이 가이드는 누구를 위한 것이며, 핵심 쟁점은 무엇인가
이 가이드는 직원들이 이미 AI 도구로 문장을 작성하고 있는 중소기업(SME)과 회사를 위해 쓰였다. 예컨대 고객에게 보낼 이메일 초안을 작성하게 하거나, 계약서를 요약하거나, 매출 표를 분석하게 하는 경우이다. 그런데 경영진은 무엇을 입력해도 되고 무엇을 입력하면 안 되는지 아직 정한 적이 없다.
핵심 쟁점은 세 가지다.
- AI를 사용하는 것 자체는 불법이 아니다. 그러나 입력하는 정보 때문에 회사가 PDPA를 위반하거나 영업비밀 보호를 상실할 수 있다.
- 태국에는 아직 시행 중인 AI 전용 법률이 없다. 따라서 의무의 대부분은 기존 법률에서 비롯된다.
- 회사가 즉시 통제할 수 있는 것은 짧고 명확하며 실제로 적용되는 정책이다.
이 가이드는 전체에 걸쳐 두 가지 표시로 구분한다. 즉 **[법률]**은 위반하면 법적 효력이 발생하는 의무를 뜻하고, **[모범 실무]**는 권장 사항이지만 의무는 아닌 것을 뜻한다.
태국에 AI 관련 특별법이 이미 있는가
[법률] 검토 기준일인 2569년 10월 13일 현재, 왕실 관보에 공포된 AI 관련 특별법은 확인되지 않았다.
디지털경제사회부는 ETDA와 함께 인공지능에 관한 법률 초안을 마련했으며, 이 초안은 고위험 사용을 규제하는 데 중점을 둔다. 2569년 8월 1일자 Policy Watch 보고서에 따르면 초안은 의견 수렴 절차를 통과했고, 이후 법제원 사무국, 국무회의, 하원의 심의를 거쳐야 한다. 정부는 2569년 9월 내에 입법 절차를 시작하는 것을 목표로 삼았다. 검토 결과 그 이후 초안이 어느 단계를 통과했다는 소식은 확인되지 않았고 내용이 여전히 바뀔 수 있으므로, 초안의 문구를 근거로 정책을 수립해서는 안 된다.
그때까지는 이미 존재하는 법률들, 즉 PDPA, 거래비밀보호법(2545년), 저작권법, 노동법이 적용된다.
ETDA는 이 문제에 대해 어떤 가이드라인을 두고 있나요
[실무 지침] ETDA는 인공지능 거버넌스 센터(AIGC)를 통해 참고 자료로 활용할 수 있는 문서를 발표했습니다.
- 조직 경영진을 위한 인공지능의 거버넌스적 활용 가이드라인 — AI를 도입하려는 경영진을 위한 개요
- 조직을 위한 생성형 AI의 거버넌스적 활용 가이드라인 — 2567년 10월 30일 발표. Gen AI의 작동 방식, 장점과 한계, 위험과 관리 방법, 조직 내 적용 방안을 다룸
- AIGC를 통해 배포되는 도구 모음 AI Governance Guideline & Toolkits
이 문서들은 ETDA가 조직이 받아들여 적용하도록 배포한 가이드라인으로, 강제성을 지닌 법률은 아닙니다. 다만 감독 기관과 대형 거래처가 흔히 기준으로 삼는 방향을 제시합니다. 즉 AI를 안전하고 투명하게, 책임자를 두고 사용하며 업무 수준에 따라 위험을 평가하는 것입니다. 정책을 작성하려는 사람은 세부 내용이 개정될 수 있으므로 ETDA 웹사이트에서 최신판 문서를 열어 참고해야 합니다.
