사건 기록을 챗봇에 붙여넣는 순간 국외이전이 됩니다: KVKK가 변호사에게 보낸 경고

가이드는 무엇을 말하고 있나

이 가이드는 변호사의 의무를 직무 전반에 걸쳐 다룹니다. 의뢰인 정보, 소송 기록, 변호사회의 국선 지정, 고용 관계에 있는 변호사, 국내이전과 국외이전, 개인정보처리자의 의무, 그리고 데이터 보안입니다. 실무에서 가장 큰 파급을 낳을 부분은 생성형 AI 도구의 사용에 관한 절입니다.

그 논리는 짧고 반박하기 어렵습니다. 생성형 AI 서비스는 이용자가 통제하지 않는 인프라 위에서 제출된 내용을 처리합니다. 그 인프라가 튀르키예 바깥에 있다면 — 모든 주요 범용 모델 서비스가 그렇습니다 — 그곳에 개인정보를 제출하는 행위는 국외의 수령자에게 그 정보를 이용 가능하게 만드는 것입니다. 제6698호 법률상 그것은 이전이며, 국외이전은 제9조를 충족해야 합니다.

여기에서 가이드는 일련의 기대사항을 도출합니다. 변호사는 무엇이든 제출하기 전에 사업자의 이용약관, 보관 정책, 수탁자 구조를 확인해야 합니다. 가능한 한 가명처리하거나 익명처리해야 합니다. 해당 업무에 필요한 최소한만 제출해야 합니다. 그리고 민감정보는 아예 업로드해서는 안 됩니다.

이 가운데 어느 것도 새로운 법규범이 아닙니다. 바로 그 점이 핵심이며, 이 가이드가 새로운 규칙보다 더 큰 결과를 낳는 이유이기도 합니다.

가이드가 보이는 것보다 중요한 이유

KVKK의 가이드는 법령이 아닙니다. 의무를 창설하지 않으며, 가이드에서 벗어난 변호사가 그 자체로 법을 위반한 것도 아닙니다. 가이드가 하는 일은 규제기관이 표명한 기대를 고정시키는 것이고, 튀르키예 개인정보 보호 실무에서는 그것이 결과를 좌우하는 요소의 대부분입니다.

제6698호 법률 제12조는 개인정보처리자에게 적절한 기술적·관리적 조치를 요구합니다. '적절한'은 정의되어 있지 않고 정의될 수도 없습니다. 그것은 구체적 사정에서 내용을 얻는 기준이며, 그 사정 가운데 하나가 규제기관이 무엇을 기대한다고 말했는지입니다. KVKK가 특정한 맥락에서 특정한 기대를 공표한 이후, 그와 반대로 행동한 처리자는 더 이상 정리되지 않은 쟁점을 다투고 있는 것이 아닙니다. 이탈을 해명하고 있는 것입니다.

같은 기제가 과징금에도 작동합니다. 제6698호 법률은 위반의 성격과 위반이 발생한 정황에 주목하도록 하고 있습니다. 공표된 지침을 선의로 따르려 했음에도 발생한 위반과, 공표된 지침을 무시했기 때문에 발생한 위반은 서로 다른 사안입니다.

따라서 이 가이드의 실질적 효과는 9월 22일부터 챗봇에 파일을 올리는 것이 위법해졌다는 데 있지 않습니다. 9월 22일 이후로는 제9조를 검토하지 않은 채 그렇게 하는 것을 튀르키예 변호사가 '미처 몰랐다'로 설명할 수 없게 되었다는 데 있습니다.

국외이전 분석, 조금 더 자세히

2024년 개정된 제6698호 법률 제9조는 세 가지 경로로 국외이전을 허용합니다.

첫째는 적정성 결정입니다. KVKK는 아직 어떤 결정도 내리지 않았습니다. 이 경로는 현재로서는 이론적입니다.

둘째는 적절한 안전조치입니다. 서명 후 영업일 기준 5일 이내에 당국에 통지된 표준계약조항, 구속력 있는 기업규칙, 국제협약, 또는 위원회가 승인한 서면 확약입니다. 실무에서 이는 표준계약조항을 의미하며, 통지 요건이야말로 대부분의 컴플라이언스가 무너지는 지점입니다. 의무는 통지하는 것인데, 기업들은 서명해 놓고 통지하지 않는 일이 흔합니다.

