Key Takeaways
- DeepSeek API는 최고 위험: 서버가 중국 데이터 접근법(PIPL)의 적용을 받으며, 중국에 대한 EU 적정성 결정이 없고, ToS는 중국 당국과의 데이터 공유를 명시적으로 허용합니다
- Qwen 3 14B 및 Llama 4 Scout을 로컬로 실행하면 최저 위험: 제44조 이전 없음, SCC 불필요, 데이터가 자체 하드웨어에 보관됩니다
- Claude API 및 GPT-5.6 Luna는 중간 위험: 미국 관할권은 표준 계약 조항 + 이전 영향 평가를 필요로 하며, EU 데이터 거주지 옵션(Claude EU)이 위험을 줄여줍니다
- 권장 스택: 스타트업(Claude + SCC), 데이터 민감 조직(Qwen 24 GB 로컬), 기업(멀티 GPU Qwen + 에어갭)
- 리스크 결정 매트릭스는 데이터 거주지, 학습 데이터 관할권, ToS 데이터 보존, SCC 요건, 법적 판정의 5가지 벡터를 다룹니다
LLM의 4가지 GDPR 리스크 벡터
모든 LLM 배포가 동일한 GDPR 리스크를 가지는 것은 아닙니다. LLM 사용의 법적·운영적 위험은 네 가지 독립적인 요소에 의해 결정됩니다.
리스크 매트릭스: 모델별 비교
아래 표는 각 배포 옵션의 GDPR 리스크 프로필을 요약합니다. 점수가 높을수록 법적·운영적 위험이 높습니다.
| 배포 환경 | 데이터 거주지 | 학습 데이터 관할권 | ToS 보존 위험 | SCC / TIA 필요 여부 | 전체 위험 수준 |
|---|---|---|---|---|---|
| DeepSeek API | 중국(Alibaba Cloud) | 중국(PIPL) | 당국 공유 권한 명시적 유보 | 필요하나 효과 없음(EU-중국 적정성 결정 없음) | 🔴 최고 |
| Claude API (미국) | 미국(버지니아) | 미국 | Anthropic은 요청 시 삭제 약정; 기본 30일 보존 | SCC + TIA 필요 | 🟠 중상 |
| GPT-5.6 (미국) | 미국(다수 지역) | 미국 | OpenAI는 모델 개선 목적 보존 가능; 정책 불투명 | SCC + TIA 필요 | 🟠 중상 |
| Claude (EU 데이터 거주지) | EU(아일랜드 또는 독일) | 미국(Anthropic), 데이터는 EU에 보관 | Anthropic은 EU 전용 거주지 + GDPR 준수 약정 | EU 처리로 SCC 충분 | 🟡 중간 |
| Llama 4 Scout (로컬) | 자체 하드웨어(LAN) | 오픈소스, 상업적 보존 없음 | 로컬 로그를 통해 사용자가 보존 통제 | 없음 | 🟢 최저 |
| Qwen 3 14B (로컬) | 자체 하드웨어(LAN) | 오픈소스(Apache 2.0), 상업적 보존 없음 | 로컬 로그를 통해 사용자가 보존 통제 | 없음 | 🟢 최저 |
모델별 판정 및 권장 용도
이 섹션을 통해 GDPR 컴플라이언스 상황에 맞는 각 배포 방식을 파악하십시오.
조직 유형별 권장 스택
올바른 LLM 스택은 조직의 데이터 민감도, 예산, 규제 태세에 따라 달라집니다. 이 권장 사항을 조달 결정의 출발점으로 활용하십시오.
SCC를 사용하면 DeepSeek가 GDPR을 준수합니까?
