AI 외주 개발 계약에서 규제 책임을 어떻게 나눠야 할까?

Kompli2026년 7월 17일

AI 기능을 외주로 개발할 때 가장 자주 생기는 착각이 있습니다.

“개발은 외주사가 했으니까 문제 생기면 개발사가 책임지는 거 아닌가?”

그런데 실제로는 그렇게 단순하지 않습니다. AI 서비스를 누가 기획했는지, 데이터를 누가 제공했는지, 모델이나 API를 누가 선택했는지, 운영 중 이용자에게 누가 제공하는지에 따라 책임의 성격이 달라질 수 있어요. 특히 AI 기본법, 개인정보보호법, 산업별 규제가 함께 걸리면 계약서에 “개발사가 책임진다” 한 줄만 넣는다고 끝나지 않습니다.

AI 외주 개발 계약에서 중요한 건 책임을 한쪽에 몰아넣는 게 아니라, 각 단계별로 누가 무엇을 결정하고, 누가 어떤 자료를 남기고, 문제가 생기면 어떻게 협조할지 정하는 것입니다.

외주 개발이라고 해서 발주사 책임이 사라지지는 않아

AI 기능을 실제 서비스에 붙여 고객에게 제공하는 주체가 발주사라면, 발주사는 규제 대응에서 완전히 빠지기 어렵습니다.

예를 들어 고객 상담 AI, 채용 평가 AI, 의료 관련 AI, 금융 심사 보조 AI를 외주 개발사에 맡겼다고 해볼게요. 개발사는 기술 구현을 했지만, 그 AI를 어떤 목적으로 쓸지 정한 곳은 발주사일 수 있습니다. 데이터도 발주사가 제공하고, 최종 화면도 발주사 서비스 안에 들어가고, 이용자 고지도 발주사가 운영할 수 있어요.

이 경우 “우리는 개발을 맡겼을 뿐”이라고 보기 어렵습니다. AI를 사업에 활용하고 이용자에게 제공하는 회사는 자기 역할에 맞는 규제 검토를 해야 합니다.

개발사도 “시키는 대로 만들었다”만으로 끝나지 않을 수 있다.

반대로 개발사도 아무 책임이 없다고 보기 어렵습니다.

개발사가 모델 구조를 설계하고, 외부 AI API를 선택하고, 학습 데이터 처리 방식을 제안하고, 보안 설정을 구현했다면 그 부분에 대해서는 기술적 책임과 설명 책임이 생길 수 있어요.

예를 들어 개발사가 임의로 외부 API를 붙였는데 발주사에게 데이터 전송 사실을 제대로 알리지 않았다면 문제가 될 수 있습니다. 또는 테스트 데이터에 개인정보가 포함되어 있는데 별도 보호조치 없이 개발 환경에 저장했다면 이것도 리스크가 됩니다.

그래서 계약서에는 개발사가 구현 과정에서 어떤 기준을 지켜야 하는지를 구체적으로 적어야 합니다.

책임은 “법적 문구”보다 “업무 단계”로 나눠야

AI 외주 계약에서 책임을 나눌 때는 막연히 “규제 위반 시 개발사가 책임진다”라고 쓰는 것보다,

개발 흐름별로 나누는 게 훨씬 실무적입니다.

요구사항 정의는 누가 하는지, 데이터는 누가 제공하는지, 모델은 누가 선택하는지, 결과물 검수는 누가 하는지, 운영 중 변경 관리는 누가 하는지를 나눠야 해요.

이렇게 나눠야 나중에 고객사나 감독기관, 내부 감사에서 자료를 요구했을 때 “이 부분은 누가 판단했고, 어떤 근거로 진행했는지”를 설명할 수 있습니다.

첫 번째는 AI 기능의 범위를 명확히 해야

계약서에서 가장 먼저 정해야 할 것은 AI 기능의 범위입니다.

단순 챗봇인지, 추천 기능인지, 자동 심사 기능인지, 문서 요약 기능인지, 이미지 분석 기능인지에 따라 규제 리스크가 달라집니다. 특히 사람의 권리나 의무, 채용, 금융, 의료, 교육, 공공서비스처럼 민감한 영역에 영향을 줄 수 있다면 더 조심해야 해요.

계약서에는 최소한 아래 내용이 들어가는 게 좋습니다.

AI 기능의 목적

주요 이용자

입력 데이터 종류

출력 결과의 사용 방식

사람이 최종 판단하는지 여부

고영향 AI 검토 필요성

이용자 고지 필요성

AI 기능 범위가 흐릿하면 규제 책임도 흐릿해집니다. 책임 분담은 기능 정의에서 시작됩니다.

데이터 제공 책임을 반드시 나눠야

AI 외주 개발에서 가장 위험한 부분 중 하나가 데이터입니다.

발주사가 개발사에게 고객 데이터, 상담 데이터, 계약서, 이력서, 의료정보, 로그 데이터를 제공하는 경우가 있는데요. 이때 데이터 제공 근거, 제공 범위, 보관 기간, 재사용 가능 여부, 삭제 방식이 정리되어 있지 않으면 나중에 큰 문제가 될 수 있습니다.

특히 개인정보가 포함된 데이터를 개발사에 제공한다면 개인정보보호법상 위탁 또는 제3자 제공 이슈가 생길 수 있습니다. 이건 단순 개발 계약이 아니라 개인정보 처리 구조까지 같이 봐야 하는 문제예요.

계약서에는 “개발사는 제공받은 데이터를 해당 프로젝트 목적 외로 사용하지 않는다”, “계약 종료 후 데이터를 삭제 또는 반환한다”, “학습 데이터로 재사용하려면 별도 서면 동의를 받는다” 같은 조항이 필요합니다.