셋째는 예외적 경로입니다. 앞의 두 경로를 이용할 수 없을 때에만, 그리고 정기적이지 않은 부수적 이전에 대해서만 가능합니다. 그 사유에는 해당 이전에 대한 명시적 동의, 계약 이행을 위한 필요성, 권리의 행사·확립·보호가 포함됩니다.

이제 이것을 범용 AI 어시스턴트를 사용하는 변호사에게 적용해 보십시오.

현실적인 경로는 두 번째입니다. 그것은 KVKK가 공표한 양식의 조항을 담은 사업자와의 계약을 체결하고 이를 당국에 통지한다는 뜻입니다. 주요 사업자의 기업용 서비스에는 개인정보 처리 조건이 포함되어 있고 일부는 요구되는 형식으로 정비할 수 있습니다. 대부분의 변호사가 실제로 사용하는 소비자용 요금제 계정으로는 불가능합니다.

세 번째 경로는 사람들이 기대는 곳이기 때문에 살펴볼 가치가 있고, 기대만큼 작동하지 않습니다. 명시적 동의는 구체적이고 고지에 기반하며 자유로운 의사에 따른 것이어야 합니다. 이는 의뢰인에게 그의 기록이 이름이 특정된 외국 서비스에 제출될 것이라고 알리고, 의뢰인이 거절할 수 있다는 점을 받아들인다는 뜻입니다. 계약상 필요성은 잘 맞지 않습니다. 위임계약이 요구하는 것은 법률 서비스이지 특정 도구가 아니며, 그 도구는 변호사가 효율을 위해 선택한 것입니다. '권리의 보호' 사유는 일부 소송 맥락에서 진지하게 다툴 만하지만, 일상적인 문서 작성이나 요약 업무를 감당하지는 못합니다. 그리고 예외적 경로 전체가 정기적이지 않은 이전에 한정되는데, AI 어시스턴트를 매일 사용하는 것은 어떻게 읽어도 정기적입니다.

민감정보와 넘지 말아야 할 선

민감정보를 업로드하지 말라는 가이드의 지시는 고려사항이 아니라 규칙으로 작동하는 유일한 부분이며, 자각하지 못한 채 위반하기 가장 쉬운 부분이기도 합니다.

제6698호 법률 제6조상 민감정보에는 건강·생체·유전정보, 형사 유죄판결과 보안처분, 인종과 민족, 정치적 견해, 철학적 신념, 종교나 종파, 복장, 노동조합·단체·재단 가입 정보가 포함됩니다.

평범한 튀르키예 법률 실무를 이 목록에 대입해 보십시오. 노무 사건 기록에는 건강진단서와 조합 가입 정보가 들어 있습니다. 형사 변호 업무는 유죄판결과 보안처분에 관한 정보로 구성되어 있습니다. 가사 사건 기록에는 건강 정보가, 때로는 종교에 관한 사항이 담깁니다. 인신사고 손해배상 업무는 처음부터 끝까지 의료 정보입니다. 행정소송은 징계 기록과 전과 기록을 중심으로 전개되는 일이 잦습니다.

이 범주들은 예외적인 구석이 아닙니다. 상당수 변호사에게는 그것이 곧 업무 자체입니다. 형사 변호인이 모델에게 공소장을 요약해 달라고 하는 것은 유죄판결과 보안처분에 관한 정보를 제출하는 행위이며, 제6조상 법정 예외가 적용되지 않는 한 명시적 동의를 요구합니다. 권리의 확립·행사·보호를 위해 필요한 정보에 관한 예외가 존재하기는 하지만, 그것이 외국 처리 도구를 선택하는 데까지 명백히 미치지는 않습니다.

가이드가 해결하지 않은 비밀유지의무

작동하는 규범은 개인정보 보호법만이 아니며, 두 번째 규범은 어떤 면에서 더 무겁습니다.

튀르키예 변호사법 제36조는 변호사에게 직무상 비밀유지의무를 부과하고, 형법 제130조는 직무상 비밀의 누설을 처벌합니다. 비밀유지의무는 의뢰인에 대해 부담하는 의무이며, 개인정보 보호법을 준수했다고 해서 이행되는 것이 아닙니다. 제9조를 충족하면서도 제36조를 위반하는 일은 얼마든지 가능합니다.

