GDPR와 AI 회의 요약: 어떤 엔드포인트를 써야 할까

Autorec의 텍스트 변환은 내 컴퓨터에서 실행됩니다. 밖으로 나갈 수 있는 단계는 AI 요약 하나뿐입니다. 요약을 켜면 전사본이 내가 고른 LLM 제공자에게 가고, 그 순간부터 그 제공자는 회의에 담긴 개인정보를 처리하는 수탁자(processor)가 됩니다.

이 글은 그 제공자를 고르는 방법을 다룹니다. 법률 자문은 아닙니다. 어떤 법적 근거로 어디까지 위험을 감수할지는 개인정보 보호 책임자나 법률 자문이 정할 일입니다. 아래 제공자 관련 사실은 2026년 10월에 각 회사 문서에서 확인한 내용입니다. 정책은 바뀌니, 표의 어떤 행에 기대기 전에 링크된 페이지를 직접 확인하세요. 이 글은 GDPR을 기준으로 썼습니다. 한국의 개인정보 보호법(PIPA)을 적용받는 조직이라면 같은 질문을 그 기준으로 다시 점검해 보세요.

Autorec이 실제로 보내는 것

Autorec의 AI 요약은 설정 → AI 요약에서 제공자를 추가하기 전까지 꺼져 있습니다. 요약이 실행되면 HTTPS 요청 하나가 내 컴퓨터에서 내가 설정한 API 기본 URL로 곧장 갑니다. 중간에 Autorec 서버는 없습니다.

요청 본문에는 다음이 들어갑니다.

• 시스템 메시지로 들어가는 요약 프롬프트
• 사용자 메시지로 들어가는 전사본 텍스트
• 모델 이름과 최대 요약 길이

Extra request fields (JSON)에 직접 추가한 필드, 예를 들어 제공자 라우팅 옵션도 함께 갑니다. 이건 설정값이지 회의에 관한 데이터가 아닙니다. 그 밖에는 아무것도 나가지 않습니다. 오디오, 비디오, 스크린숏, 파일 이름, 참석자 목록은 보내지 않습니다. 전사본은 통째로 보내므로 회의가 길면 텍스트도 많습니다.

돌아온 제목과 요약은 디스크의 녹화 파일 옆에 저장됩니다. API 키는 Autorec의 로컬 설정에 저장되며, 로컬 서버라면 없어도 됩니다.

목소리와 얼굴이 담긴 오디오와 비디오는 컴퓨터를 떠나지 않습니다. 텍스트는 떠나고, 누군가 이름이나 건강 정보, 연봉을 소리 내어 말했다면 텍스트도 개인정보입니다. 글자뿐이라고 해서 전사본이 익명이 되지는 않습니다.

녹화 쪽, 즉 법적 근거, 동의, 보관 기간은 GDPR과 HIPAA 글에서 다룹니다. 거기 적힌 내용은 여전히 모두 유효합니다. 이 글은 여기에 업체 선택 단계를 더합니다.

제공자를 고르기 전에 확인할 것

대부분은 네 가지 질문으로 정해집니다.

데이터는 어디서 처리되나? EU라는 말이 마법은 아니지만, 국외 이전 문제는 대부분 사라집니다. 미국에서 처리된다면 이전 메커니즘과 이전 영향 평가가 필요합니다.

데이터 처리 계약(DPA)이 있나? 제공자가 나를 대신해 개인정보를 처리한다면 GDPR 제28조에 따라 계약이 필요합니다. 영업 담당자와 통화하지 않고도 계약을 체결할 수 있는지 확인하세요.

콘텐츠는 얼마나 보관되나? API 제공자 상당수는 학습에 쓰지 않더라도 남용 감시를 위해 프롬프트를 잠깐 보관합니다. “제로 리텐션(Zero Data Retention)“은 보통 기본값이 아니라 따로 요청하는 계약입니다.

콘텐츠가 학습에 쓰이나? 주요 업체의 API 트래픽은 이제 기본적으로 학습에 쓰이지 않는 경우가 많지만, 모두 같지는 않고 무료 등급과 유료 등급이 다를 수도 있습니다.

EU 호스팅 제공자

Mistral

Mistral은 Autorec 제공자 목록의 첫 번째 EU 옵션입니다(제공자 → Mistral, 기본 URL https://api.mistral.ai/v1, 기본 모델 mistral-small-latest).

