AI 보안 검토 질문지에 답할 때 — 데이터가 한국에 남는지, 정말 저장이 안 되는지

도입 · 보안 검토

"AI 쓰면 데이터가 다 미국 가잖아요"
— 꼭 그렇지는 않았습니다.

지역 목록에 한국이 있었습니다. 다만 그 기능도, "저장 안 함"도 개인 요금제에는 해당되지 않습니다. 오늘 공식 문서 세 편을 읽고 확인한 내용입니다.

회사에서 AI 도구를 쓰기 시작하면 언젠가 엑셀 한 장이 날아옵니다. 거래처 보안팀이나 우리 회사 정보보호 담당자가 보낸 검토 질문지입니다. 「보유 인증을 기재하시오」 「데이터 저장 위치를 기재하시오」 「입력 데이터 보존 기간을 기재하시오」 「하위 처리자 목록을 첨부하시오」.

답을 모르는 게 아니라 어느 문서에 적혀 있는지를 모르는 게 문제입니다. 그래서 오늘 그 문서들을 직접 열어봤습니다. 결과가 예상과 두 군데서 달랐습니다 — 하나는 생각보다 좋은 쪽이었고, 하나는 생각보다 조심해야 하는 쪽이었습니다.

📌 30초 요약

• 인증 네 가지가 문서에 명시돼 있습니다 — SOC 2 Type I & II, ISO 27001:2022, ISO/IEC 42001:2023, HIPAA 대응 구성(BAA 가능).
• 보고서 원본은 문서에 없습니다. "Trust Portal에서 요청하라"고만 안내되고, 저는 그 포털의 문서 목록을 읽지 못했습니다.
• 지역을 지정하는 기능이 있고, 그 목록에 한국이 있습니다. APAC 항목이 "Japan, South Korea, Singapore, India, and Australia"로 적혀 있습니다.
• 저장 위치와 처리 위치를 나눠서 봅니다. 원문 — "Regional endpoints guarantee that both data storage and model processing remain within your specified geographic region."
• "저장 안 함(제로 데이터 보존)"은 개인 요금제에 적용되지 않습니다. Free·Pro·Max는 적용 대상에서 빠져 있고, 승인과 조직 단위 설정이 필요합니다.
• 세 가지가 한 문장으로 모입니다 — 개인 계정으로 회사 일을 하면, 위의 어느 것도 해당되지 않습니다.

먼저, 무엇을 열었나

📂 2026년 8월 12일에 직접 읽은 문서

• 「What Certifications has Anthropic obtained?」 — 공식 개인정보 센터
• 「Regional Compliance」 — 공식 사이트의 지역별 준수 안내
• 「제로 데이터 보존 계약은 어떤 제품에 적용되나」 — 공식 개인정보 센터

⚠️ 열었지만 내용을 읽지 못한 것 / 없는 주소

• Trust Center 문서 목록 — 페이지는 응답했으나 제목만 나오고 목록이 스크립트로 그려져 무엇이 올라와 있는지 확인하지 못했습니다.
• trust.claude.com — 주소 자체가 없습니다. 다른 주소들이 claude.com으로 옮겨간 걸 보고 짐작해봤는데 아니었습니다.

그래서 보고서 안에 무엇이 적혀 있는지는 이 글이 모릅니다. 인증을 갖고 있다는 사실과, 그 문서를 요청하는 경로까지만 확인했습니다. 그리고 이건 한 회사 이야기입니다 — 다른 도구는 ⑦번 방법으로 직접 보세요.

① 질문지에 실제로 오는 네 칸

항목이 수십 개여도 AI 도구에만 해당하는 질문은 대개 이 넷으로 압축됩니다. 각 칸의 답이 어느 문서에 있는지를 먼저 적습니다.

질문지 칸	답이 있는 곳
보유 인증	인증 안내 문서 → 목록. 보고서 원본은 Trust Portal 요청
데이터 저장 위치	지역 준수 안내 → 지역 엔드포인트. 저장과 처리를 나눠 봐야 함
입력 데이터 보존	제로 데이터 보존 문서 → 요금제에 따라 다름
하위 처리자 목록	이번에도 확인하지 못했습니다(⑤번에서 설명)

② 인증 — 목록은 있고, 보고서는 요청해야 합니다

공식 문서에 적힌 네 가지입니다. 질문지에 그대로 옮겨 적을 수 있는 수준으로 정확히 표기돼 있습니다.

