2026년 11월 2일 업데이트: KVKK는 파일 업로드가 언제나 이전이라는 것이 아니라 도구를 평가한 결과 국외이전일 '수 있다'고 합니다. 이 지침은 튀르키예 변호사협회연합회와 함께 작성되었습니다. 변호사의 습관에 관한 주장과 확인할 수 없는 한국 지침 초안은 철회했습니다.

정정 (2026년 10월 19일): 인용한 형법 조항을 제130조에서 제136조·제239조로 바로잡고, 민감정보에 관한 가이드의 표현을 규칙이 아닌 권고로 정정했으며, 튀르키예 내 도구도 제8조의 국내이전 검토 대상이라는 가이드의 입장을 FAQ에 반영했습니다.

튀르키예 개인정보보호청(KVKK)과 튀르키예 변호사협회연합회는 2026년 9월 22일 변호사를 위한 실무 가이드를 소개했습니다. 가이드는 의뢰인 파일을 ChatGPT, Gemini 같은 생성형 AI 도구에 올리면 제6698호 법률 제9조의 개인정보 국외이전에 해당할 수 있다고 설명합니다. 158쪽 분량의 가이드(KVKK 간행물 제115호, 2026년 7월)는 이런 도구를 금지하지 않습니다.

KVKK 가이드는 생성형 AI에 대해 무엇을 말합니까?

AI 부분은 긴 문서 가운데 짧은 일부입니다. 가이드는 변호사의 처리자 지위, 공동 사무소, 복대리 변호사, 고용 변호사, 수습 변호사, 사무소 직원, 개인정보 처리 요건, 데이터 보안도 다룹니다. AI에 관해서는 다음과 같이 설명합니다.

  • 단순 조사가 아닙니다. 개인정보가 담긴 파일을 올리는 일을 단순한 기술 지원이나 법률 조사로 봐서는 안 됩니다.
  • 국외이전 가능성. 제공자가 해외에 있거나 서버가 해외에 있거나 해외 하위 수탁자가 처리하면 제9조가 문제 될 수 있습니다. 도구의 기반, 보관 정책, 제공자와 서버의 위치에 달려 있습니다.
  • 확인할 사항. 이용 약관, 개인정보 정책, 처리 조건, 데이터 위치, 하위 수탁자 조항, 이전 메커니즘을 검토해야 합니다. 이전이 확인되면 제9조를 지켜야 합니다.
  • 국내 도구도 마찬가지입니다. 제공자가 튀르키예에 있고 그곳에서 처리하더라도 파일 제공은 제8조의 이전일 수 있습니다. 법적 근거, 목적, 데이터 범주, 비례성을 따로 평가해야 합니다.
  • 보안. 가이드는 제12조와 관련해 다음을 중요하게 봅니다. 가능한 한 마스킹이나 익명화, 민감정보 업로드 자제, 필요한 최소한의 공유, 보관·모델 학습·사람 검토·하위 수탁자·보안 정책 검토, 사무소 내부 규칙 마련입니다.

언론 보도에 따르면 KVKK 청장은 가이드가 변호사의 개인정보 처리를 금지하는 것이 아니라, 업무에 필요한 데이터를 적절한 근거로 필요한 범위에서 안전하게 처리하도록 하는 것이라고 말했습니다.

KVKK 가이드에 구속력이 있습니까?

없습니다. 새 의무를 만들지는 않지만 규제기관의 기대를 보여 줍니다. 제6698호 법률 제12조는 적절한 기술적·관리적 조치를 요구하면서 이를 정의하지 않습니다. 저희가 보기에 KVKK가 구체적인 기대를 밝힌 뒤 반대로 행동한 변호사는 설명할 것이 더 많아집니다. 과태료도 범위 안에서 정해집니다. 경범죄법 제17조는 위법의 내용, 과실, 경제 사정을 보며, 저희가 보기에 선의의 준수 노력도 이와 관련됩니다. 가이드가 9월 22일에 법을 바꾼 것은 아닙니다. 제9조는 이미 적용되고 있었습니다.

변호사에게 어떤 이전 경로가 있습니까?

2024년 개정된 제9조는 세 단계를 둡니다. 가이드도 같은 순서로 요약하며, 국외이전 가이드에서 자세히 다룹니다.

