AI 저작권 소송을 회사가 방어해준다는 조항 — 다른 회사엔 있었습니다

보안 검토 · 비교

저작권 소송을 대신 방어하고
배상액까지 내겠다 — 조건이 붙습니다.

같은 네 칸을 세 번째 회사에 던졌더니 앞선 두 곳과 또 달랐습니다. 그래서 결론이 더 분명해졌습니다.

앞서 저작권 방어 조항을 다루면서 이렇게 적었습니다 — 그 조항은 상용 약관에만 있고 개인 요금제 약관에는 없었다고요. 그리고 보안 검토 네 칸을 만들면서 "다른 도구는 이 방법으로 직접 보세요"라고 했습니다.

그래서 두 번째 회사에 이어 세 번째 회사에도 같은 네 칸을 던졌습니다. 사무용 협업 도구에 붙은 AI라 국내 기업이 가장 많이 쓰는 쪽입니다. 그리고 앞선 두 곳에는 없던 문장을 찾았습니다.

📌 30초 요약

• 저작권 소송을 방어하고 배상액까지 부담하겠다는 문장이 있습니다 — 상업 고객 대상.
• 단, 조건이 붙습니다 — "as long as the customer used the guardrails and content filters we have built into our products."
• 학습은 명확히 부정합니다 — "Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs."
• 사람 검토는 아예 빼버렸습니다 — "Microsoft 365 Copilot services have opted out of it."
• 데이터 경계에는 예외가 있습니다 — 하위 처리자에 따라 EU 경계에서 제외되는 모델이 있습니다.
• EU 밖 고객은 처리 지역이 열려 있습니다 — "Customers outside the EU may have their queries processed in the US, EU, or other regions."

먼저, 무엇을 열었나

📂 오늘(8/12) 직접 읽은 문서

• Microsoft 365 Copilot 데이터·개인정보·보안 문서(learn.microsoft.com) — 문서에 표기된 갱신일 2026-07-09

⚠️ 미리 밝히는 한계

• 이 문서가 가리키는 하위 문서들은 열지 않았습니다(하위 처리자 상세, 데이터 레지던시 약정, 보존 정책 설정 등). 그 내용은 인용하지 않았습니다.
• 세 회사의 우열을 가리지 않습니다. 문서 구조가 서로 달라 같은 잣대로 점수를 매길 수 없습니다.
• 계약서가 공개 문서에 우선합니다. 실제 조건은 조직 계약을 봐야 합니다.

이 글의 목적은 순위가 아니라 "같은 질문을 던지면 답이 얼마나 다른가"를 보이는 것입니다.

① 저작권 방어 약속 — 그리고 붙어 있는 조건

앞선 글에서 개인 요금제에는 회사가 나를 방어하는 조항이 없었다고 확인했습니다. 이 회사 문서에는 있었습니다.

"If a third party sues a commercial customer for copyright infringement for using Microsoft's Copilots or the output they generate, we'll defend the customer and pay the amount of any adverse judgments or settlements that result from the lawsuit, as long as the customer used the guardrails and content filters we have built into our products."

방어에 더해 판결·합의 금액까지 부담하겠다는 문장입니다. 앞선 두 회사 문서에서 이만큼 명시적인 표현은 보지 못했습니다. 다만 단서를 반드시 같이 읽어야 합니다.

단서	뜻
commercial customer	상업 고객 대상입니다. 개인용에도 같은 약속이 있는지는 이 문서에 없습니다
guardrails and content filters	제품에 내장된 가드레일과 필터를 쓴 경우에 한합니다 — 끄거나 우회했다면 이야기가 달라집니다
copyright infringement	저작권 침해 주장에 대한 것입니다. 다른 유형의 분쟁은 이 문장이 다루지 않습니다

🔑 두 번째 단서가 실무에서 제일 큽니다

"내장 가드레일과 필터를 사용했을 것"이 조건이라면, 그걸 끄거나 우회하는 설정을 했을 때 방어가 유지되는지가 쟁점이 됩니다. 문서는 그 경계선을 자세히 정의하지 않습니다.

그러니 이 항목을 보안 검토서에 적으실 때는 "저작권 방어 약속 있음"이 아니라 "가드레일·필터 사용을 전제로 한 저작권 방어 약속 있음"으로 적으세요. 한 구절 차이인데 나중에 의미가 완전히 달라집니다. 계약서 쪽에서 볼 조항은 여기에 정리했습니다.

② 학습과 사람 검토 — 둘 다 명확했습니다

"Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs, including those used by Microsoft 365 Copilot."

"While abuse monitoring, which includes human review of content, is available in Azure OpenAI, Microsoft 365 Copilot services have opted out of it."

둘째 문장이 특히 눈에 띕니다. 사람이 내용을 볼 수 있는 기능이 플랫폼에 있지만, 이 서비스는 그걸 쓰지 않기로 했다는 서술입니다. "안 한다"가 아니라 "옵트아웃했다"고 적은 게 정확한 표현입니다.

