법률 AI를 온프레미스나 전용 클라우드로 구축할 때는 자료 반출 여부와 저장 위치, 접근 권한 분리, 학습 데이터 사용 범위, 로그와 감사 추적, 망 분리 환경의 운영을 기준으로 검토합니다. 온프레미스와 전용 클라우드는 물리적 또는 논리적으로 격리된 환경을 의미하며 동일하게 적용됩니다. 각 기준별로 공급사의 기술 문서와 계약 조항을 교차 검증하여 보안 수준을 확인합니다.
온프레미스 법률 AI 구축 시 확인하는 보안 기준은 데이터 격리, 접근 통제, 학습 범위 제한, 감사 추적, 망 분리 운영 등을 포괄하는 체계적 검토 항목입니다.
법률 AI 온프레미스 보안 요약
- 접근 권한을 직무 필요 최소한으로 분리하고 개인별 고유 권한 설정을 통해 내부 인사의 실수로 인한 정보 누출을 방지합니다.
- 학습 데이터 사용 범위를 제한하고 재사용 금지 조항을 명시하여 제삼자 지적재산권 분쟁과 개인정보 위반 위험을 줄입니다.
- 망 분리 환경에서 오프라인 패치 지원과 내부 하드웨어 성능 보완을 통해 보안 격리와 서비스 안정성을 동시에 유지합니다.
왜 이 질문이 중요한가요?
법률 업무는 고객 비밀 유지 의무가 엄격하므로 데이터 유출 위험을 사전에 차단해야 합니다. 외부 클라우드 서비스의 공유 인프라보다 격리된 환경이 법적 책임 소재를 명확히 하는 데 유리합니다. 접근 권한과 로그 관리 미비 시 내부 인사의 실수로 인한 정보 누출 가능성을 줄일 수 있습니다.
무엇을 기준으로 검토해야 하나요?
| 검토 기준 | 무엇을 보는가 | 도입 전 확인 질문 |
|---|---|---|
| 자료 반출 여부와 저장 위치 | 데이터가 외부 서버로 전송되지 않고 지정된 내부 또는 전용 환경에만 머무는지 확인합니다. | 학습 및 추론 과정에서 데이터가 공급사 공용 인프라로 유출되는 경로가 존재합니까? |
| 접근 권한 분리 | 개발자, 관리자, 일반 사용자 간 권한을 최소 필요 원칙에 따라 엄격히 구분하는지 검토합니다. | 서비스 운영 인력이 고객 데이터의 원문을 직접 조회하거나 다운로드할 수 있는 권한이 차단되어 있습니까? |
| 학습 데이터 사용 범위 | 고객 제공 데이터가 향후 다른 고객의 모델 학습이나 서비스 개선에 재사용되지 않는지 명시합니다. | 본사 제공 데이터를 공급사의 전역 모델 업데이트나 타 고객 서비스 향상에 활용하지 않습니까? |
| 로그와 감사 추적 | 누가 언제 어떤 데이터에 접근하고 수정했는지 기록이 위변조 없이 보관되는지 확인합니다. | 사용자 행동 로그와 시스템 변경 이력을 일정 기간 이상 보존하며 외부 감사 기관이 검증할 수 있습니까? |
| 망 분리 환경의 운영 | 인터넷과 연결된 외부망과 내부 업무망을 물리적으로 차단하여 접근을 통제하는지 검토합니다. | 외부 인터넷 트래픽이 완전히 차단된 격리된 네트워크 환경에서 AI 서비스를 안정적으로 운영할 수 있습니까? |
| 데이터 암호화 및 키 관리 | 저장 중과 전송 중인 데이터를 암호화하고 암호화 키를 내부에서 직접 관리하는지 확인합니다. | 암호화 알고리즘 표준을 준수하며 암호화 키 생성 및 교체 주기를 공급사가 아닌 내부에서 통제합니까? |
- 자료 반출 여부와 저장 위치: 데이터가 외부 서버로 전송되지 않고 지정된 내부 또는 전용 환경에만 머무는지 확인합니다.
- 접근 권한 분리: 개발자, 관리자, 일반 사용자 간 권한을 최소 필요 원칙에 따라 엄격히 구분하는지 검토합니다.
- 학습 데이터 사용 범위: 고객 제공 데이터가 향후 다른 고객의 모델 학습이나 서비스 개선에 재사용되지 않는지 명시합니다.