  • 적정성 결정. 위원회가 특정 국가나 분야의 보호 수준이 적정하다고 결정할 수 있습니다. 2026년 11월 1일 현재 공개된 결정은 찾지 못했습니다.
  • 적절한 보호 조치. 구속력 있는 기업 규칙과 표준계약 등이 있습니다. 표준계약은 서명 후 5영업일 안에 신고해야 하고(제9조 제5항), 신고하지 않으면 재평가 전 금액으로 5만~100만 리라의 과태료가 부과됩니다(제18조 제1항 (d)호). KVKK는 선택 조항 외에는 추가, 삭제, 변경을 해서는 안 된다고 밝혔습니다.
  • 예외적 이전. 위 두 경로가 없을 때, 그것도 일회적으로만, 위험을 안내받은 명시적 동의, 본인과의 계약, 권리의 설정·행사·보호 같은 사유로 가능합니다(제9조 제6항).

저희가 보기에 정기적 사용에 현실적인 경로는 표준계약이며, 제공자가 KVKK 문안을 그대로 서명할지가 핵심 질문입니다. 예외 경로는 잘 맞지 않습니다. 매일 쓰는 도구를 일회적이라 부르기 어렵고, 위임은 특정 도구가 아니라 법률 서비스를 요구합니다. 이는 가이드의 입장이 아닙니다.

민감정보는 어떻게 됩니까?

가이드는 권고로 표현하지만, 저희가 보기에 변호사는 이를 확고한 선으로 봐야 합니다. 제6조는 인종, 민족, 정치적 견해, 철학적 신념, 종교, 종파, 복장, 협회·재단·노동조합 가입, 건강, 성생활, 형사 유죄판결과 보안 처분, 생체·유전 정보를 포함합니다. 노동, 형사, 가사, 상해 사건 기록에는 이런 정보가 자주 있습니다.

제6조 제3항은 명시적 동의, 권리의 설정·행사·보호에 필요한 경우 등을 근거로 처리를 허용합니다. 변호사의 사건 업무는 이 요건에 해당할 수 있습니다. 저희가 보기에 외국 처리 도구를 고르는 일까지 당연히 포함되지는 않습니다.

직업상 비밀은 별도의 문제입니까?

그렇습니다. 가이드의 AI 부분도 이를 해결하지 않습니다. 변호사법 제36조는 직무상 알게 된 사항의 공개를 금지합니다. 튀르키예 형법은 개인정보의 불법 제공(제136조)과 상업·고객 비밀의 공개(제239조)를 따로 처벌합니다. 제9조를 지켰다고 제36조를 지킨 것은 아닙니다.

열린 문제는 의뢰인 정보를 제공자에게 넘기는 것이 공개에 해당하느냐입니다. 지시에 따라 일하고 비밀 의무를 지는 수탁자는 사무소의 연장이라는 견해가 있습니다. AI 도구에 관한 튀르키예 결정은 찾지 못했습니다. 이 견해는 제공자가 내용을 자기 목적에 쓸 수 있을 때 가장 약합니다. 조건은 요금제마다 다릅니다. 예를 들어 OpenAI는 개인용 서비스의 내용을 이용자가 거부하지 않으면 학습에 쓸 수 있다고 하고, ChatGPT Enterprise와 API 같은 기업용 서비스는 달리 다룹니다. 변호사는 사용하는 도구의 현행 약관을 읽어야 합니다. AI 대화의 비밀과 허위 인용 해설도 참고할 수 있습니다.

법률 사무소는 무엇을 검토해야 합니까?

가이드와 저희 해석에서 나온 일반 정보입니다.

  • 사용 중인 요금제를 파악합니다. 학습, 보관, 계약 조건이 다릅니다.
  • 이전 근거를 갖추거나 의뢰인 데이터를 넣지 않습니다. KVKK 양식의 계약과 5영업일 내 신고를 뜻합니다.
  • 식별 정보를 기본적으로 지웁니다. 이름, 신분증 번호, 주소, 사건 번호는 대개 손실 없이 뺄 수 있습니다. 마스킹이 곧 익명화는 아닙니다. 독특한 분쟁은 당사자를 드러낼 수 있습니다.
  • 의뢰인에게 알립니다. 의뢰인 자료에 도구를 쓴다면 위임 조건에 밝힙니다. 저희가 보기에 이는 데이터 문제이자 직업 윤리 문제입니다.
  • 사무소 규칙을 문서로 남깁니다. 가이드도 내부 규칙을 요구합니다. AI 사용 정책 가이드에 구성 예가 있습니다.

이 논리는 법률 사무소 밖에도 적용됩니까?

저희가 보기에 그렇습니다. 가이드는 변호사만을 대상으로 하지만 이전에 관한 논리는 사건 기록이라는 점에 기대지 않습니다. 가이드는 2025년 11월의 생성형 AI 가이드와 2026년 2월의 직장 문서 등 KVKK의 다른 문서를 인용하므로, 이번이 KVKK의 첫 언급은 아닙니다. KVKK와 AI 거버넌스 가이드에 정리되어 있습니다.