• 지역: Mistral 도움말 센터에 따르면 데이터는 기본적으로 EU에서 호스팅되고, 미국 API 엔드포인트를 명시적으로 쓸 때만 미국에서 처리됩니다. Mistral은 Trust Center에 하위 수탁자 목록도 공개하는데, 일부는 EU 밖에 있습니다.
• DPA: Mistral은 상업 약관에 딸린 Data Processing Addendum을 공개합니다.
• 학습: 이 항목은 꼼꼼히 읽어야 합니다. Mistral 도움말 센터는 종량제(pay-as-you-go)에서는 언제든 학습 제외를 선택할 권리가 있다고 설명하고, 그 스위치 위치도 알려 줍니다. Mistral Studio의 Privacy → Anonymous improvement data입니다. 무료 Studio 모드에서는 Mistral이 데이터를 모델 학습에 쓸 수 있다고 명시합니다. 소비자용 채팅 제품과 API는 토글이 따로 있습니다. 그러니 짐작하지 말고, Autorec에 넣을 키를 발급한 계정의 Privacy 페이지를 직접 열어 확인하세요.
• 보관: Mistral은 유료 플랜에서 chat completions를 포함해 지원되는 API 호출에 Zero Data Retention 옵션을 제공합니다. 지원팀을 통해 요청하며, Mistral이 승인하거나 거절할 수 있습니다. 제가 확인할 수 있었던 Mistral 도움말 페이지에는 API 콘텐츠의 기본 보관 기간이 나와 있지 않아서 숫자를 적지 않겠습니다. 직접 문의하거나 DPA를 읽어 보세요.

Scaleway

Scaleway의 Generative APIs는 파리에서 호스팅되며, chat completions 엔드포인트를 포함해 OpenAI 호환을 내세웁니다. Autorec에는 프리셋이 없으니 Custom…을 고르고 Scaleway 콘솔에 나오는 기본 URL을 입력하세요.

Scaleway의 데이터 프라이버시 페이지에 따르면, Scaleway는 프롬프트나 출력을 수집, 열람, 재사용, 분석하지 않으며 모델 학습에도 쓰지 않습니다. 예외는 오남용이나 장애 조사로, 이때는 데이터가 최대 2주간 저장될 수 있습니다. 이 페이지는 Scaleway를 수탁자로 명시하고, 계약상 내용은 개인정보 처리방침과 AI 서비스 약관을 참조하라고 안내합니다.

IONOS

IONOS AI Model Hub는 OpenAI 호환 엔드포인트를 제공하며, 모든 처리가 독일(베를린) 데이터센터에서 이뤄지고 고객 데이터는 절대 모델 학습에 쓰이지 않는다고 설명합니다. 보관 기간은 찾지 못했으니, 회의 내용을 넣기 전에 문의하세요. 여기서도 Custom…을 쓰면 됩니다.

그 밖의 제공자

OVHcloud AI Endpoints와 Aleph Alpha도 유럽 업체입니다. 이 글을 쓰는 동안 1차 자료에서 현재 약관과 API 호환 여부를 확인하지 못해 표에는 넣지 않았습니다.

미국 제공자

OpenAI와 Anthropic은 둘 다 Autorec에 프리셋이 있습니다. API 기본값은 사람들이 생각하는 것보다 낫습니다. 남는 문제는 학습이 아니라 미국으로의 이전입니다.

• OpenAI: 문서에 따르면 API 데이터는 직접 동의하지 않는 한 모델 학습에 쓰이지 않고, 남용 감시 로그는 기본적으로 최대 30일간 보관됩니다. Zero Data Retention은 사전 승인이 필요합니다. EU 데이터 상주(eu.api.openai.com 접두사)는 프로젝트 설정으로 켤 수 있지만 Zero Data Retention이나 수정된 남용 감시 같은 조건이 붙고, 모든 모델이 지원되지는 않습니다.
• Anthropic: 개인정보 센터에 따르면 API 사용자의 입력과 출력은 30일 이내에 백엔드에서 삭제되고, 상업용 제품의 입력과 출력은 기본적으로 학습에 쓰이지 않습니다. 표준계약조항(SCC)이 포함된 DPA는 Commercial Terms에 자동으로 편입됩니다. EU 전용 처리 옵션은 확인하지 못했으니, 있다고 말하지 않겠습니다.