아닙니다. SCC만으로는 중국 본토로의 GDPR 제44조 이전을 충족하지 못합니다. (1) Schrems II 이후 EU-중국 간 적정성 결정이 없고, (2) 중국법(PIPL)은 기업이 요청 시 국가 당국과 데이터를 공유하도록 의무화하며 SCC로 이를 재정의할 수 없고, (3) Anthropic, OpenAI 및 기타 주요 벤더들은 중국에서 SCC 집행을 제공하지 않으며 운영 자체를 거부합니다. EU 거주자의 개인정보에 대해서는 DeepSeek API를 사용하지 마십시오. DeepSeek가 필요하다면 로컬 가중치를 사용하십시오(`ollama run deepseek-coder:latest`를 자체 하드웨어에서 실행).
SCC를 갖춘 Claude EU가 GDPR을 충족합니까?
대부분 그렇습니다만, 몇 가지 주의사항이 있습니다. Claude EU는 처리 중 데이터를 아일랜드 또는 독일에 보관하고 30일 이내에 삭제합니다. Anthropic은 GDPR 준수 DPA와 SCC를 공개했습니다. 그러나 Claude 모델은 미국 기반 데이터로 학습되었고 Anthropic은 미국 기업이므로, 기술적으로는 모델 학습 및 벤더 관계 형태의 "이전"이 여전히 존재합니다. 실질적인 컴플라이언스 측면에서 Claude EU + SCC는 대부분의 조직에게 허용됩니다. 이전 위험이 전혀 없는 가장 강력한 태세를 원한다면 로컬 Qwen 또는 Llama를 사용하십시오.
Llama 4 Scout를 Claude의 대체재로 사용할 수 있습니까?
GDPR 컴플라이언스 측면에서: 그렇습니다. Llama 4 Scout는 오픈소스이며 로컬로 실행할 수 있으므로 제44조, 제25조, 제32조를 완전히 충족합니다. 기능 및 성능 측면에서: 경우에 따라 다릅니다. Llama 4 Scout는 Claude보다 소형(8 GB VRAM)이므로 로컬 실행이 빠르고 저렴하지만, 일부 벤치마크에서는 성능이 낮을 수 있습니다. 먼저 워크로드에서 테스트하십시오. 단순한 Q&A, 요약, 코드 작업의 경우 Llama 4 Scout는 경쟁력이 있습니다. 매우 복잡한 추론의 경우 Claude가 여전히 우수하지만, 로컬 Qwen 3 14B 또는 Llama 3.2 70B는 대부분의 기업 작업을 처리할 수 있습니다.
감사 목적으로 프롬프트를 로컬에 로깅하면 어떻게 됩니까?
로깅은 제30조 컴플라이언스를 위해 권장됩니다. 다음을 로깅하십시오: 모델 이름, 세션 타임스탬프, 입력 토큰 수, 출력 토큰 수, 프롬프트 및 응답의 SHA-256 해시. 개인정보가 포함된 프롬프트의 원문 텍스트는 로깅하지 마십시오. 해시 기반 로깅은 제5조 제1항 제e호(저장 제한)를 위반하지 않고도 제30조(처리 기록) 및 제32조(보안)를 충족합니다. 암호화된 접근 통제 시스템(예: 역할 기반 접근을 갖춘 로그 집계 서버)에 로그를 저장하십시오. DPA 표준에 따라 로그를 3년간 보존하십시오.
온프레미스 LLM 실행이 클라우드 API보다 비용이 많이 듭니까?
초기 비용: 그렇습니다. 하드웨어(RTX 4070 Ti) 비용은 약 $500–1000입니다. 월별 비용: 아닙니다. 온프레미스 전기 비용은 월 약 $5–10입니다. 클라우드 API는 1K 토큰당 $0.001–0.01이며, 대량 사용(월 >1M 토큰)의 경우 $100를 초과합니다. 손익분기점은 일반적으로 중간-대량 사용의 경우 6–12개월입니다. 월 <100K 토큰을 실행하는 경우 클라우드 API가 더 저렴합니다. 월 >1M 토큰을 실행하는 경우 온프레미스가 더 저렴합니다. GDPR 컴플라이언스는 추가적인 비즈니스 케이스입니다: 온프레미스는 SCC/TIA 법적 비용이 없습니다.