가이드가 답하지 않은 질문은 의뢰인 정보를 제3자 수탁자에게 제출하는 것이 애초에 '누설'에 해당하는가입니다. 정통적인 답, 그리고 로펌이 외부 서비스를 이용할 수 있게 해 주는 답은, 변호사의 지시에 따라 행위하고 비밀유지의무에 구속되는 수탁자는 제3자가 아니라 사무소의 연장이라는 것입니다. 클라우드 저장소, 녹취 서비스, 문서 검토 플랫폼이 언제나 이렇게 취급되어 왔습니다.

생성형 AI는 그 논리를 두 지점에서 긴장시킵니다. 사업자의 약관이 제출된 내용을 모델 개선에 사용하도록 허용하는 경우, 그 정보는 변호사의 지시 아래에 있지 않고 돌아오지도 않는 곳으로 가 버립니다. 그리고 사업자가 오남용 모니터링을 위해 내용을 보관하는 경우 — 대부분이 기본값으로 그렇게 합니다 — 튀르키예 직무상 비밀유지의무에 구속되지 않는 담당자가 그것을 읽을 수 있습니다.

소비자용 요금제 약관은 통상 학습 목적의 사용을 기본으로 허용하며 이용자가 거부 설정을 해야 합니다. 기업용 약관은 통상 그렇지 않습니다. 이것이 이 영역 전체에서 가장 중요한 실무적 구분이며, 그것은 도구의 기술적 속성이 아니라 계약 조건의 문제입니다.

튀르키예 로펌이 이번 주에 해야 할 일

가이드는 깁니다. 실무적 대응은 그렇지 않습니다.

어떤 요금제를 쓰고 있는지 확인하십시오. 소비자용 계정과 기업용 계정은 학습 사용, 보관, 개인정보 처리 조건의 이용 가능성에서 다릅니다. 대부분의 사무소는 구성원들이 무엇을 쓰고 있는지 모릅니다. 대부분 개인적으로 가입했기 때문입니다.

이전 근거를 갖추거나 중단하십시오. AI 도구가 업무 흐름의 일부라면, 사무소에는 표준계약조항의 형식으로 정비할 수 있고 영업일 5일 이내에 KVKK에 통지할 수 있는 계약 조건이 필요합니다. 그렇게 할 생각이 없다면, 정직한 입장은 그 도구가 의뢰인 정보를 받아서는 안 된다는 것입니다.

민감정보에 관한 선을 확고한 규칙으로 그으십시오. 형량할 고려사항이 아닙니다. 건강, 형사, 생체, 조합, 신념 — 이 정보들은 숙고되고 문서화된 근거가 마련되기 전까지는 요금제를 불문하고 범용 모델에 들어가지 않습니다.

익명처리를 기본 작업 방식으로 만드십시오. 이름, 주민등록번호에 해당하는 식별번호, 생년월일, 주소, 사건번호는 대부분의 법률 질문에서 손실 없이 제거할 수 있습니다. 소멸시효에 관한 질문에 의뢰인의 이름은 필요하지 않습니다. 이 습관 하나가 노출의 대부분을 제거하며 비용이 들지 않습니다.

위임계약서를 손보십시오. 의뢰인 자료에 도구를 사용할 것이라면 의뢰인에게 알려야 합니다. 이는 일부는 동의의 문제이고 대부분은 직업윤리의 문제입니다. 의뢰인들이 점점 더 묻고 있으며, 답은 질문보다 먼저 존재해야 합니다.

정책을 문서로 남기십시오. 어떤 도구를, 어떤 요금제로, 어떤 종류의 업무에, 의뢰인 정보를 어떻게 취급하며 사용할 수 있는지입니다. 그 문서는 내용 이상의 가치를 갖습니다. 사무소가 이 문제를 검토했다는 사실 자체를 증명하기 때문입니다.

다른 법역과 비교하면

이 질문에 도달한 것은 튀르키예가 처음이 아니며, 비교가 유용한 이유는 KVKK가 일부 상대 기관들보다 더 좁고 더 실무적인 선을 취하고 있음을 보여 주기 때문입니다.