다만 피드백은 별개입니다. 문서는 고객 피드백을 서비스 개선에 쓸 수 있다고 하면서, 기반 모델 학습에는 쓰지 않는다고 구분해 적습니다. 그리고 관리자가 피드백 기능을 통제할 수 있다고 안내합니다. 앞서 다른 회사에서 본 학습 설정 토글과는 다른 방식입니다 — 개인이 끄는 게 아니라 관리자가 관리하는 구조입니다.

③ 데이터 위치 — 경계가 있고, 예외도 있습니다

이 항목이 가장 조심스럽게 읽어야 하는 부분이었습니다. EU 데이터 경계가 있는데, 두 가지 단서가 붙습니다.

구분	문서에 적힌 것
EU 사용자	EU 트래픽은 EU 데이터 경계 안에 머무릅니다
EU 밖 고객	"may have their queries processed in the US, EU, or other regions."
하위 처리자 예외	특정 하위 처리자의 모델은 EU 데이터 경계에서 제외됩니다

🇰🇷 국내 기업에 직접 걸리는 두 줄

한국은 EU가 아닙니다. 그러니 둘째 줄이 우리 이야기입니다 — 처리 지역이 미국·EU·기타로 열려 있습니다. 앞서 다른 회사에서 지원 지역 목록에 한국이 있는 것을 확인했는데, 여기는 그런 방식이 아닙니다.

셋째 줄도 중요합니다. 경계 안에 있다고 해도 어떤 모델을 쓰느냐에 따라 예외가 생깁니다. 즉 "이 서비스는 경계를 지킨다"로 끝나지 않고 "어느 모델을 켜뒀는가"까지 봐야 합니다. 문서도 관리자가 어떤 모델을 쓸지 선택할 수 있다고 안내합니다.

다만 제가 확인한 건 여기까지입니다. 데이터 레지던시 약정과 하위 처리자 상세 문서는 이 문서가 링크로만 가리켰고 저는 열지 않았습니다. 국내 기업의 실제 처리 지역이 어떻게 되는지는 그 문서들과 조직 계약을 봐야 합니다.

④ 소유권 — 여기도 "판단하지 않는다"였습니다

"Microsoft doesn't claim ownership of the output of the service. That said, we don't make a determination on whether a customer's output is copyright protected or enforceable against other users."

앞서 다른 회사 약관에서 본 "if any(있다면)"와 같은 구조입니다(그때 기록). 표현은 다른데 말하는 바가 같습니다 — 우리는 안 가져간다. 다만 당신 것이 된다고 보증하지는 않는다.

이유도 적혀 있습니다. 비슷한 프롬프트에 비슷한 응답이 나올 수 있어서 여러 고객이 같은 내용에 권리를 주장할 수 있다는 것입니다. 두 회사가 서로 다른 문서에서 같은 결론에 도달했다는 건, 이게 회사 정책이 아니라 기술의 성질에서 오는 문제라는 뜻으로 읽힙니다.

⑤ 세 회사, 네 칸

칸	A사	B사	C사 (오늘)
인증	SOC2·ISO27001/27017/27018·CSA STAR	SOC2·ISO27001·42001·HIPAA	GDPR·ISO27001·HIPAA·42001
데이터 위치	조직 경계 중심	지역 엔드포인트 (한국 포함)	EU 경계 EU 밖은 지역 열림
보존	제품별 숫자 (관리자 결정)	숫자 없음 + 제로 보존 계약	저장됨 + 보존 정책 도구로 관리
저작권 방어	이번에 확인 안 함	상용 약관에 있음 개인엔 없음·제외 6개	상업 고객 방어 + 배상 가드레일 사용 전제

표를 세 번 채우고 나니 "어느 회사가 낫다"는 질문이 성립하지 않는다는 게 더 분명해졌습니다. 한 곳은 데이터 위치를 지역으로 풀고, 한 곳은 보존을 계약으로 풀고, 한 곳은 저작권을 방어 약속으로 풉니다. 강점이 서로 다른 칸에 있습니다.

⑥ 세 번 해보고 굳어진 것

1. 회사 이름으로는 아무것도 안 정해집니다

세 곳 모두 같은 칸에서 다른 방식으로 답했습니다. "○○는 안전한가요?"는 답이 없는 질문이고, "우리가 쓰는 그 제품·그 요금제의 문서가 무엇입니까?"가 답이 있는 질문입니다.

2. 좋은 조항일수록 단서를 찾으세요

오늘 찾은 방어 약속은 세 곳 중 가장 강한 문장이었는데, 바로 그 문장에 조건절이 붙어 있었습니다. 매력적인 조항을 만나면 그 문단을 끝까지 읽으세요 — 단서는 늘 같은 문장 안에 있습니다.

