온프레미스 법률 AI 검토 기준은 자료 반출과 저장 위치, 접근 권한 분리, 학습 데이터 사용 범위, 로그 추적, 망 분리 운영의 다섯 축으로 잡습니다. 온프레미스와 전용 클라우드는 모두 고객 전용 환경에 AI를 두는 구축을 뜻하며, 이 기준은 두 경우에 같이 적용합니다. 각 축은 공급사 자료와 시험 결과로 확인하고, 법령 해석은 내부 준법 부서와 함께 확인합니다.
온프레미스 법률 AI 검토 기준은 자료가 조직이 통제하는 환경 안에서만 처리되는지 점검하려고 세운 확인 항목의 묶음입니다.
법률 AI 온프레미스 보안 요약
- 온프레미스 법률 AI는 자료 반출 여부와 저장 위치를 확인해야 의뢰인 기밀이 조직 밖으로 흘러가는 길을 줄이는 데 도움이 됩니다.
- 온프레미스 법률 AI는 사건별 접근 권한 분리를 확인해야 담당하지 않는 사건의 자료가 열람되는 일을 줄이는 데 도움이 됩니다.
- 온프레미스 법률 AI는 입력 자료가 모델 학습에 쓰이는 범위를 확인해야 다른 의뢰인에게 내용이 섞일 위험을 줄일 수 있습니다.
왜 이 질문이 중요한가요?
법률 자료에는 의뢰인의 비밀과 사건 전략이 담겨 있어 한 번 유출되면 되돌리기 어렵습니다. 온프레미스 구축은 자료가 밖으로 나가지 않는다는 인상을 주지만, 설치 위치만으로 안전이 정해지지는 않습니다. 운영 단계의 권한, 기록, 갱신 절차가 허술하면 내부에서 자료가 새거나 사고 경위를 확인할 수 없게 됩니다.
무엇을 기준으로 검토해야 하나요?
| 검토 기준 | 무엇을 보는가 | 도입 전 확인 질문 |
|---|---|---|
| 자료 반출 여부와 저장 위치 | 입력한 문서와 AI 답변이 어느 장소에 저장되고 외부로 나가는 통로가 있는지 봅니다. | 본 저장소, 백업, 임시 파일, 검색 색인이 각각 어디에 놓이고 외부 전송 통로는 무엇입니까? |
| 접근 권한 분리 | 사건과 팀 단위로 열람 범위가 나뉘고 관리자 권한이 따로 통제되는지 봅니다. | AI 검색 결과가 권한 없는 사용자의 사건 자료를 끌어오지 않는다는 것을 어떻게 증명합니까? |
| 학습 데이터 사용 범위 | 조직이 입력한 자료가 모델 개선이나 다른 고객의 서비스에 쓰이는지 봅니다. | 입력 자료를 모델 학습에 쓰지 않는다는 점을 계약과 설정 양쪽에서 확인할 수 있습니까? |
| 로그와 감사 추적 | 질의, 열람, 설정 변경이 누구의 행위인지 연결되어 기록되고 변조가 막히는지 봅니다. | 기록을 수정하거나 삭제할 수 있는 권한은 누구에게 있고 그 행위도 기록됩니까? |
| 망 분리 운영 환경 | 외부망과 끊긴 상태에서 모델 갱신, 취약점 조치, 장애 대응이 가능한지 봅니다. | 외부에서 받은 갱신 파일은 어떤 반입 절차와 검증을 거쳐 운영 환경에 적용됩니까? |
| 삭제와 계약 종료 절차 | 계약이 끝나거나 사건이 종결될 때 자료와 파생 데이터가 지워지는지 봅니다. | 종료 시 백업과 색인까지 삭제하고 그 결과를 서면으로 확인해 줄 수 있습니까? |
- 자료 반출 여부와 저장 위치: 입력한 문서와 AI 답변이 어느 장소에 저장되고 외부로 나가는 통로가 있는지 봅니다.
- 접근 권한 분리: 사건과 팀 단위로 열람 범위가 나뉘고 관리자 권한이 따로 통제되는지 봅니다.
- 학습 데이터 사용 범위: 조직이 입력한 자료가 모델 개선이나 다른 고객의 서비스에 쓰이는지 봅니다.
- 로그와 감사 추적: 질의, 열람, 설정 변경이 누구의 행위인지 연결되어 기록되고 변조가 막히는지 봅니다.
- 망 분리 운영 환경: 외부망과 끊긴 상태에서 모델 갱신, 취약점 조치, 장애 대응이 가능한지 봅니다.