유럽연합에서 이전 분석은 구조적으로 유사하지만 튀르키예에 없는 장치 덕분에 완화되어 있습니다. GDPR 제5장은 동일한 기본 요건을 부과하지만 적정성 결정이 존재하고, 주요 AI 사업자 대부분은 처리의 적어도 일부에 대해 적정성 결정에 의존하거나, 감독기관에 대한 통지를 요구하지 않는 표준계약조항에 의존할 수 있습니다. 따라서 유럽의 논의는 이전에서 벗어나 적법 근거와 목적 제한 쪽으로 옮겨 갔습니다. 의뢰인 정보를 모델에 제출하는 것에 애초에 근거가 있는지, 그리고 모델 개선을 위한 사용이 수집 목적과 양립하는지입니다. 이탈리아 감독기관이 이 전선에서 가장 활발했고, 생성형 AI 서비스에 대한 그 개입은 이전이 아니라 적법 근거, 투명성, 아동의 정보를 중심으로 이루어졌습니다.

튀르키예의 적정성 결정 부재야말로, 문서상으로는 규칙이 비슷해 보임에도 실무에서 튀르키예의 입장을 유럽보다 엄격하게 만드는 요소입니다. 미국 모델 서비스를 사용하는 유럽 로펌에는 대체로 작동하는 경로가 있습니다. 튀르키예 로펌에는 표준계약조항과 통지 의무가 있거나, 정기적 사용에는 맞지 않는 예외적 경로가 있을 뿐입니다.

대한민국은 같은 주에 다른 각도에서 같은 주제에 도달했습니다. 9월 23일 개인정보보호위원회는 에이전트형 AI를 주제로 AI 프라이버시 정책 협의회를 열었고, 참석자들은 자율 에이전트에게 부여되는 과도한 권한과 프롬프트 인젝션을 주된 위험으로 지목했습니다. 위원회는 2026년 말까지 에이전트형 AI에서의 개인정보 처리에 관한 전용 안내서를 발간하기로 했습니다. 한국의 질문은 자율 시스템이 조직 안에 들어온 뒤 어디까지 닿을 수 있는가입니다. 튀르키예의 질문은 사람이 무언가를 제출할 때 무엇이 조직 밖으로 나가는가입니다. 둘 다 같은 문제의 올바른 절반이며, 한쪽만 해결한 조직은 어느 쪽도 해결하지 못한 것입니다.

한국과의 비교는 두 번째 교훈을 담고 있습니다. 한국의 전문직 서비스 문제 — AI가 법을 사실관계에 적용하는 유료 대소비자 서비스를 변호사가 제공하지 못하도록 하려는 법무부의 지침 초안 — 는 개인정보의 문제가 아니라 독점과 소비자 보호의 문제입니다. 두 법역을 합쳐 보면 법률 실무에서의 생성형 AI가 건드리는 세 가지 서로 다른 규범 영역이 드러납니다. 개인정보 보호, 직무상 비밀유지, 그리고 법률 서비스의 규제된 범위입니다. 이들은 보통 하나의 주제로 논의됩니다. 그러나 셋이며, 규제기관도 판단 기준도 제재도 각각 다릅니다.

더 넓은 신호

이것을 변호사만을 위한 지침으로 읽는다면 잘못입니다.

분석의 핵심 — 외국에 소재한 AI 서비스에 제출하는 행위를 제9조의 근거를 요구하는 국외이전으로 보는 것 — 은 법률 실무에 국한되지 않습니다. 그 논리 가운데 어느 것도 해당 정보가 사건 기록이라는 점에 의존하지 않습니다. 환자 기록을 제출하는 병원, 고객 서신을 제출하는 은행, 인사 기록을 제출하는 사용자, 디버깅을 위해 이용자 데이터를 제출하는 소프트웨어 회사는 모두 같은 논리에 따라 개인정보를 국외로 이전하고 있는 것입니다.

KVKK는 이 말을 법정 비밀유지의무를 지는 규제된 전문직의 맥락에서 먼저 하기로 선택했습니다. 그 논점을 부인하기 가장 어려운 맥락입니다. 여기에서 확립된 논리는 모든 산업에 적용되며, 모두가 그것이 적용되리라고 예상해야 합니다.

