AI 윤리와 규제 대응

[EU AI Act] (2024 시행)
- 위험 등급별 (high·limited·minimal)
- 투명성·설명 의무
- 데이터 보호

[미국]
- 주별 다름
- California (CCPA)
- Texas (TX-RAMP)

[한국]
- AI 기본법 (제정 중)
- 개인정보보호법 강화
- 알고리즘 투명성

[중국]
- 매우 엄격
- 사전 승인
- 1인 창업 진입 어려움

[권리]
1. Right to access (데이터 확인)
2. Right to delete (삭제)
3. Right to portability (이동)
4. Right to rectification (수정)


[구현]
- 사용자 dashboard에 모두 표시
- 데이터 다운로드 (JSON·CSV)
- 30일 내 삭제 요청 응답
- 마케팅 동의 별도


[벌금]
- 최대 4% 글로벌 매출
- 1인 창업도 적용

[필수 알림]
- "이 응답은 AI 생성"
- "AI는 실수할 수 있음"
- 인간 답변 옵션
- 데이터 사용 명시


[코드 — 챗봇]
function ChatMessage({ message }: { message: Message }) {
  return (
    <div>
      {message.role === 'assistant' && (
        <Badge variant="outline">🤖 AI 응답</Badge>
      )}
      <div>{message.content}</div>
      {message.role === 'assistant' && (
        <p className="text-xs text-muted-foreground">
          AI 응답입니다. 정확성을 검증하세요.
        </p>
      )}
    </div>
  );
}

# AI Data Usage Policy

## 우리가 수집하는 것
- 사용자 입력 (chat·document·등)
- 응답 metadata
- 사용 패턴

## 우리가 사용하는 방식
- 제품 운영 (필수)
- 모델 개선 (옵션)
- 분석 (집계 only)

## OpenAI/Anthropic 등 제3자
- 사용자 입력이 모델 호출에 사용
- 30일 후 자동 삭제 (Anthropic·OpenAI 정책)
- 사용자 데이터 학습 X (계약 명시)

## 제외
- 입력 X (사용자 명시)
- 30일 후 anonymized
- B2B contract 별도

## 사용자 권리
- 언제든지 데이터 다운로드
- 30일 내 삭제 요청
- 학습 거부 (opt-out)

// 입력 — 모더레이션
async function moderateInput(text: string) {
  const result = await openai.moderations.create({ input: text });
  if (result.results[0].flagged) {
    throw new Error('Input violates guidelines');
  }
}


// 출력 — 검증
async function validateOutput(output: string) {
  const checks = await Promise.all([
    checkBias(output),  // 인종·성별 편향
    checkToxicity(output),  // 욕설·hate
    checkAccuracy(output),  // 사실 검증
  ]);

  if (checks.some(c => !c.pass)) {
    return { safe: false, reason: checks.find(c => !c.pass)?.reason };
  }
  return { safe: true };
}

[필수 (Day 1)]
- 약관·개인정보처리방침
- AI 사용 명시
- 데이터 저장 위치
- 연락처·DPO

[2주 내]
- 사용자 데이터 export
- 삭제 기능
- 마케팅 opt-out

[3개월 내]
- AI 응답 투명성
- 사용자 권리 안내
- Privacy by design

[1년 내]
- 정기 보안 감사
- DPIA (Data Protection Impact Assessment)
- 정책 업데이트

[필수]
- 개인정보처리방침 (한국어)
- 동의 명확
- 수집 최소화
- 보관 기간 명시

[10만 사용자 이상]
- 개인정보보호 책임자 (CPO)
- 정기 감사
- KISA 신고

[침해 시]
- 24시간 내 KISA 신고
- 사용자 통보
- 시정 조치