한눈에 보기

제공자	처리 지역	보관	학습	DPA
Mistral	기본 EU, 미국 엔드포인트는 선택 시	유료 플랜은 요청 시 ZDR, 기본 기간은 확인한 페이지에 없음	Studio에서 제외 토글, 무료 등급은 사용될 수 있음	부속 계약 공개
Scaleway	프랑스 파리	프롬프트 저장 안 함, 장애 조사 시 최대 2주	사용 안 함	개인정보 처리방침과 AI 약관의 수탁자 조항
IONOS	독일(베를린)	명시 없음	사용 안 함(IONOS 설명)	확인 안 함
OpenAI	미국, 조건부로 EU 상주 선택 가능	최대 30일(남용 감시 로그), 승인 시 ZDR	동의하지 않으면 사용 안 함	확인 안 함
Anthropic	EU 전용 명시 없음	30일 이내 삭제	기본적으로 사용 안 함	Commercial Terms에 편입

“확인 안 함”은 제가 읽어 보지 않았다는 뜻이지, 없다는 뜻이 아닙니다.

게이트웨이를 끼우면 당사자가 늘어난다

모델 앞에 OpenRouter 같은 aggregator를 두면, 모델을 실제로 돌리는 회사에 더해 aggregator도 수탁자가 됩니다. 이걸 제한할 수는 있습니다. OpenRouter의 제로 리텐션 플래그 같은 요청 단위 옵션도 그중 하나로, Extra request fields (JSON)에 넣으면 됩니다. 설정 방법은 OpenRouter 프라이버시 글에서 하나씩 다룹니다. 문서 기록을 깔끔하게 남기는 게 목표라면, 라우팅 계층보다 EU 제공자 한 곳과 직접 맺은 계약 하나가 정리하기 훨씬 쉽습니다.

로컬이 더 나은 답일 때

EU 엔드포인트는 위험을 줄입니다. 내 컴퓨터에서 도는 모델은 수탁자 자체를 없앱니다. 업체도, DPA도, 국외 이전도, 보관 기간 문제도 없습니다. 건강 정보, 변호사-의뢰인 비밀, 인사 사안, 엄격한 고객 NDA가 걸린 회의라면, 이쪽이 설명하고 방어하기 더 쉬운 결정인 경우가 많습니다.

대가는 하드웨어와 품질입니다. 노트북의 작은 모델은 호스팅된 대형 모델보다 거친 요약을 쓰고, 긴 전사본은 느립니다. Autorec을 Ollama나 LM Studio에 연결하는 방법은 로컬 LLM 가이드에 있습니다.

합리적인 분담은 이렇습니다.

• 일상적인 내부 회의: 학습을 끄고 DPA를 체결한 EU 호스팅 엔드포인트
• 민감한 회의: 로컬 모델, 또는 요약 없이 전사본만

제공자는 설정에서 언제든 바꿀 수 있고 요약은 녹화마다 따로 생성되므로, 전부 아니면 전무일 필요는 없습니다.

짧은 체크리스트

1. 제공자를 고르고, 실제로 키를 쓸 계정에서 DPA를 체결합니다.
2. 학습 설정은 일반론이 아니라 그 계정에서 확인합니다.
3. 제공자가 Zero Data Retention을 제공하고 위험 수준상 필요하다면 요청합니다.
4. 참석자에게 AI 제공자가 전사본을 처리한다고 알립니다. 녹화 고지에 수탁자의 종류를 적어야 합니다.
5. 처리 활동 기록에 해당 제공자를 적습니다.
6. 먼저 검토하고 싶은 회의라면 텍스트 변환 후 자동 요약을 꺼 둡니다.

Autorec은 오디오를 내 컴퓨터에 두고, 어떤 텍스트가 밖으로 나가는지 정확히 보여 줍니다. 계약과 정책은 직접 챙기셔야 합니다. 녹화 쪽은 GDPR과 HIPAA 가이드를, 회의 봇을 쓰지 않는 이유는 봇 없는 녹화기 글을 참고하세요.

출처

2026년 10월 확인:

• Mistral: 데이터 저장 위치, 학습 제외, Zero Data Retention, 법률 센터
• Scaleway: Generative APIs 데이터 프라이버시
• IONOS: AI Model Hub 개요
• OpenAI: Data controls
• Anthropic: 데이터 보관, 학습, DPA