시점은 이 문서를 처음 보이는 것보다 분주한 한 주 안에 위치시킵니다. AI·5G·스마트 기술 시대의 개인정보를 주제로 한 KVKK 자체 서밋이 9월 24일 이어졌고, 주제는 책임 있는 데이터 거버넌스였습니다. 헌법재판소장은 9월 23일 사법에서의 AI에 관한 원칙을 제시했습니다. 대통령은 9월 22일 유엔 총회에서 국제 AI 협약의 가속을 촉구했습니다. 세 건의 고위급 원칙 표명과 같은 주에 구체적이고 운영 가능한 문서를 공표한 규제기관은, 그 넷 가운데 무엇이 실행되기를 기대하는지 알려 주고 있는 것입니다.

자주 묻는 질문

이제 튀르키예 변호사는 ChatGPT를 사용할 수 없나요?

아닙니다. 가이드는 생성형 AI를 금지하지 않습니다. 외국에 소재한 서비스에 개인정보를 제출하는 것은 제9조의 근거를 요구하는 국외이전이라고 밝히고, 이를 준수하는 사용을 위한 기대사항 — 최소처리, 가명처리, 약관 확인, 민감정보 금지 — 을 제시합니다.

도구가 튀르키예 인프라에서 작동한다면 어떻게 되나요?

처리가 실제로 튀르키예 안에 머문다면 이전 분석은 사라지지만 나머지는 그대로입니다. 제12조의 보안 의무, 변호사법 제36조의 직무상 비밀유지의무, 제6조의 민감정보 규정은 서버가 어디에 있든 적용됩니다.

익명처리된 정보도 개인정보인가요?

제대로 익명처리된 정보는 제6698호 법률의 적용 범위 밖에 있습니다. 어려움은 법적 사실관계가 이름 없이도 식별성을 갖는 경우가 많다는 점입니다. 작은 업계의 특징적인 분쟁은 그 업계를 아는 사람에게 당사자를 식별시킬 수 있습니다. 직접 식별자를 가리는 것은 위험을 상당히 줄이지만 언제나 익명처리를 달성하는 것은 아닙니다.

의뢰인의 동의로 해결되나요?

때로는 그렇고, 기대만큼 자주는 아닙니다. 명시적 동의는 구체적이고 고지에 기반하며 자유로운 의사에 따른 것이어야 하고, 동의가 놓인 예외적 이전 경로는 정기적이지 않은 이전에 한정됩니다. 동의는 간헐적인 이전에는 작동하는 근거이고 매일 쓰는 도구에는 빈약한 근거입니다.

사무소가 도구를 제공하는 고용 변호사는 어떻게 되나요?

사무소가 개인정보처리자로서 컴플라이언스 부담을 집니다. 그러나 변호사법상 직무상 비밀유지의무는 개별 변호사에게 귀속되며 사용자의 정책으로 면제되지 않습니다. 사무소의 조치가 비밀유지의무를 위반한다고 판단하는 변호사는 사무소 정책으로 해결되지 않는 개인적 문제를 안고 있는 것입니다.

과거의 사용에 대해 책임이 생기나요?

가이드가 법을 소급해 바꾸지는 않습니다. 제9조는 그 전에도 적용되고 있었습니다. 달라지는 것은 과거의 관행을 정직한 오해로 설명하기가 어려워진다는 점입니다. 합리적인 대응은 과거를 감사하는 것이 아니라 지금의 체계를 바로잡는 것입니다.

부르한 도우쉬 아이파를라르의 견해

이 섹션은 본 사이트의 설립자이자 AI 윤리·컴플라이언스 자문가인 부르한 도우쉬 아이파를라르의 개인적 견해입니다.

제 직업에 불편한 부분부터 시작하고 싶습니다. 그러지 않으면 이 논의가 KVKK의 문제인 것처럼 진행될 것이기 때문입니다.

매우 많은 튀르키예 변호사들이 지난 2년 동안 의뢰인 자료를 소비자용 챗봇에 붙여넣으며 지냈습니다. 제가 이를 아는 이유는 그들이 그렇게 말하기 때문입니다. 제가 개인정보 보호를 주제로 강연하는 학술행사에서, 아주 유쾌하게 말입니다. 그 자료에는 공소장, 진단서, 노무 기록, 서신이 포함됩니다. 그중 사업자의 약관을 살펴본 뒤에 이루어진 경우는 거의 없고, 제9조 분석을 거친 경우는 사실상 없습니다. 이것은 악의가 아니었습니다. 직업의 습관보다 빠르게 도착한 도구의 문제였고, 대부분의 시간 대부분의 행동을 규율하는 것은 바로 그 습관입니다.

