데이터 보호, 직업상 비밀유지와 클라우드

인공지능은 데이터에 의존한다. 바젤의 금융기관이 보유한 데이터 가운데 상당 부분은 법의 보호를 받는다. 2023년 9월 1일부터 시행된 개정 「연방 데이터보호법」(FADP)은 사인과 연방 기관의 개인정보 처리에 적용된다. 이 법은 기술 중립적이므로 AI 시스템을 명시하지 않고도 이를 포괄한다. 연방 데이터보호·정보공개위원(FDPIC)은 2023년 11월의 성명에서 이를 확인하였고, 기존 법이 AI 기반 처리에 직접 적용된다는 점을 제공자와 이용자에게 상기시켰다.¹ 실무에서는 세 가지 조항이 가장 중요하다. 제21조는 법적 효과를 발생시키거나 당사자에게 중대한 영향을 미치는 결정이 오로지 자동화된 처리에 근거한 경우 처리책임자가 이를 정보주체에게 고지하도록 하고, 정보주체가 그 결정을 자연인에게 검토받을 수 있도록 한다. 제22조는 처리가 정보주체의 인격권 또는 기본권에 높은 위험을 초래할 가능성이 있는 경우 데이터보호 영향평가를 요구한다. 제16조는 데이터의 국외 제공을 규율하는데, 이는 모델이 스위스 밖의 서버에서 구동될 때마다 문제가 된다.²

은행 비밀유지는 여기에 형사법적 차원을 더한다. 「은행법」(BankA) 제47조는 은행의 임원, 직원, 대리인 또는 청산인의 지위에서 맡게 된 비밀을 누설한 자를 처벌한다. 제E부 제IV장에서 보았듯이, 이 조항은 외국 세무당국에 대한 은행 비밀유지가 종료된 이후에도 존속하였으며, 여전히 사적 제3자에 대한 무단 공개로부터 고객 데이터를 보호한다.³ 따라서 고객 데이터를 외부 AI 제공자에게 전송하는 은행은 그 제공자가 비밀유지 의무를 부담하고, 그 직원의 접근이 제한·통제되며, 해당 데이터가 타인이 이용할 수 있는 모델의 학습에 사용될 수 없도록 보장하여야 한다. 스위스 금융시장감독청(FINMA)의 아웃소싱 회람은 서비스 제공자의 선정, 지시 및 감독과, 은행이 자신의 데이터를 회수하고 감사를 허용할 수 있는 능력에 관한 요건을 추가로 규정한다.⁴

바젤에서 고객에게 자문하는 변호사, 수탁자 및 그 밖의 전문직 종사자도 이에 상응하는 의무를 진다. 「스위스 형법」(StGB) 제321조는 변호사, 의사 및 일정한 그 밖의 직업군에 맡겨진 고객의 비밀을 보호하며, 「변호사의 자유 이동에 관한 연방법」(BGFA) 제13조는 직업상 비밀유지 의무를 부과한다. 제J부 제IV장은 기계번역과 관련하여 이들 조항을 다루었다. 고객 정보가 입력되는 모든 AI 도구에 동일한 분석이 적용된다.⁵ 실무상의 해법은 직업군을 막론하고 유사하다. 스위스 또는 통제된 환경에서 호스팅되는 도구, 고객 데이터를 이용한 학습의 계약상 배제, 가능한 경우의 익명화, 그리고 위험이 요구하는 경우 고객의 충분한 정보에 근거한 동의가 그것이다.

모델이 어디에서 구동되는가 하는 문제는 정치적 차원을 띠게 되었다. AI 모델과 클라우드 인프라의 대형 제공자들은 미국에 기반을 두고 있으며, 미국의 2018년 「CLOUD Act」는 미국 당국이 자국 관할에 속하는 제공자에게 국외에 저장된 데이터의 공개를 요구할 수 있도록 한다. 스위스 은행들은 스위스에 보관된 키를 이용한 암호화와 같은 계약적·기술적 보호조치로 대응하였고, 여러 제공자가 스위스 국내에 데이터센터를 건립하였다.⁶ 이러한 조치는 위험을 줄이기는 하지만 제거하지는 못한다. 아래의 세 번째 시나리오가 다루는 스위스 모델과 스위스 인프라에 대한 관심은 이 때문이다.

주석

1. 「연방 데이터보호법」(FADP, SR 235.1), 2023년 9월 1일 시행; 연방 데이터보호·정보공개위원(FDPIC), AI에 대한 FADP의 적용 가능성에 관한 성명, 2023년 11월 9일. ↩
2. FADP 제16조, 제21조 및 제22조. ↩
3. 「은행법」(BankA, SR 952.0) 제47조; 제E부 제IV장 참조. ↩
4. FINMA 회람 2018/3 Outsourcing, 서비스 제공자의 선정, 지시 및 통제, 데이터 보안 및 감사권에 관한 난외번호. ↩
5. 「스위스 형법」(StGB, SR 311.0) 제321조; 「변호사의 자유 이동에 관한 연방법」(BGFA, SR 935.61) 제13조; 제J부 제IV장 중 기계번역, AI 및 직업상 비밀유지에 관한 절 참조. ↩
6. United States Clarifying Lawful Overseas Use of Data Act(CLOUD Act), 2018년 3월 23일 제정; 스위스 은행의 클라우드 서비스 이용에 관하여는 스위스은행협회(Swiss Bankers Association), Cloud Guidelines(2019년 초판, 이후 개정판) 참조. ↩

일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.