표기	무엇에 대한 것
SOC 2 Type I & Type II	보안·가용성·기밀성 통제의 운영 검증
ISO 27001:2022	정보보안 관리체계
ISO/IEC 42001:2023	AI 관리체계 — 정보보안과 별개인 AI 전용 표준
HIPAA 대응 구성	BAA 체결 가능 — 다만 일부 기능은 제외됩니다

🔑 42001을 따로 적으세요

질문지에 "ISO 27001 보유"만 적으면 절반만 답한 게 됩니다. 27001은 정보보안, 42001은 AI 관리체계로 다루는 영역이 다릅니다. 보안팀이 AI 도구를 따로 심사하는 이유가 바로 그 차이인데, 42001을 명시하면 그 질문 절반이 먼저 정리됩니다. 아직 이 번호를 모르는 검토자도 많아서, 표기해두면 설명이 짧아집니다.

다만 보고서 본문은 공개 문서에 없습니다. 안내 문장은 "For more information and to request copies of our compliance documentation, please visit our Trust Portal."입니다. 즉 포털에서 요청하는 절차가 한 단계 있습니다. 질문지에 "SOC 2 보고서 첨부"가 있다면, 그 요청에 며칠이 걸릴 수 있다고 일정에 잡아두세요. 저는 그 포털의 문서 목록을 읽지 못해서, 어떤 조건(비밀유지 서약 등)이 붙는지는 확인하지 못했습니다.

③ 데이터 위치 — 목록에 한국이 있습니다

가장 자주 막히는 칸입니다. 그리고 여기가 예상과 달랐던 쪽입니다. 지역 준수 안내 문서에 지역 엔드포인트가 있고, 아시아·태평양 항목이 이렇게 적혀 있습니다 — "Japan, South Korea, Singapore, India, and Australia". 유럽·미국이 있고, 캐나다는 "Coming 2026"으로 표기돼 있습니다.

그리고 이 문서가 두 가지를 구분합니다. 질문지에 답할 때 이 구분을 쓰면 정확해집니다.

구분	무엇의 위치인가
데이터 레지던시	프롬프트·출력·대화 기록이 저장되는 곳
추론 레지던시	요청을 처리하고 답을 만드는 곳

"Regional endpoints guarantee that both data storage and model processing remain within your specified geographic region."

저장과 처리 둘 다라고 적혀 있는 게 중요합니다. 검토자가 실제로 걸고넘어지는 지점이 대개 "저장은 국내인데 처리하려고 잠깐 나가는 건 아니냐"이기 때문입니다. 이 문장은 그 질문에 대한 답입니다.

✋ 제가 앞서 쓴 글을 여기서 보완합니다

며칠 전 개인정보를 넣기 전에 확인할 곳을 쓰면서, 개인정보처리방침에 미국 서버로 이전된다는 문장이 있고 한국 관련 설명은 읽은 범위에 없었다고 적었습니다. 그 관찰은 지금도 맞습니다. 다만 오늘 지역 목록에 한국이 있는 것을 확인했으니, 그때의 서술이 전부는 아니었습니다.

두 문서가 모순되는 게 아니라 대상이 다릅니다. 개인정보처리방침은 개인용 서비스의 기본값을 설명하고, 지역 엔드포인트는 별도로 설정하는 기능입니다. 그래서 결론은 하나입니다 — "이 회사는 한국에 남긴다/안 남긴다"가 아니라, "우리가 쓰는 경로가 무엇이냐"가 답을 정합니다.

④ "저장 안 함" — 개인 요금제는 대상이 아닙니다

여기가 조심해야 하는 쪽입니다. 제로 데이터 보존(ZDR)은 "입력과 출력을 저장하지 않는다"는 계약인데, 적용 범위가 문서에 명확히 나뉘어 있습니다.

적용됨	적용 안 됨
· 자격이 되는 API · 상용 고객의 API 플랫폼 · 상용 조직 키로 쓰는 Claude Code · Enterprise 요금제의 Claude Code	· Claude Free · Pro · Max · 개인 요금제 계정으로 쓰는 Claude Code · BAA 대상 일부 기능(예: 웹 검색)

그리고 조건이 셋 더 붙습니다. 회사의 승인이 필요하고, 조직 단위로 설정되며, ZDR 상태에서도 안전 분류기 결과는 보관된다고 적혀 있습니다. 즉 "아무것도 안 남는다"가 아니라 "입력과 출력을 남기지 않는다"입니다.