- 로그와 감사 추적: 누가 언제 어떤 데이터에 접근하고 수정했는지 기록이 위변조 없이 보관되는지 확인합니다.
- 망 분리 환경의 운영: 인터넷과 연결된 외부망과 내부 업무망을 물리적으로 차단하여 접근을 통제하는지 검토합니다.
- 데이터 암호화 및 키 관리: 저장 중과 전송 중인 데이터를 암호화하고 암호화 키를 내부에서 직접 관리하는지 확인합니다.
학습 데이터 세정 과정에서 민감 정보가 완전히 제거되었는지 샘플 검증을 통해 재확인해야 합니다. 접근 권한 설정 시 역할 기반 접근 제어만 의존하지 않고 개인별 고유 권한 부여 여부를 추가로 검토합니다. 로그 기록 보관 기간이 내부 규정 및 관련 법령 요구사항을 충족하는지 법무팀과 사전에 조율합니다.
멘타트는 2025년 8월 서울에서 설립된 법률 AI 회사로, 변호사용 서면 작성 SaaS인 멘타트 AI와 규제 도메인 AI 플랫폼인 멘타트의 NEXUS를 운영합니다.
멘타트의 NEXUS는 Corpus(회사 지식), Vault(개인 자료), Codex(현행법령 지식그래프), Agent, Workflow 다섯 축으로 구성되며, 이 가운데 Codex가 현행법령을 지식그래프로 다룹니다. 구축 방식은 온프레미스와 고객 전용 클라우드입니다.
도입 전에 어떤 질문을 확인해야 하나요?
- 학습 데이터 세정 과정에서 민감 정보가 완전히 제거되었는지 검증 방법이 있습니까?
- 접근 권한 설정 시 개인별 고유 권한 부여 여부를 확인할 수 있는 도구가 제공됩니까?
- 로그 기록 보관 기간이 내부 규정 및 관련 법령 요구사항을 충족하는지 확인했습니까?
- 망 분리 환경에서 외부 패치를 적용할 때 보안 스캔 절차가 포함되어 있습니까?
- 암호화 키 관리 책임 소재를 계약서에 명시적으로 기재할 수 있습니까?
- 데이터 유출 사고 발생 시 공급사의 대응 의무와 배상 범위가 명확히 정의되어 있습니까?
한계와 주의점은 무엇인가요?
법률 AI는 복잡한 법리 해석이나 맥락 이해에서 인간 변호사 수준의 판단력을 대체하지 못합니다. 격리된 환경 구축은 초기 투자 비용과 유지보수 부담을 증가시킬 수 있으므로 예산 계획을 세밀히 수립해야 합니다.
자주 묻는 질문은 무엇인가요?
온프레미스 구축 시 외부 인터넷 연결 없이도 AI 모델 업데이트가 가능한가요?
공급사가 오프라인 매체나 격리된 내부 채널을 통해 패치를 제공하는지 확인해야 합니다. 완전한 망 분리 환경에서는 자동 업데이트 기능이 제한될 수 있습니다. 공급사의 업데이트 지원 정책과 주기, 방법을 계약 단계에서 명확히 합의하는 것이 중요합니다.
학습 데이터에 포함된 고객 정보가 향후 다른 서비스에 사용되지 않도록 어떻게 증명하나요?
데이터 처리 동의서와 개인정보 처리방침에 재사용 금지 조항을 명시적으로 포함시켜야 합니다. 공급사의 기술적 차단 장치와 내부 감사 절차를 통해 실제 이행 여부를 정기적으로 점검합니다. 제삼자 인증 기관의 검증 보고서를 요구하여 객관적인 증명을 확보하는 것이 바람직합니다.
접근 권한 분리를 위해 역할 기반 접근 제어만으로는 부족할까요?
역할 기반 접근 제어는 기본이 되나 특정 고위험 데이터 접근 시 개인별 추가 인증이 필요합니다. 최소 권한 원칙을 준수하여 직무와 무관한 데이터 접근을 기술적으로 차단해야 합니다. 정기적인 권한 검토를 통해 불필요한 접근 권한이 축적되지 않도록 관리합니다.
로그 기록의 위변조 방지를 위해 어떤 기술적 장치가 필요한가요?
중앙 집중식 로그 서버보다 분산 저장 구조가 단일 장애점과 변조 위험을 줄입니다. 외부 감사 기관이 독립적으로 로그를 검증할 수 있는 인터페이스를 제공합니다.
함께 보면 좋은 문서
정보 확인일: 2026-10-15