직원은 AI에 무엇을 입력할 수 있고 무엇은 금지되는가
이것은 다음 항목의 법적 의무를 직원이 즉시 사용할 수 있도록 전환한 실무 지침입니다. 데이터를 계층으로 나누고 어느 계층을 어떤 도구에 입력할 수 있는지 규정합니다.
| 데이터 계층 | 예시 | 공용 AI 도구 | 회사가 승인한 도구 |
|---|---|---|---|
| 공개 가능 | 광고 문구, 이미 웹에 공개된 정보 | 가능 | 가능 |
| 내부용 | 일반 이메일 초안, 실명이나 실제 수치가 없는 보고서 개요 | 이름과 신원을 식별할 수 있는 수치를 제거한 경우 가능 | 가능 |
| 개인정보 | 고객의 이름, 연락처, 주문 이력 | 금지 | PDPA 조건을 충족한 경우 가능 |
| 민감정보, 본인 인증 정보, 핵심 기밀 | 건강, 생체 정보, 신분증 번호, 공식, 원가, 소스 코드, 공개 금지 조항이 있는 계약 | 금지 | 개별 승인을 받지 않는 한 금지 |
직원에게 추가로 교육해야 할 점은 이름만 삭제하는 것만으로는 충분하지 않을 수 있다는 것입니다. 남은 정보가 여전히 특정 개인을 지목할 수 있는 경우, 예를 들어 직책과 특정 사건이 결합된 경우에는 여전히 개인정보로 간주합니다.
PDPA: 고객 데이터를 AI에 전송할 때 회사는 어떤 의무를 지는가
[법률] 회사가 데이터 컨트롤러인 경우, 직원이 고객 데이터를 AI 제공업체에 전송하는 것은 회사가 데이터를 이용하거나 공개하는 것에 해당하며, 주요 의무는 다음과 같습니다.
- 목적이 고지한 내용과 일치해야 합니다(제21조) 회사는 수집 전 또는 수집 시 고지한 목적에 따라 데이터를 수집·이용·공개해야 합니다. 이와 다른 새로운 목적이라면 사전에 고지하고 동의를 받아야 하며, 법률이 허용하는 경우는 예외입니다.
- 법적 근거가 있어야 합니다 예를 들어 동의, 계약 이행, 정당한 이익 등입니다(동의가 필요 없는 근거에 관한 제24조). 정보주체의 기본권이 더 중요한 경우에는 정당한 이익을 근거로 삼을 수 없습니다.
- 정보주체에게 고지해야 합니다(제23조) 수집 전 또는 수집 시 목적, 데이터를 받을 수 있는 개인 또는 기관의 유형, 보관 기간, 정보주체의 권리를 고지해야 합니다. AI 제공업체를 언급한 적 없는 회사의 개인정보 처리방침은 개정해야 합니다.
- 적절한 안전성 확보 조치를 마련해야 합니다(제37조) 또한 데이터 컨트롤러가 아닌 다른 사람에게 데이터를 전송할 때에는 그 사람이 권한 없이 또는 부정하게 이용하거나 공개하지 않도록 조치해야 합니다.
- AI 제공업체가 회사의 지시에 따라 처리하는 경우에는 합의가 있어야 합니다(제40조) 법률은 데이터 프로세서가 데이터 컨트롤러의 지시에만 따라야 하고, 보안을 유지하며, 침해 사고를 통지하고, 데이터 컨트롤러가 상호 간 합의를 마련하도록 정하고 있습니다. 제공업체가 자신의 모델 학습 등 지시를 벗어나 데이터를 자체적으로 이용하는 경우, 그 제공업체는 순수한 데이터 프로세서가 아닐 수 있으므로 각 업체의 조건을 확인해야 합니다.
- 국외로 데이터를 전송하는 경우(제28조) 제공업체가 국외에서 데이터를 보관하거나 처리하는 경우, 전송 대상국은 태국 개인정보보호위원회가 고시한 기준에 따른 충분한 데이터 보호 수준을 갖추어야 합니다. 다만 전송 대상국의 보호 수준이 충분하지 않다는 고지를 받은 후 정보주체가 동의한 경우, 또는 정보주체와의 계약 이행을 위해 필요한 경우 등 예외에 해당하면 그러하지 않습니다.