⚠️ 질문지에서 가장 자주 틀리는 답

「입력 데이터를 저장하지 않음」이라고 적어놓고 실제로는 직원들이 개인 Pro 계정으로 쓰고 있는 경우입니다. 문서 기준으로 그건 사실과 다른 답변이 됩니다. 나중에 문제가 생겼을 때 "몰랐다"보다 "질문지에 그렇게 적었다"가 훨씬 무겁습니다. 답을 적기 전에 우리가 실제로 어느 계정으로 쓰고 있는지부터 확인하세요.

⑤ 세 발견이 한 문장으로 모입니다

지역 엔드포인트도, 제로 데이터 보존도, 기업용 관리 기능도 전부 조직 계약과 조직 설정에 달려 있습니다. 그래서 결론이 하나로 모입니다.

개인 계정으로 회사 일을 하고 있다면, 이 글에 나온 어느 것도 우리에게 적용되지 않습니다.

보안 질문지를 채우기 전에 할 일이 사실 이것입니다. 문서를 찾는 게 아니라, 우리가 어느 경로로 쓰고 있는지를 먼저 세는 것. 규정을 만들어도 개인 계정 사용이 남는 이유와 그걸 설계로 푸는 방법은 사내 AI 규정이 안 지켜지는 이유에 정리해뒀습니다.

그리고 하위 처리자 목록은 이번에도 확인하지 못했습니다. 지난번에도 경로가 열리지 않았는데 오늘도 마찬가지였습니다. 이 항목은 수시로 바뀌는 값이라 남의 요약을 믿는 게 가장 위험합니다. 질문지에 이 칸이 있으면 벤더에 직접 요청하시고, 받은 문서의 날짜와 버전을 함께 보관하세요.

⑥ 답변서에 쓸 문장 네 개

1. 인증 칸

"SOC 2 Type I·II, ISO 27001:2022, ISO/IEC 42001:2023(AI 관리체계) 보유. 보고서 원본은 벤더 Trust Portal 요청 후 제출 예정(요청일 ○월 ○일)."

요청 중이라는 사실을 날짜와 함께 적는 것이 공란으로 두는 것보다 낫습니다.

2. 데이터 위치 칸

"지역 엔드포인트 사용 시 저장과 처리 모두 지정 지역 내로 유지됨(지원 지역에 대한민국 포함). 현재 우리 조직 설정값은 ○○."

뒤 문장이 핵심입니다. 기능이 있다는 것과 우리가 켜뒀다는 것은 다릅니다.

3. 보존 칸

"제로 데이터 보존은 상용 계약·조직 단위 승인이 전제이며 개인 요금제에는 적용되지 않음. 현재 우리 조직 적용 여부: ○○."

전제를 함께 적어두면, 나중에 사용 형태가 바뀌었을 때 답변서를 고쳐야 한다는 신호가 됩니다.

4. 하위 처리자 칸

"벤더 제공 목록으로 갈음. 수령 문서 기준일 ○월 ○일, 변경 시 재확인."

기준일 없는 목록은 시간이 지나면 틀린 문서가 됩니다. 날짜를 꼭 같이 적으세요.

⑦ 다른 도구는 이렇게 찾으세요

🔍 검색어 다섯 개

• trust center / trust portal — 인증 문서가 모여 있는 곳. 없으면 그 자체가 정보입니다
• 42001 — AI 관리체계 인증 여부. 27001만 있는 곳도 많습니다
• residency / region — 저장과 처리를 나눠 쓰는지까지 보세요
• zero data retention / retention — 그리고 적용 제외 목록을 꼭 이어 읽으세요
• subprocessor — 목록 페이지가 있는지, 있다면 갱신일이 적혀 있는지

그리고 어느 문서를 보든 "우리 요금제에 적용되는 문서가 이것이 맞습니까"를 벤더에 한 번 물어보세요. 오늘 확인한 것들만 봐도 소비자용과 상용의 조건이 완전히 다릅니다. 엉뚱한 문서를 근거로 답변서를 쓰는 게 가장 흔한 사고입니다.