3. 경계에는 예외가 붙습니다

"데이터가 어디 머무는가"는 서비스 단위가 아니라 어떤 모델·어떤 하위 처리자를 켜뒀는가까지 내려가야 답이 나옵니다. 오늘 확인한 하위 처리자 예외가 그 사례입니다.

그리고 어느 회사든 공식 문서에서 숫자를 찾다 보면 결국 계정 화면으로 안내받게 됩니다. 그 패턴은 따로 정리해뒀습니다.

🙏 이 글의 한계

• 세 회사의 우열을 판정하지 않았습니다. 문서 구조가 달라 같은 잣대가 성립하지 않습니다.
• 이 문서가 링크로 가리킨 하위 문서들을 열지 않았습니다(하위 처리자 상세, 데이터 레지던시 약정, 보존 정책 설정). 그 내용은 인용하지 않았습니다.
• "가드레일·필터를 껐을 때 방어가 유지되는가"는 확인하지 못했습니다. 문서가 경계선을 정의하지 않습니다.
• A사 칸의 저작권 방어는 이번에 확인하지 않았습니다. "없다"가 아니라 "안 봤다"입니다.
• 법률·컴플라이언스 자문이 아닙니다. 국내 법령상 국외 이전 요건 충족 여부는 판단하지 않았습니다.
• 2026년 8월 12일 확인. 문서 표기 갱신일은 2026-07-09입니다. 제휴·협찬 없습니다.

자주 묻는 것

Q. 저작권 방어 약속이 있으면 그쪽을 쓰는 게 낫나요?

그 한 칸만 보면 그렇습니다. 그런데 도구는 네 칸 전부로 고릅니다. 데이터가 국내에 남는 게 더 중요한 조직이라면 다른 칸이 우선이고, 그 칸에서는 순위가 뒤집힙니다. 그래서 순서를 권합니다 — ①우리 조직에서 못 물러설 칸이 무엇인지 먼저 정하고 ②그 칸부터 비교하세요. 네 칸을 동시에 놓고 보면 결론이 안 납니다.

Q. 이미 M365를 쓰는데 그냥 붙이면 되나요?

권한 정리가 먼저입니다. 문서가 분명히 적습니다 — 사용자가 최소 보기 권한이 있는 데이터만 노출되고, 그래서 기존 권한 모델을 제대로 쓰고 있어야 한다고요. 즉 지금 공유 설정이 느슨하면 AI가 그걸 그대로 드러냅니다. 붙이기 전에 사내 공유 범위를 한 번 훑는 게 순서입니다. 우리 쪽에서 볼 항목은 여기에 있습니다.

✨ 한 줄로

세 번 던져보니 강점이 서로 다른 칸에 있었습니다. 그러니 우리가 못 물러설 칸부터 정하고 그 칸으로 비교하세요. 그리고 좋아 보이는 조항일수록 같은 문장 안의 조건절을 끝까지 읽으세요.

🗺️ AI 도입, 순서대로 보기

전체 단계는 AI 도입 비용 전체 지도에 있습니다.

• 보안 검토 질문지 네 칸 — 이 글이 쓴 프레임의 원본
• 데이터 정책은 제품마다 다릅니다 — 두 번째 적용
• 방어 조항이 개인 요금제엔 없습니다 — 오늘 발견과 짝
• AI 결과물의 소유권과 표기 의무 — "있다면" 구조

---

출처 및 확인 시점 — 2026년 8월 12일 확인.
✅ 오늘 직접 읽은 문서: Microsoft Learn 「Data, Privacy, and Security for Microsoft 365 Copilot」(문서 표기 갱신일 2026-07-09).
📎 앞선 글에서 확인한 값 재사용: A사·B사 항목은 링크된 글에서 확인한 값이며, 각 원문과 확인 경위는 해당 글에 있습니다.
⚠️ 확인하지 못한 것: 이 문서가 링크로 가리킨 하위 문서들(하위 처리자 상세, 데이터 레지던시 약정, 보존 정책 설정), 가드레일·필터를 끈 경우의 방어 유지 여부, A사의 저작권 방어 조항. 추측해서 쓰지 않았고, "없다"와 "안 봤다"를 구분해 적었습니다.
회사명을 A·B·C로 적은 것은 우열 비교로 읽히지 않게 하기 위해서입니다. 영문 인용은 원문 표기 그대로이고 한국어 설명은 필자의 해석입니다. 이 글은 법률·컴플라이언스 자문이 아니며, 국내 법령상 요건 충족 여부는 판단하지 않았습니다. 문서와 제품 구성은 예고 없이 바뀌고 조직 계약이 공개 문서에 우선하므로, 실제 검토 전 공식 문서와 계약서를 직접 확인하세요. 어떤 제휴나 협찬 관계도 없습니다.