합성 리서치 시스템은 고객의 프로젝트 브리프, 인터뷰 녹취록, 응답자 데이터, 제품 기획서, 크리에이티브 자산, 전략적 질문 등을 처리합니다. 겉보기에 훌륭한 데모만으로는 이러한 자료가 어떻게 저장, 라우팅, 보존, 재사용 또는 삭제되는지 알 수 없습니다. 조달 준비도는 실제 배포 환경에 적용되는 공식 문서와 보안 통제 체계를 바탕으로 평가해야 합니다.
Minds와 Artificial Societies는 모두 실질적인 법률 문서를 공개하고 있습니다. Aaru는 MSA와 DPA를 공개하며, Electric Twin은 개인정보 처리방침, 이용약관, 트러스트 센터 경로를 제공합니다. Simile은 개인정보 처리방침과 패널 참여자 약관을 게시하고 상당한 엔터프라이즈 보안 투자를 강조합니다. 공개 범위는 제각각이지만, 공개 페이지에 없다고 해서 해당 통제 장치가 존재하지 않는다는 뜻은 아닙니다. 공개적으로 확인 불가로 분류하고 증빙 자료를 직접 요청해야 합니다.
| 증빙 자료 | 확인해야 할 핵심 내용 | Minds 공개 경로 |
|---|
| DPA | 역할, 지시 사항, 처리, 이전, 삭제, 감사, 침해 사고 조건 | Data Processing Agreement |
| 하위 처리자 | 벤더명, 목적, 처리 리전, 변경 공지 | Subprocessors |
| TOM | 접근 권한, 암호화, 데이터 격리, 복원력, 사고 대응 통제 | Technical and Organizational Measures |
| DPIA | 처리 리스크, 필요성, 비례성, 잔여 통제 조치 | Data Protection Impact Assessment |
| SLA | 가용성, 지원, 예외 사항, 복구 및 서비스 크레딧 | Service Level Agreement |
| 요금제 및 플랜 | 기본 접근 권한, 한도, 업그레이드 경로 | Pricing |
문서가 공개되어 있다고 해서 모든 조항이 모든 플랜에 동일하게 적용되는 것은 아닙니다. 체결된 주문서, DPA, SLA, 고객별 계약 조건이 비즈니스 및 법적 관계를 최종적으로 규정합니다.
고객의 프롬프트, 업로드 파일, 응답, 임베딩, 로그, 피드백이 벤더 자체 모델이나 서드파티 범용 모델의 학습에 사용되는지, 혹은 전혀 사용되지 않는지 확인해야 합니다. "귀사의 데이터로 학습하지 않습니다"라는 문구는 주체, 목적, 옵트인(Opt-in) 여부, 예외 사항까지 명확히 규정되어 있어야 합니다.
Minds의 공개 법률 문서에는 데이터 처리 목적이 명시되어 있으며, 지원되는 환경에서 고객이 명시적으로 옵트인하지 않는 한 범용 모델 학습에 데이터를 활용하지 않습니다. 도입 담당자는 실제 배포 환경에 적용되는 제공업체별 데이터 보존 정책과 제로 데이터 보존(Zero Data Retention) 설정을 직접 검증해야 합니다. 모든 벤더에 동일하게 엄격한 기준을 적용하십시오.
합성 리서치는 호스팅, 데이터베이스, 오브젝트 스토리지, 분석, 검색, 음성 텍스트 변환(STT), 임베딩, 다수의 모델 제공업체에 걸쳐 운영되는 경우가 많습니다. 완전한 하위 처리자 목록에는 처리 목적과 처리 리전이 명시되어야 합니다. 또한 고객이 직접 연동하는 서드파티 서비스와 벤더가 계약한 하위 처리자를 명확히 구분해야 합니다.
Artificial Societies의 DPA는 아키텍처의 세부 구성을 투명하게 공개하고 있어 긍정적으로 평가할 만합니다. Simile의 패널 참여자 약관 역시 참여자 데이터 권리가 자체 휴먼 데이터 경쟁력의 핵심인 만큼 면밀히 살펴볼 필요가 있습니다. 세부 사항이 투명하게 공개된 벤더를 불리하게 볼 것이 아니라, 후보군에 오른 모든 벤더에 동일한 수준의 세부 정보를 요구해야 합니다.
"EU 호스팅"이 "모든 데이터 처리가 EU 내에서만 이루어진다"는 뜻은 아닙니다. 인프라, 모델 추론, 고객 지원, 텔레메트리, 선택적 연동 기능 등은 여러 리전을 경유할 수 있습니다. 백업 및 로그 저장 위치, 데이터 이전 메커니즘, 고객 관리형 연동을 포함하여 실제 설정에 대한 데이터 흐름도(Data-flow diagram)를 요청해야 합니다.
