기업이 AI 플랫폼 도입 시 SLA 항목과 데이터 이용 약정에서 반드시 짚어야 할 핵심 조항과 협상 전략을 실무 관점에서 정리한다. 계약 리스크를 줄이고 운영 비용을 통제하는 체크리스트 포함.
실무 계약 담당자와 기획자가 현장에서 바로 사용할 수 있는 협상 포인트와 검증 방법을 정리한다. 실제 사례와 비교 데이터를 통해 우선순위를 제시한다.
주요 내용
- 서비스 가용성(가동률) 목표와 벌칙(서비스 크레딧) 구조
- 데이터 소유권·재사용·모델 학습 활용 명시 여부
- 감사·로그 접근권 및 보안·백업 책임 범위
- 문제 발생 시 대응(업데이트 롤백, 데이터 삭제 등) 절차
- 비용 산정 방식: 요청당 과금, 토큰 기반, 동시 접속(throughput) 기준
사례 분석 – 실제 협상에서 자주 부딪히는 쟁점
매일 엑셀 반복 작업에 시달리던 실무자 A씨 조직은 대화형 AI 서비스 도입을 계약하면서 ‘모델 재학습에 고객 데이터를 사용 금지’를 요구했으나 벤더 표준 약관에서는 ‘익명화된 데이터는 서비스 개선에 사용될 수 있음’으로 명시되어 있었다. 교착 상태를 해소하기 위해 조직은 3단계 접근을 제안했다.
- 파일럿 기간(90일) 중 수집 데이터 전부에 대해 벤더의 재학습 금지 서면 합의
- 파일럿 성과 기반으로 범위별 데이터 재사용을 선택적 승인(예: 로그 메타데이터만 허용)
- 비용 할증과 함께 추가적인 데이터 처리 동의서를 계약별 애드엔드로 포함
이 방식은 데이터 재사용 리스크를 점진적으로 통제하면서 서비스 개선 혜택을 일부 유지할 수 있는 현실적 타협안으로 작동했다. 협상 과정에서 로그 샘플과 익명화 파이프라인 설계를 기술적 산출물로 명시한 점이 핵심이었다.
파일럿 조건을 계약서(Statement of Work)에 포함시키고, 파일럿 종료 시점에 데이터 사용 권한을 취소할 수 있는 옵트아웃 절차를 명시하면 초기 위험을 낮출 수 있다.
데이터 비교 테이블: 도입 전/후 및 SLA 항목별 비용·리스크 영향
| 비교 항목 | 도입 전(기존 방식) | 도입 후(관리된 AI 플랫폼) | 협상 포인트 |
|---|---|---|---|
| 데이터 소유권 | 완전 내부 소유 | 벤더 약관에 따라 재사용 가능성 존재 | 재학습 금지/익명화 기준, 서면 동의 |
| 가용성(SLA) | 내부 서버 관리로 책임 명확 | 벤더 가용성에 의존(예: 99.9%) | 서비스 크레딧, 롤백·백업 책임 분배 |
| 보안·접근 통제 | 사내 DLP·SSO 적용 가능 | 벤더가 제공하는 보안 수준에 종속 | SSO·SCIM 통합, DLP 연동 조항 |
| 비용 구조 | 인프라 CAPEX·운영 인건비 | 사용량 기반 OPEX(요청·토큰당 과금) | 상한선(예산 캡), 예측 요금 모델, 모니터링 지표 |
| 서비스 개선 참여 | 직접 개발로 개선 반영 가능 | 벤더 로드맵에 의존 | 기능 로드맵·우선순위 반영 조건 협의 |
비용 통제용으로 ‘월간 소비 한도(soft cap)’와 ‘알림 및 자동 차단(soft throttle)’ 규정 도입을 요청하면 예산 급증을 사전에 차단할 수 있다.
테스트 중 발견된 주의사항
- 약관의 ‘익명화’ 정의가 모호하면 재식별 리스크가 남는다. 데이터 샘플·익명화 파이프라인을 계약상 산출물로 요구하라.
- 서비스 크레딧 산정 방식이 가용성 기준이 아닌 ‘부분적 불가용’ 항목으로 설계되면 실질 보상 수준이 낮아진다. 크레딧 산정식을 명시할 것.
- 업데이트·모델 변경 주기와 롤백 절차가 없을 경우 운영 중 기능 변동으로 서비스 불안정 발생 가능성이 높다. 롤백 SLA와 사전 공지 기간을 요구하라.
- 법적 관할·준거법 조항을 확인하라. 데이터 주권 혹은 규제 컴플라이언스(예: GDPR, KISA)에 따른 별도 약정 필요.
- 벤더의 서브프로세서(협력사) 목록을 확인하고 주요 변경 시 통지·승인 절차를 포함시켜야 한다.
협상 전 체크리스트와 실제 문구 예시
권고 체크리스트(우선순위 순):
- 데이터 소유권·재사용 금지 문구: “고객 데이터는 고객의 소유이며, 벤더는 명시적 서면 동의 없이 이를 모델 학습/재사용에 사용하지 않는다.”
- SLA 가용성 및 보상: “연간 가동률 99.9% 미만 시 월 사용료의 X% 서비스 크레딧” 및 “중대한 중단 시 추가 보상(환불 또는 계약 해지 권한)”.
- 보안·감사권: “고객은 보안 로그 및 감사 자료에 대한 접근 권한을 요구할 수 있으며, 연 1회 외부 보안감사(또는 SOC2 보고서) 제출을 벤더에 요구한다.”
- 업데이트 관리: “모델 및 정책 변경 30일 사전 통지, 중요 변경 시 롤백 옵션 제공”.
- 비용 통제: “월별 소비 상한 설정과 상한 도달 시 자동 알림 및 차단 옵션 포함”.
실제 계약 문구 예시(발췌적용 권장):
"데이터 재사용 금지: 벤더는 고객이 제공하거나 수집한 모든 원시 데이터 및 파생 데이터를 모델 학습, 개선, 또는 제3자 서비스 제공을 위해 사용하지 않으며, 이를 위해 필요한 모든 기술적·조직적 조치를 유지한다."
법적·기술적 검토는 별도의 기술부서·법무팀 협업으로 진행하고, 파일럿 산출물(익명화 스크립트, 로그 샘플 포함)을 계약의 부속서로 첨부하는 것을 권장한다.
🔗 Microsoft Azure AI 공식 문서 바로가기
📌 SSO·SCIM로 LLM SaaS 기업 고객 온보딩
마무리 체크포인트
- 핵심 조항을 SOW·부속합의서로 분리하여 변경 관리를 명확히 하라.
- 파일럿을 통해 약관 리스크를 실증하고, 최종 계약은 파일럿 결과를 반영해 갱신하라.
- 법무·보안·비용 담당자 간 표준 체크리스트를 만들어 계약 단계마다 사용하라.