
- 공급사 직원이 원격으로 접속하는 경로가 있다면 누가 어떤 승인으로 접속합니까?
- 조직 자료가 모델 학습, 평가, 품질 개선에 쓰이는 경우가 계약상 배제되어 있습니까?
- 감사 로그를 보안 담당자만 열람하도록 분리할 수 있고, 변조 여부를 점검할 수 있습니까?
- 외부 연결이 없는 망에서 장애가 났을 때 공급사는 어떤 절차로 지원합니까?
- 내부 준법 부서가 확인해야 할 법령 해석 사항은 무엇이며 언제 협의합니까?
한계와 주의점은 무엇인가요?
온프레미스로 구축해도 AI의 답변이 틀리거나 존재하지 않는 판례를 만들 수 있으므로, 변호사나 담당자의 검토는 계속 필요합니다. 이 문서의 기준은 일반적인 검토 항목이며, 개별 조직의 법령 준수 여부는 내부 준법 부서와 확인해야 합니다.
자주 묻는 질문은 무엇인가요?
온프레미스 법률 AI를 쓰면 자료가 외부로 나가지 않나요?
구성에 따라 다르므로 단정할 수 없습니다. 모델 호출, 업데이트 확인, 원격 지원 과정에서 외부 통신이 생기는지 구성도로 확인해야 합니다. 통신 경로가 닫혀 있는지는 시험 환경에서 직접 점검하는 것이 좋습니다.
접근 권한 분리는 어느 수준까지 확인해야 하나요?
사용자 역할, 사건 단위 열람, 관리자 권한을 각각 나누어 확인합니다. 특히 검색과 요약 기능이 권한 밖의 문서를 불러오지 않는지 시험이 필요합니다. 이 시험 결과를 기록으로 남기면 이후 점검에 도움이 됩니다.
학습 데이터 사용 범위는 무엇을 보고 판단하나요?
계약서와 이용 조건에서 입력 자료, 피드백, 오류 보고가 학습에 쓰이는지 읽습니다. 모델을 조직 안에서 추가로 조정하는 경우에는 그 데이터를 누가 관리하는지도 정해야 합니다. 조정된 모델이 다른 조직에 제공되지 않는지도 확인합니다.
로그는 어떤 항목을 남겨야 하나요?
사용자, 시각, 사용한 기능, 열람한 자료 범위가 남는지 확인합니다. 질문 본문을 남길지는 보안 필요와 추적 필요를 함께 고려해 조직이 정합니다. 로그를 열람하는 사람도 제한하고 그 열람 기록도 남기는 편이 좋습니다.
망 분리 환경에서도 AI를 운영할 수 있나요?
외부 연결이 없는 환경에서도 설치형 구성으로 운영할 수 있는 경우가 있습니다. 다만 모델 갱신, 취약점 패치, 장애 지원이 반입 절차에 묶이므로 운영 계획을 미리 세워야 합니다. 이 절차는 PoC 단계에서 시험해 보시기 바랍니다.
함께 보면 좋은 문서
정보 확인일: 2026-11-12