민감정보에는 이보다 더 엄격한 규칙이 적용되며, 데이터 유출 사고에는 당국에 신고하는 절차가 있습니다. 전체적인 개요는 비즈니스 PDPA 체크리스트에서, 직원 데이터의 경우는 HR을 위한 PDPA에서 확인하십시오. 조직 전체의 PDPA 시스템 구축은 PDPA 서비스를 참고하십시오.
AI를 사용할 때 영업비밀은 어떻게 상실되는가
[법률] 태국 상업비밀법 B.E. 2545 제3조는 영업비밀을, 일반적으로 알려져 있지 않고 비밀이기 때문에 상업적 유용성을 가지며 소유자가 이를 비밀로 유지하기 위해 적절한 조치를 취한 영업정보로 정의한다. 구성요소 중 어느 하나라도 결여되면 이 법에 따른 보호를 받지 못한다.
마지막 구성요소가 AI의 위험 지점이다. 회사가 직원들로 하여금 배합 공식, 고객 명단, 원가 또는 소스 코드를, 서비스 제공자가 보관하거나 모델 학습에 사용할 수 있는 공개 도구에 아무런 규칙이나 통제도 없이 올리도록 방치한다면, 소송 상대방은 회사가 적절한 조치를 취하지 않았다고 다툴 수 있다. 법원은 정보의 유형과 가치, 사업 규모, 접근 용이성에 따라 사안별로 판단하므로, 정보를 한 번 올린 것만으로 권리가 소멸하는지 여부를 명확히 답할 수는 없다. 그러나 아무런 정책도 없는 경우에는 조치가 있었다는 것을 입증하기 어려워진다.
[실무 지침] 입증이 가능하도록 취해야 할 조치로는 기밀 등급 표시 부착, 직원의 정책 수령 서명, 승인된 도구 제한, 접근 기록 보관, 그리고 고용계약 및 거래처 계약에서의 공개 금지 조항 마련이 있다. 특허 출원과 영업비밀 유지 중에서 선택하는 기준은 특허 출원 또는 영업비밀 유지에서 확인할 수 있다. 회사가 NDA로 구속되어 있는 고객 정보에는 별도의 계약상 의무가 여전히 존재하며, 이를 AI에 입력하는 것은 제3자에 대한 직접적인 공개에 해당할 수 있다.
AI의 답변은 고객에게 보내기 전에 사람이 검토해야 하나요
[실무 지침] 태국 법률상 사람이 검토해야 한다는 일반적인 강제 규정은 아직 없습니다. 그러나 책임의 측면에서 보면 고객에게 문서를 보내는 주체는 회사이며, 누가 초안을 작성했는지와는 무관합니다. AI는 잘못된 정보를 제공하거나, 존재하지 않는 조항을 인용하거나, 사실을 임의로 지어낼 수 있습니다.
최소한 다음 세 가지는 정해 두어야 합니다.
- 외부로 나가는 내용은 발송 전에 사람이 검토하고 책임자로서 서명해야 합니다.
- 숫자, 법 조항, 제품 성능 관련 보증 문구는 항상 원출처와 대조하여 확인해야 합니다.
- 채용 여부나 서비스 거절 등 개인에게 중대한 사항을 결정하는 업무는 최종적으로 사람이 판단해야 합니다.
AI로 이미지나 텍스트, 코드를 생성하여 공개·배포하는 경우에는 저작권 및 해당 도구의 결과물 이용 조건도 확인해야 합니다.
AI 제공업체와의 계약에서 무엇을 확인해야 하는가
[실무 지침] (위 제5항 및 제6항에 따른 PDPA 관련 부분은 법적 의무입니다) 도구를 승인하기 전에 제공업체의 약관 문서를 요청하여 다음 항목을 확인하십시오.