모델, API 선택 책임도 적어야

요즘 AI 외주 개발은 모델을 직접 만드는 경우보다 외부 LLM API, 오픈소스 모델, 클라우드 AI 기능을 조합하는 경우가 많습니다.

이때 중요한 질문이 있어요.

“어떤 모델을 쓸지는 누가 결정했나?”

발주사가 특정 API를 지정했다면 발주사의 선택 책임이 큽니다. 반대로 개발사가 임의로 API를 선택하고 발주사에게 충분히 설명하지 않았다면 개발사의 책임도 커질 수 있어요.

계약서에는 모델, API 선택 기준을 정리해야 합니다. 예를 들면 이용 약관, 데이터 보관 정책, 개인정보 처리 조건, 국내외 이전 여부, 비용 구조, 장애 대응, 모델 변경 시 통지 의무 등이 있습니다.

모델 제공사를 바꾸면 규제 검토도 다시 필요할 수 있기 때문에, 변경 통지 조항은 꼭 넣는 편이 좋습니다.

보안과 접근 권한은 개발 단계부터 정해야

AI 외주 개발에서는 개발사가 발주사의 데이터, 서버, API 키, 관리자 계정에 접근하는 경우가 많습니다.

이때 접근 권한이 너무 넓거나, 계정을 공유하거나, 테스트가 끝난 뒤에도 권한이 남아 있으면 리스크가 커집니다.

계약서에는 최소한 아래 내용을 넣는 게 좋습니다.

개발사 접근 권한 범위

관리자 계정 발급 방식

API 키 관리 방식

개발, 운영 환경 분리

로그 기록 여부

보안 사고 발생 시 통지 시간

계약 종료 후 권한 회수

AI 규제 대응은 모델 설명서만으로 되는 게 아닙니다. 접근권한, 보안조치, 로그, 변경 이력 같은 운영 증빙도 같이 남아야 합니다.

검수 기준에 규제 항목을 넣어야

외주 개발 계약에서 검수는 보통 기능 중심으로 이뤄집니다.

“버튼이 잘 눌리는가”, “응답이 잘 나오는가”, “속도가 괜찮은가” 같은 기준이죠.

그런데 AI 기능은 기능 검수만으로 부족할 수 있습니다. 이용자에게 AI 사용 사실을 고지했는지, 결과물의 한계가 안내되는지, 민감정보 입력을 막는지, 로그가 적절히 남는지, 사람이 개입할 수 있는 구조인지도 봐야 합니다.

특히 고영향 AI 가능성이 있거나 개인정보가 들어가는 서비스라면 검수 기준에 규제 항목을 넣어야 해요. 그래야 나중에 “개발은 끝났는데 규제 대응은 안 되어 있는 상태”를 피할 수 있습니다.

산출물에 “규제 문서”를 포함해야

외주 개발 계약에서 산출물은 보통 소스코드, 기획서, 화면 설계서, API 문서, 테스트 결과서 정도로 정리됩니다.

하지만 AI 기능이라면 여기에 규제 대응 문서도 포함하는 게 좋습니다.

예를 들면 이런 문서입니다.

AI 기능 설명서

사용 모델 및 API 목록

데이터 입력, 출력 항목

개인정보 처리 여부

고영향 AI 검토 메모

테스트 결과

오류, 한계 안내 문구

이용자 고지 문구

보안 점검 결과

변경 이력

이 자료가 없으면 운영 단계에서 발주사가 규제 대응을 하려고 해도 처음부터 다시 파악해야 합니다.

AI 외주 개발의 진짜 산출물은 코드뿐 아니라 설명 가능한 기록입니다.

“모든 책임은 개발사” 조항은 실무적으로 위험

계약서에 “규제 위반 시 개발사가 모든 책임을 진다”라고 쓰고 싶을 수 있습니다.

하지만 실제 분쟁이나 규제 대응에서는 그렇게 깔끔하게 정리되지 않을 가능성이 큽니다. 발주사가 목적을 정하고 데이터를 제공하고 서비스를 운영했다면, 발주사가 져야 할 책임까지 개발사에게 전부 넘기기는 어렵습니다.

오히려 계약서에는 더 현실적인 방식이 필요합니다.

발주사가 제공한 데이터의 적법성은 발주사가 책임진다

개발사는 제공받은 데이터를 목적 외로 사용하지 않는다

개발사는 모델, API 선택 시 주요 리스크를 발주사에게 알린다

발주사는 최종 서비스 운영과 이용자 고지를 관리한다

양측은 규제 대응 자료 요청 시 서로 협조한다

변경 사항이 있으면 사전에 통지하고 재검토한다

이렇게 써야 실제 프로젝트에서 작동합니다.

Kompli 관점에서는 “책임 분담표”부터 남기는 게 출발점

AI 외주 개발은 계약서만 잘 쓰면 끝나는 문제가 아닙니다.

계약서에 쓴 역할이 실제 프로젝트 관리, 데이터 제공 내역, 검수 결과, 증빙 문서와 연결되어야 해요.

Kompli는 이런 문제를 AI 자산 관리와 규제 증빙 관리 관점에서 보고 있습니다. 어떤 AI 기능을 외주로 만들었는지, 어떤 데이터를 제공했는지, 누가 모델을 선택했는지, 어떤 검수를 했는지, 어떤 문서를 남겼는지를 한곳에서 관리할 수 있어야 나중에 대응이 됩니다.

특히 B2B AI 서비스라면 고객사가 “이 AI 기능의 규제 대응 자료를 주세요”라고 요청하는 순간이 올 수 있는데요. 그때 외주 개발 당시 자료가 흩어져 있으면 대응이 매우 어려워집니다.