제로 데이터 보존이란?

다루는 범위

제로 데이터 보존은 흔히 ZDR로 줄여 부르며 법적 범주가 아니라 제품 설정입니다. 어떤 법령이나 규제 기관도 이를 정의하지 않습니다. 이를 제공하는 벤더는 이용 약관이나 설정에서, 요청이 담고 온 데이터를 응답을 돌려준 뒤에는 보관하지 않겠다고 약속합니다. 음성 서비스에서는 오디오, 전사, 또는 둘 다를 뜻합니다. LLM 서비스에서는 프롬프트와 출력을 뜻합니다.

이 표현은 여러 선택을 가리고 있으며 두 벤더가 서로 다른 것에 같은 표현을 쓸 수 있습니다. 오디오만 포함하는가, 텍스트도 포함하는가? 모든 엔드포인트에 적용되는가, 일부에만 적용되는가? 타임스탬프, 소요 시간, 요청 식별자 같은 메타데이터는 보관되는가? 오류 추적 기록, 캐시, 남용 모니터링, 백업은 어떤가? 이 중 일부만 포함하는 설정도 일부 벤더는 제로 보존이라고 부르므로 기준이 되는 것은 계약입니다.

요구 사항

법에는 이를 요구하는 것도, 이에 지위를 부여하는 것도 없습니다. 이는 이미 존재하는 의무를 이행하는 한 방법입니다. 예를 들어 GDPR 제5조(1)(e)의 보관 기간 제한 원칙은 개인 데이터를 필요한 기간을 넘어 식별 가능한 형태로 보관해서는 안 된다고 말합니다. 아무것도 보관하지 않으면 그 벤더의 단계에서는 이를 입증하기 쉬워집니다. 애초에 데이터를 처리할 적법 근거를 주는 것은 아니고 다른 의무를 없애는 것도 아닙니다.

벤더가 HIPAA상 비즈니스 어소시에이트인지도 결정하지 않습니다. HHS의 클라우드 컴퓨팅 지침은 전자 PHI를 보유하는 클라우드 제공업체를 데이터를 볼 수 없더라도 비즈니스 어소시에이트로 취급하며, 단순 전달자(conduit) 예외를 정보를 일시적으로만 저장하는 전송 서비스로 한정된 것으로 설명합니다. 아무것도 보관하지 않는 처리 서비스가 그 선의 안쪽인지 바깥쪽인지는 법무 담당자에게 물을 질문입니다. HIPAA와 GDPR을 참고하세요.

음성 에이전트에 주는 의미

한 벤더에서의 제로 보존은 연쇄의 한 고리입니다. 음성 에이전트의 통화는 통신사, 음성 인식 서비스, LLM, 음성 합성 서비스, 자체 플랫폼, 분석에 닿을 수 있습니다. 한 제공업체가 아무것도 보관하지 않아도 다른 곳은 여전히 오디오, 전사, 로그를 보관할 수 있고 여러분도 그럴 수 있습니다.

원할 수도 있는 것을 포기하는 일이기도 합니다. 저장된 오디오나 전사가 없으면 잘못된 통화의 디버깅, 품질 검토, 분쟁 해결, 학습 데이터 확보가 더 어려워지고, 일부 규칙은 다른 곳에 기록을 보관하라고 요구할 수 있습니다. 데이터 종류별로 기간을 정하는 방법은 데이터 보존, 애초에 녹음이 허용되는 경우는 통화 녹음 동의를 참고하세요.

SOC 2 보고서는 벤더가 보유한 데이터에 대한 접근을 어떻게 통제하는지 보여 줄 수 있지만 아무것도 보유하지 않는다는 증거는 아닙니다. 보존 조건은 서면으로 요청하세요. 데이터를 자체 인프라 안에 두는 배포 선택지는 온프레미스 음성 AI 가이드가 다룹니다.

법무 담당자에게 물어볼 질문

1. 이 벤더가 정확히 무엇을 저장하지 않으며, 어떤 엔드포인트, 플랜, 리전에 적용되는가?
2. 어떤 메타데이터, 로그, 캐시, 백업이 남으며 얼마나 오래 남는가?
3. 이 설정은 어떻게 켜고 검증하는가? 계정 단위인가, 요청 단위인가?
4. 아무것도 보관하지 않는 벤더와도 비즈니스 어소시에이트 계약이나 데이터 처리 계약이 필요한가?
5. 업종 규정과 있을 수 있는 분쟁을 고려할 때 우리가 직접 보관해야 하는 기록은 무엇인가?

관련 용어

• 데이터 보존
• SOC 2
• HIPAA
• GDPR

가이드

• 온프레미스 음성 AI의 개념과 작동 방식

출처

• HHS Office for Civil Rights, Guidance on HIPAA and cloud computing (context on stored and transient data)
• Regulation (EU) 2016/679 (GDPR), Article 5(1)(e), storage limitation (context, not a definition of the term)