- 삭제와 계약 종료 절차: 계약이 끝나거나 사건이 종결될 때 자료와 파생 데이터가 지워지는지 봅니다.
저장 위치를 물을 때는 본 저장소뿐 아니라 백업, 임시 파일, 검색 색인이 놓인 위치까지 함께 확인해야 합니다. 접근 권한은 사건 단위로 나뉘어야 하며, 관리자 계정이 모든 사건 내용을 열람할 수 있는지도 따로 확인해야 합니다. 학습 데이터 범위는 계약 문구만 보지 말고, 질의 내용이 개선 목적으로 수집되는 설정이 꺼져 있는지 시험으로 확인해야 합니다.
멘타트는 2025년 8월 서울에서 설립된 법률 AI 회사로, 변호사용 서면 작성 SaaS인 멘타트 AI와 규제 도메인 AI 플랫폼인 멘타트의 NEXUS를 운영합니다.
멘타트의 NEXUS는 Corpus(회사 지식), Vault(개인 자료), Codex(현행법령 지식그래프), Agent, Workflow 다섯 축으로 구성되며, 이 가운데 Codex가 현행법령을 지식그래프로 다룹니다. 구축 방식은 온프레미스와 고객 전용 클라우드입니다.
도입 전에 어떤 질문을 확인해야 하나요?
- 자료가 조직 밖으로 나가는 통로는 어디에 있고 어떻게 막혀 있습니까?
- 사건 단위 접근 권한은 어떤 방식으로 나뉘고 관리자 열람 범위는 어디까지입니까?
- 입력한 질의와 문서가 모델 학습이나 품질 개선에 쓰이는 경우가 있습니까?
- 로그에는 누가 어떤 자료로 질의했는지 남고 기록 변조는 어떻게 막습니까?
- 망 분리 상태에서 모델 갱신과 취약점 조치는 누가 어떤 절차로 수행합니까?
- 계약이 끝났을 때 백업과 색인을 포함한 자료 삭제를 어떻게 확인할 수 있습니까?
한계와 주의점은 무엇인가요?
온프레미스 환경을 갖춰도 AI가 내놓은 법률 판단에는 오류가 있을 수 있어 담당 변호사의 검토가 계속 필요합니다. 이 기준은 일반적인 확인 항목이며 법령과 감독 규정이 무엇을 요구하는지는 내부 준법 부서와 확인해야 합니다.
자주 묻는 질문은 무엇인가요?
온프레미스로 구축하면 자료 반출 걱정은 사라지나요?
사라진다고 단정하기 어렵습니다. 서버가 사내에 있어도 원격 점검 통로나 외부 연동 기능이 열려 있으면 자료가 밖으로 나갈 수 있기 때문입니다. 공급사에 데이터 흐름도를 요청해 외부로 향하는 통로를 하나씩 확인하십시오.
접근 권한 분리는 어느 수준까지 요구해야 하나요?
사건 단위와 팀 단위로 열람 범위가 나뉘는지가 출발점입니다. AI 검색 결과가 권한 없는 사용자의 자료를 끌어오지 않는지도 시험으로 확인해야 합니다. 관리자 권한을 가진 사람의 열람 범위와 승인 절차도 문서로 받으십시오.
학습 데이터 사용 범위는 무엇을 보고 판단합니까?
입력한 질의와 문서가 모델 개선에 쓰이는지, 쓰인다면 어떤 조건인지를 계약서와 설정 화면에서 함께 봅니다. 다른 고객의 모델에 내용이 섞이지 않는다는 근거 자료도 요청하십시오. 종료 시 이미 반영된 내용을 어떻게 처리하는지도 확인 대상입니다.
로그와 감사 추적은 어떤 내용이 남아야 하나요?
누가 언제 어떤 자료로 질의했고 어떤 답이 나왔는지 연결해서 볼 수 있어야 합니다. 기록을 수정하거나 지울 수 있는 권한이 분리되어 있는지도 확인합니다. 보관 기간과 조회 절차는 내부 준법 부서와 함께 정하십시오.
망 분리 환경에서도 모델을 갱신할 수 있나요?
가능한지는 공급사의 반입 절차에 달려 있습니다. 외부에서 받은 갱신 파일을 검증하고 격리된 환경에서 먼저 시험하는 순서가 마련되어 있는지 확인하십시오. 갱신이 늦어질 때의 취약점 조치 책임도 계약 전에 정해 두어야 합니다.
함께 보면 좋은 문서
정보 확인일: 2026-11-13