EU의 출발점은 비슷하지만 선택지가 더 많습니다. GDPR 제5장도 이전을 제한하지만 EU에는 적정성 결정이 있고 표준계약 조항은 당국 신고가 필요 없습니다. 한국에서는 연합뉴스 보도에 따르면 개인정보보호위원회가 9월 23일 에이전틱 AI를 주제로 회의를 열었습니다. 회의에서 발표된 인터뷰 조사의 참여 기관들은 프롬프트 인젝션과 과도한 권한을 위험 요인으로 꼽았고, 위원회는 2026년 말까지 안내서를 낼 계획입니다.

자주 묻는 질문

KVKK가 튀르키예 변호사에게 ChatGPT를 금지했습니까?

아닙니다. 2026년 9월 소개된 KVKK 가이드는 생성형 AI를 금지하지 않습니다. 개인정보가 담긴 파일 업로드가 이전일 수 있다고 설명하고, 검토 사항과 마스킹, 최소화, 민감정보 자제 같은 조치를 제시합니다.

AI 도구가 튀르키예에서 운영되면 KVKK 가이드가 적용됩니까?

일부 적용됩니다. 제공자와 처리가 실제로 튀르키예에 머물면 제9조는 빠지지만, KVKK 가이드는 파일 제공이 제8조의 이전일 수 있다고 합니다. 제12조 보안 의무, 제6조, 변호사법 제36조의 비밀 유지는 계속 적용됩니다.

의뢰인 동의로 이전 문제가 해결됩니까?

저희가 보기에 때로는 그렇지만 기대보다 드뭅니다. 제9조 제6항의 명시적 동의는 예외 경로에 속하며, 일회적 이전에 한정되고 위험 안내가 필요합니다. 가끔 있는 이전에는 맞을 수 있지만 매일 쓰는 도구에는 잘 맞지 않습니다.

처리자는 사무소입니까, 고용 변호사입니까?

KVKK 가이드에 따르면 고용 변호사는 목적과 수단을 정하는 고용주 변호사를 위해 행동하므로 처리자도 수탁자도 아닙니다. 변호사법 제36조의 비밀 유지 의무는 변호사에게 부과되므로, 저희가 보기에 사무소 정책이 개인의 의무를 없애지는 않습니다.

부르한 도우쉬 아이파를라르의 견해

이 섹션은 본 사이트의 설립자인 튀르키예 변호사 부르한 도우쉬 아이파를라르의 개인적인 견해를 담고 있습니다.

저는 KVKK의 논리가 타당하다고 생각하며, 그 불편함은 먼저 제 직역에 돌아옵니다. 다른 나라의 기반 시설로 보낸 파일은 나라를 떠난 것이고, 이메일 첨부가 아니라 입력창으로 갔다고 달라지지 않습니다.

조금 반박하고 싶은 부분은 비례성입니다. 가이드는 변호사에게 약관, 보관, 하위 수탁자를 확인하라고 합니다. 큰 사무소에는 하나의 업무지만, 작은 사무소에는 일방적으로 바뀔 수 있는 긴 외국어 약관을 읽는 일입니다. KVKK와 변호사협회연합회가 주요 서비스를 중앙에서 평가하고, 어떤 요금제로 준수가 가능한지 공개하며, 표준 조항을 제시하기를 바랍니다.

가장 중요하게 보는 것은 비밀 유지입니다. 제공자의 약관이 내용을 모델 개선에 쓰도록 허용한다면, 수탁자가 사무소의 연장이라는 견해는 유지되기 어렵다고 생각합니다. 정보가 지시 범위 밖으로 나갔기 때문입니다. 그래서 요금제의 차이는 단순한 구매 선호가 아닙니다.

출처: KVKK, 변호사 직무상 개인정보 보호 실무 가이드(간행물 제115호) 120~122쪽의 생성형 AI 부분과 제12조 부분, Türkgün(2026년 9월 22일, 날짜와 청장 발언에 관한 언론 보도), KVKK 표준계약 공지(2025년 2월 5일), 튀르키예 법률 제6698호·제1136호·제5237호·제5326호, OpenAI 데이터 정책 페이지, GDPR, Supple을 통한 연합뉴스 보도(2026년 9월 23일)(2026년 11월 1일 확인). 과태료는 재평가 전 법정 금액입니다. 이전 경로와 비밀 유지에 관한 저희 해석은 저희가 찾을 수 있는 공개 결정에서 검증되지 않았습니다. 일반 정보이며 법률 자문이 아닙니다.