BLUF — 세 후보 중 문제는 가장 구체적, 지불예산은 여전히 미확인
단순 개인정보처리방침 작성은 과밀하고 저가화되기 쉽다. 그러나 생성형 AI 서비스는 프롬프트, 학습·평가 데이터, 로그, 모델사, 클라우드, 벡터DB, 분석 SDK가 연결돼 문서와 실제 흐름이 어긋나기 쉽다. 개인정보위도 생성형 AI 분야의 법적근거·보유기간 등 기재 미흡을 지적했다. 실제 시스템 데이터맵과 변경점검까지 제공하면 B2B 서비스 가설은 성립한다.
권고: “방침 생성기”가 아니라 코드·아키텍처·벤더 계약을 함께 보는 데이터 흐름 워크숍으로 판매한다. 기술 인터뷰 능력이 없으면 실행하지 않는다.
1. 범위·방법
[표본 조사] 한국의 AI SaaS·에듀테크·헬스 스타트업이 외부 LLM API 또는 자체 모델을 이용해 개인정보를 처리하는 상황을 대상으로 했다. 개인정보위 공식 안내·평가, 개인정보보호법 국외이전 조문, 데이터·AI 거버넌스 제품 2개를 검토했다. 침투시험, 법률의견, 개인정보 영향평가 대행, ISMS-P 인증은 제외한다.
미확인: 대상 기업 수, 국내 프로젝트 가격, 고객 획득비용, 경쟁사 계약수, 사고 감소효과. 공개자료만으로 시장규모나 수익률을 계산하지 않았다.
Exhibit 1 — 왜 데이터맵이 필요한가
| 증거 | 검증 사실 | 필요 산출물 | 한계 |
|---|---|---|---|
| PIPC 생성형 AI 안내서 | AI 개발·활용 전 과정과 CPO 중심 거버넌스를 제시한다. | 수집→저장→전송→학습/RAG→출력→삭제 흐름 | 안내서 자체는 무료 |
| 2025 처리방침 평가 | 7개 분야 50개 서비스 평균 71점. 생성형 AI는 적정성·가독성·접근성에서 상대적으로 미흡했고 법적근거·보유기간 기재 문제도 확인됐다. | 처리방침-시스템-벤더 계약 대조표 | 50개 표본이며 전 시장 대표 아님 |
| 국외이전 규정 | 국외 제공·처리위탁·보관은 법 제28조의8의 허용근거와 고지·공개 요건 검토가 필요하다. | 수탁자·국가·항목·목적·기간 레지스터 | 개별 사실관계별 법률검토 필요 |
| 상용 제품 | BigID·OneTrust는 AI 자산, 데이터 계보, 민감정보, 위험·승인·증빙을 제품화했다. | 작은 팀용 경량 인벤토리·변경로그 | 엔터프라이즈 기능과 직접 경쟁 금지 |
출처: PIPC 생성형 AI 개인정보 안내서 발표, PIPC 2025 평가 후속 간담회, 개인정보보호법 제28조의8.
2. 최소 상품과 구매자
제품 데이터맵 워크숍
- AI 기능·모델·데이터·벤더 인벤토리
- 프롬프트·로그·RAG·파인튜닝 흐름도
- 개인정보 항목·법적근거·보유기간·삭제
- 위탁·국외이전·접근권한 대조
- 처리방침 수정목록과 변경점검 체크리스트
제외할 상품
- 웹 설문만으로 자동 생성한 방침
- 법 위반 여부 포괄 보증
- 코드·클라우드 확인 없는 추정 데이터맵
- 실시간 DLP·DSPM 플랫폼 자체 개발
- 법무·보안·개발 책임을 모두 떠안는 대행
[해석] 첫 구매자는 개인정보책임자만이 아니다. CTO·제품책임자가 고객사 보안설문, 투자실사, 대기업 납품, 정책개정 때문에 자료를 빨리 맞춰야 할 때 예산이 생길 가능성이 높다.
Exhibit 2 — 유료검증과 경제성
| 단계 | 실험 | 통과 기준 | 중단 기준 |
|---|---|---|---|
| 리드 | 공개 방침과 제품기능으로 AI 앱 15곳 desk audit | 의사결정자 미팅 5건 | 미팅 2건 미만 |
| 첫 상품 | 1개 AI 기능 데이터맵 워크숍 150만~300만원 [실험가격] | 선결제 2건 | 결제 0건 |
| 납품시간 | 기술 인터뷰·다이어그램·대조표·수정백로그 | 24시간 이하 | 40시간 초과 |
| 경제성 | 직접노동+외부 법률검토+도구비 반영 | 공헌이익률 50%+ | 30% 미만 |
| 반복성 | 분기 변경점검 또는 신규 벤더·기능 추가 | 90일 내 재구매 1건 | 모두 일회성 |
가격은 공개 시장가격이 아니라 검증용 제안값이다. 법률검토가 필요하면 고객이 제휴 변호사와 별도 계약하거나 비용을 명시적으로 분리한다.
3. 방어력·리스크·최종 판정
- 방어력: 고객별 실제 데이터흐름과 변경이력이 쌓이면 재계약 장벽이 생긴다. 템플릿 자체는 쉽게 복제된다.
- 정확성: 개발팀 인터뷰만 믿지 말고 클라우드·SDK·모델사 설정과 표본 로그로 교차 확인해야 한다.
- 민감정보: 실제 개인정보 원문을 받지 않고 메타데이터·흐름·설정 증거 중심으로 작업한다.
- 플랫폼 경쟁: BigID·OneTrust가 필요한 규모의 고객은 파트너 구축 또는 도입지원으로 포지셔닝한다.
- 수익 반전: 고객이 처리방침 문구 수정만 원하거나 분기 변경점검을 사지 않으면 일회성 컨설팅으로 제한한다.
최종 판정: 세 후보 중 우선 인터뷰 권장, 확신도 중간. 문제와 산출물이 구체적이고 국내 공식 문제신호도 있다. 다만 실제 지불·반복매출은 선결제와 90일 재구매 전까지 미확인이다.