🙏 이 글의 한계

• 인증 보고서의 내용을 읽지 못했습니다. 목록과 요청 경로까지만 확인했고, 보고서 범위·감사 기간·예외 사항은 이 글에 없습니다.
• Trust Center 문서 목록은 스크립트로 그려져 판독하지 못했습니다. 어떤 조건으로 받을 수 있는지 모릅니다.
• 하위 처리자 목록은 이번에도 확인하지 못했습니다. 추측해서 쓰지 않았습니다.
• 지역 엔드포인트의 가격·요금제 조건·신청 절차는 확인하지 않았습니다. "쓸 수 있다"는 것과 "우리 계약에 포함돼 있다"는 다릅니다.
• 한 회사의 문서입니다. 다른 AI 도구가 같다고 쓰지 않았습니다.
• 법률·컴플라이언스 자문이 아닙니다. 국내 법령상 국외 이전 요건 충족 여부에 대해서는 판단하지 않았습니다. 규제 업종이라면 감독 기준이 우선합니다.
• 2026년 8월 12일 기준이며 문서는 예고 없이 바뀝니다. 제휴·협찬 없습니다.

자주 묻는 것

Q. 한국 리전이 있으면 국외 이전 문제가 해결되나요?

그 판단은 하지 않겠습니다. 국내 법령상 요건을 충족하는지는 계약 형태·처리 목적·동의 방식에 따라 달라지고, 저는 법 조문을 인용할 위치가 아닙니다. 제가 확인한 건 공식 문서에 지원 지역으로 대한민국이 적혀 있고, 저장과 처리 모두 지정 지역 내로 유지된다고 쓰여 있다는 사실까지입니다. 그 사실은 검토 회의에서 논의를 시작할 근거는 되지만, 결론은 아닙니다.

Q. 인증만 확인하면 검토는 끝나나요?

인증은 벤더가 체계를 갖췄는지를 봅니다. 그런데 실무 사고는 대부분 우리 쪽 사용 방식에서 납니다 — 개인 계정 사용, 넣으면 안 될 자료 입력, 퇴사자 계정 방치처럼요. 벤더 심사와 별개로 우리 쪽 점검 항목을 같이 도세요. 인증서 네 줄보다 그쪽이 사고를 더 많이 막습니다.

Q. 답변서를 한 번 쓰면 계속 쓸 수 있나요?

권하지 않습니다. 이 글을 쓰는 동안에도 주소가 옮겨 가고(한 곳은 아예 사라졌고), 지역 목록에는 "2026년 예정" 항목이 있었습니다. 답변서에 작성 기준일을 박아두고, 계약 갱신이나 요금제 변경 때 다시 확인하는 게 맞습니다. 특히 요금제를 바꾸면 적용 문서 자체가 바뀝니다.

✨ 한 줄로

데이터가 반드시 미국으로 나가는 건 아니었습니다 — 지역 목록에 한국이 있습니다. 다만 그것도, "저장 안 함"도 조직 계약과 설정이 있어야 성립합니다. 그러니 질문지를 채우기 전에 우리가 어느 계정으로 쓰고 있는지부터 세어보세요.

🗺️ AI 도입, 순서대로 보기

전체 단계는 AI 도입 비용 전체 지도에 있습니다.

• 개인정보 넣기 전 확인할 6곳 — 이 글이 보완하는 앞 글
• 팀 AI 보안 체크리스트 — 우리 쪽 점검
• 사내 규정이 안 지켜지는 이유 — 개인 계정 사용을 설계로 푸는 법
• 계약, 서명 전에 볼 6개 조항 — 계약서 쪽

---

출처 및 확인 시점 — 2026년 8월 12일 확인.
✅ 직접 읽은 문서: Anthropic 개인정보 센터 「What Certifications has Anthropic obtained?」, claude.com 「Regional Compliance」, 개인정보 센터 「제로 데이터 보존 계약 적용 제품」.
⚠️ 열었으나 판독하지 못한 것: Trust Center 문서 목록(스크립트 렌더링으로 제목만 확인). trust.claude.com은 존재하지 않는 주소였습니다.
🚫 확인하지 못한 것: 하위 처리자 목록, 인증 보고서 본문(범위·감사 기간·예외), 지역 엔드포인트의 요금제 조건·신청 절차. 추측해서 쓰지 않았습니다.
영문 인용은 원문 표기 그대로이며 한국어 설명과 답변서 문안은 필자의 해석·초안입니다. 이 글은 법률·컴플라이언스 자문이 아니며, 국내 법령상 국외 이전 요건 충족 여부는 판단하지 않았습니다. 규제 업종은 감독 기준이 우선합니다. 문서와 지원 지역은 예고 없이 바뀌므로 답변서 제출 전 공식 문서를 직접 확인하시기 바랍니다. 어떤 제휴나 협찬 관계도 없습니다.