Minds는 법률 문서 패키지에서 EU 기반의 기본 인프라와 특정 서비스에 대한 제3국 처리를 명시하고 있습니다. 단순한 호스팅 문구 하나에 의존하기보다 DPIA와 하위 처리자 페이지를 함께 검토해야 합니다.
엔터프라이즈 도입 시에는 인증 체계, 역할 및 워크스페이스 경계, 테넌트 격리, API 인증 정보, 감사 로그, 데이터 삭제 권한을 검증해야 합니다. SSO나 SCIM 지원 여부는 일반 제공(GA), 플랜 종속, 추가 옵션(Add-on), 커스텀 제공, 공개 확인 불가 등으로 명확히 분류해야 합니다. 개발 로드맵에 있는 항목을 현재 사용 가능한 기능으로 간주해서는 안 됩니다.
Minds 기능 카탈로그에서 고객 관리형 SAML SSO는 상호 합의에 따라 구성되는 엔터프라이즈 기능으로 분류됩니다. 공유 워크스페이스 편집은 역할 및 공유 범위 기준을 따릅니다. API 및 MCP 접근은 인증, 사용 한도, 플랜 설정에 따라 제어됩니다. 모호한 엔터프라이즈 지원 라벨보다 이러한 구체적인 세부 사항이 훨씬 중요합니다.
활성 데이터, 삭제된 데이터, 백업, 로그, 파생 임베딩, 내보낸 결과물, 서드파티 시스템에 대해 각각 명확한 답변을 확인해야 합니다. 계약 종료 후 삭제 일정, 조기 삭제 절차, 법적 보존(Legal Hold) 프로세스를 검토하십시오. 또한 데이터가 삭제되기 전에 감사나 마이그레이션에 필요한 증빙 자료를 고객이 직접 내보낼 수 있는지 확인해야 합니다.
Minds는 지원되는 형식에 따라 Study, 오디언스, 응답, 녹취록, 요약, 페르소나, 결과 데이터에 대한 구조화된 내보내기 기능을 지원합니다. 지원 범위는 플랜과 워크플로에 따라 달라집니다. 내보내기 기능이 계약상의 삭제 조항을 대체할 수는 없으므로 두 가지 모두 반드시 확보해야 합니다.
SLA에는 가동률(Uptime), 예외 조항, 지원 우선순위, 장애 공지, 복구 목표, 서비스 크레딧이 정의되어야 합니다. 합성 리서치는 서드파티 AI 및 데이터 서비스에도 의존하므로, 서비스 장애 발생 시 단계적 기능 저하(Graceful degradation) 대책과 진행 중인 조사가 어떻게 처리되는지 벤더가 명확히 설명할 수 있어야 합니다.
마케팅용 응답 시간 문구를 계약 검토표에 그대로 옮겨 적지 마십시오. 실제 적용되는 SLA와 주문서를 기준으로 평가해야 합니다. 비즈니스상 중요한 의사결정인 경우 과거 장애 이력과 사고 대응 증빙을 요청하십시오.
모델 변경은 결과물의 품질과 데이터 처리 방식을 동시에 바꿀 수 있습니다. 조달 과정에서 중대한 제공업체 변경에 대한 평가, 해당 시 하위 처리자 사전 공지, 공개된 검증 결과를 계속 유효한 것으로 인정하기 전 범위가 지정된 벤치마크 회귀 테스트(Benchmark regression)를 요구해야 합니다.
- 최신 DPA, 하위 처리자 목록, TOM, DPIA 또는 위험 평가서, SLA, 개인정보 처리방침을 수집합니다.
- 모든 데이터 유형을 벤더, 처리 목적, 리전, 보존 기간, 삭제 방식과 매핑합니다.
- 고객 데이터 및 참여자 데이터의 모델 학습 활용 권한을 확인합니다.
- 테넌트 격리, 역할 권한, SSO, API 인증 정보, 감사 통제 기능을 검증합니다.
- 기본 제공 통제 기능과 추가 옵션 및 커스텀 계약 조건을 명확히 구분합니다.
- 계약 체결 전에 데이터 내보내기 및 삭제 프로세스를 테스트합니다.
- 중대한 모델 변경에 대한 사전 공지 및 회귀 테스트 요건을 정의합니다.
- 검증 수준과 인간 검토 단계를 의사결정의 리스크 수준에 맞게 설정합니다.
조달 체크리스트, 셀프서브 vs 매니지드 비교, 데이터 소스 비교, Minds 리서치, Artificial Societies 대안 솔루션을 함께 살펴보세요.