KVKK가 한 일은 우리가 실제로 하던 것과, 누군가 물었다면 우리가 하고 있다고 말했을 것 사이의 간극을 메운 것입니다. 그것이 지침의 올바른 기능이며, 저는 그 논리가 옳다고 봅니다. 다른 법역의 인프라에 제출된 기록은 나라를 떠난 것이고, 그것이 이메일 첨부파일이 아니라 입력창을 통해 떠났다는 사정은 그것이 어디로 갔는지에 관해 아무것도 바꾸지 않습니다.

제가 조금 이견을 두는 지점은 비례성입니다. 가이드는 변호사에게 이용약관, 보관 정책, 수탁자 구조를 확인하라고 요구합니다. 컴플라이언스 조직을 갖춘 대형 로펌에게 이것은 하나의 과업입니다. 가지안테프의 단독 개업 변호사에게 이것은 그 자체로 일방적 변경이 가능한 영문 계약 조건 40쪽을 읽으라는 초대입니다. 이 의무는 원칙적으로 옳고 실무적으로 어렵습니다. 그리고 그 두 가지 사이의 간극이야말로 지침이 조용히 대형 로펌만 따를 수 있는 규칙으로 변하는 곳입니다. 저는 KVKK와 튀르키예 변호사협회연합회가 그 평가를 중앙에서 해 주기를 바랍니다. 주요 서비스들을 평가하고, 어떤 요금제가 적법한 구조를 뒷받침할 수 있는지 공표하며, 모범 조항 세트를 만드는 것입니다. 기관의 하루 작업이면 개인의 오후 5만 번을 아낄 수 있고, 어떤 훈계보다 더 나은 준수를 낳을 것입니다.

제가 가장 무겁게 보는 부분은 가이드가 제기했으나 해결하지 않은 비밀유지 문제입니다. 개인정보 보호 위반은 비쌉니다. 변호사법 제36조 위반은, 그 뒤에 형법 제130조가 버티고 있는 상태에서, 차원이 다른 문제이며 표준계약조항을 통지했는지 여부로 좌우되지 않습니다. 사업자의 약관이 제출된 내용을 모델 개선에 사용하도록 허용한다면, 저는 '수탁자는 사무소의 연장'이라는 논리가 살아남는다고 보지 않습니다. 그 정보는 당신의 지시 아래에 있지 않고 돌아오지도 않는 곳으로 갔기 때문입니다. 따라서 기업용이냐 소비자용이냐의 구분은 구매 정책의 선호가 아닙니다. 그것은 방어할 수 있는 체계와, 제가 징계위원회 앞에서 설명하고 싶지 않은 체계 사이의 경계선입니다.

더 넓은 독법은 비법률가들에게 드리고 싶은 이야기입니다. 놀라게 될 쪽이 바로 그들이기 때문입니다. KVKK의 논리 가운데 어느 것도 법률 실무에 관한 것이 아닙니다. 외국에 소재한 모델에 개인정보를 제출하는 것은 그 정보가 사건 기록이든, 진료 기록이든, 인사 기록이든, 고객 불만이든 국외이전입니다. 당국은 부인하기 가장 어려운 곳에서 먼저 이 점을 짚었고, 이제 기록에 남은 그 분석은 나머지 모두에게 적용될 것입니다. 같은 소비자용 도구로 같은 행동을 하고 있는 병원, 은행, 보험사, 인사부서는 이 가이드를 자신들에 관한 문서로 읽어야 하며, 그렇게 말하는 첫 번째 처분이 나온 뒤가 아니라 이번 주에 읽어야 합니다.

이 글은 정보 제공 목적이며 법률 자문에 해당하지 않습니다. 사실관계는 2026년 9월 22일 공개된 KVKK의 법률 실무 개인정보 적용 가이드와 공개된 자료에 근거합니다. 튀르키예 법 및 비교법에 관한 설명은 일반적인 내용으로, 구체적 사안은 개별적인 검토가 필요합니다. 분석과 평가는 필자의 견해입니다.