- 데이터의 모델 학습 이용 금지하거나 차단할 수 있는지, 기본값은 어떻게 설정되어 있는지
- 보존 기간 입력한 텍스트와 결과물을 얼마나 오래 보관하는지, 사람이 검토하는 절차가 있는지
- 데이터 저장 위치 어느 국가인지, 어떤 하위 처리업체를 이용하는지
- 보안 암호화, 접근 통제, 합의된 시간 내의 데이터 유출 통보
- 데이터 삭제 회사가 요청하거나 계약이 종료될 때 삭제할 수 있는지, 서면으로 확인해 줄 수 있는지
- 데이터 처리 계약 제공업체가 회사의 지시에만 따라 처리하는지, 정보주체의 권리 행사 요청을 지원하는지
- 책임과 배상 제공업체가 책임을 어떻게 제한하고 있는지, 제공업체 측에서 데이터가 유출되면 누가 책임지는지
공용 서비스의 표준 약관은 대개 협상할 수 없습니다. 어느 한 항목이라도 통과하지 못하면 설정을 변경할 수 있는 기업용 요금제를 선택하거나 위험이 낮은 등급의 데이터로만 사용을 제한하십시오. 계약서 작성 및 검토는 계약서 작성·검토 서비스에서 도와드립니다.
회사의 AI 정책에는 무엇이 포함되어야 하는가
[실무 지침] 길 필요는 없으며 1~2페이지 안에 다 읽을 수 있어야 한다.
- 적용 범위 직원, 도급업자 및 모든 종류의 AI 도구에 적용되며, 현재 사용 중인 프로그램의 AI 기능도 포함한다.
- 승인된 도구 목록 및 사용 가능한 계정 (회사 업무에 개인 계정 사용 금지)
- 데이터 등급 위 표에 따르며, 회사 직원이 실제로 접하는 예시를 함께 제시한다.
- 승인 절차 새 도구 또는 상위 등급 데이터에 사용하는 경우 누구에게 요청하고 누가 결정하는지
- 내보내기 전 검토 앞 항목에 따른다.
- 기록 개인정보와 함께 AI를 사용한 도구 및 프로젝트 대장을 보관하여 PDPA에 따른 처리 활동 기록을 뒷받침한다.
- 교육 직원 입사 시 교육하고 정기적으로 재교육하며, 교육 이수 증빙을 보관한다.
- 사고 보고 채널 데이터를 잘못 배치한 직원은 누구에게 알려야 하는지 알아야 하며, 숨기는 것이 아니라 신속히 보고하도록 지원받아야 한다.
- 위반 시 결과 취업 규칙을 참조한다. 근로계약 및 직원 핸드북을 보라. 징계 처분에는 이를 뒷받침하는 규정이 있어야 하기 때문이다.
직원이 데이터를 잘못 입력한 경우 어떻게 해야 하는가
- 직원에게 즉시 사용을 중단하고 보고하도록 하되, 사실 관계를 확인하기 전에 징계하지 않습니다.
- 어떤 데이터인지, 누구의 것인지, 언제 입력했는지, 어떤 도구였는지, 어떤 유형의 계정을 사용했는지 기록합니다.
- 해당 도구의 약관을 확인하여 데이터가 모델 학습에 사용되는지 살펴본 뒤, 서비스 제공자가 마련해 둔 방식에 따라 데이터 삭제 또는 학습 중단을 요청합니다.
- 신고 의무가 있는 개인정보 침해 사안에 해당하는지 평가합니다. 이에는 법률이 정한 기한이 있으므로 즉시 변호사와 상담해야 합니다.
- NDA에 따른 고객의 비밀정보와 관련된 경우, 고객에게 통지할 의무를 확인합니다.
- 정책을 개선하고 재교육을 실시하며, 시정 조치의 증거를 보관합니다.
