유럽의 GDPR 준수 음성 텍스트 변환 도구 추천(2026): 8가지 도구 점검

각 업체 정보는 2026년 11월 9일에 업체 자체 페이지와 대조해 확인했습니다. 가격과 정책은 바뀔 수 있으니 구매하기 전에 링크를 확인하세요.

인터뷰, 강의, 고객 통화 녹음은 개인정보입니다. 이 녹음을 음성 텍스트 변환 서비스에 올리면 그 서비스는 여러분의 처리자가 되고, 컨트롤러(관리자)인 여러분에게는 처리자를 신중하게 고를 책임이 생깁니다. GDPR 준수 음성 텍스트 변환 도구를 고를 때 랜딩 페이지의 'GDPR 준수' 배지로 알 수 있는 것은 많지 않습니다. 실제로 많은 것을 알려 주는 것은 그 뒤에 있는 문서입니다.

핵심 요약:

• 문서가 공개되어 있고 EU 안에서만 처리되는 가장 엄격한 구성을 원한다면: Good Tape(덴마크). 하위 처리자는 EU에만 있고, 계정에서 DPA를 받을 수 있으며, ISO 27001 인증을 보유하고 있습니다.
• 자막, 번역, 전사를 적은 예산으로 EU 호스팅 도구 하나에서 해결하고 싶다면: BlaBlaScribe(폴란드, 서버는 독일).
• ISO 인증과 사람이 하는 전사가 필요한 학계·공공 부문 팀이라면: Amberscript(네덜란드).
• 엔지니어가 있어 모든 것을 직접 통제하고 싶다면: 자체 호스팅 Whisper.

이해관계 고지: BlaBlaScribe는 저희 제품입니다. 비교의 공정성을 지키기 위해 저희 도구를 포함한 모든 도구를 같은 아홉 가지 기준으로 평가했고, 모든 주장에 업체 자체 문서의 링크를 달았으며, 저희의 부족한 점도 함께 적었습니다.

한눈에 보기: GDPR 준수 음성 텍스트 변환 도구 비교

'비공개'나 '명시되지 않음'은 업체의 공개 페이지에서 찾지 못했다는 뜻이지, 업체에 해당 문서가 없다는 뜻은 아닙니다. 구매 전에 문의하세요.

음성 텍스트 변환 도구에서 'GDPR 준수'란 실제로 무엇을 뜻할까?

그 자체로 'GDPR 준수'인 도구는 없습니다. 준수 여부는 여러분이 도구를 어떻게 쓰느냐에 달려 있습니다. 도구는 그 일을 쉽게 만들 수도, 어렵게 만들 수도 있습니다. 법적으로 중요한 점은 다음과 같습니다.

여러분은 컨트롤러, 도구는 처리자(제28조)

GDPR 제28조에 따라 '충분한 보장'을 제공하는 처리자만 이용할 수 있으며, 계약, 즉 데이터 처리 계약(DPA)이 있어야 합니다. 이 계약에는 처리자가 데이터로 할 수 있는 일, 보안 조치, 하위 처리자, 서비스 종료 시 삭제가 담겨야 합니다. 자세한 내용은 컨트롤러와 처리자 개념에 관한 EDPB 가이드라인 07/2020에 나와 있습니다.

실무적으로 말하면, 업무로 다른 사람의 목소리(인터뷰 대상자, 지원자, 고객, 연구 참여자)를 텍스트로 변환한다면 음성 텍스트 변환 서비스 제공업체와 DPA를 맺어야 합니다. 가장 다루기 쉬운 업체는 DPA를 공개하거나 계정에서 바로 동의할 수 있게 해 둔 곳입니다.

EU 호스팅은 필수일까? 아니지만, 해야 할 일이 한 단계 통째로 줄어듭니다

GDPR은 데이터를 EU 안에 둘 것을 요구하지 않습니다. 유럽경제지역(EEA) 밖으로의 이전은 적정성 결정이 있는 경우(영국은 적정성 결정을 받았고, 이 결정은 2025년 12월에 2031년까지 갱신되었습니다), EU-미국 데이터 프라이버시 프레임워크(DPF) 인증을 받은 경우, 또는 표준계약조항(SCC)에 이전 위험 평가를 더한 경우에 허용됩니다.

DPF는 현재 효력이 있지만, 이에 대한 소송이 EU 사법재판소에서 상소심에 계류 중이며(사건 번호 C-703/25 P), 여러 유럽 감독기관이 기업에 출구 계획을 마련해 두라고 권고했습니다. EU에서 호스팅되고 하위 처리자도 EU에만 있는 도구라면 이 문제를 아예 피할 수 있습니다.

한 가지 더 짚어 둘 점이 있습니다. 'EU 호스팅'은 데이터가 어디에 있는지에 관한 것이지, 누가 데이터 제출을 강제당할 수 있는지에 관한 것이 아닙니다. 미국에 모회사가 있는 업체는 프랑크푸르트에 저장한 데이터에 대해서도 미국 법(CLOUD Act 등)의 적용을 받을 수 있습니다. 이 점이 중요하다면 데이터센터만이 아니라 회사 구조도 확인하세요.

음성 녹음은 '생체 데이터'일까?

모든 음성 녹음이 GDPR상 생체 데이터라고 말하는 글도 있지만, 이는 과장입니다. 제4조(14)는 생체 데이터를 사람을 고유하게 식별할 수 있게 하거나 이를 확인해 주는 특정한 기술적 처리에서 나온 개인정보로 정의하고, 제9조는 누군가를 고유하게 식별할 목적으로 처리하는 경우를 제한합니다.

음성을 텍스트로 바꾸는 일은 여기에 해당하지 않습니다. 녹음은 여전히 개인정보이고, 그 내용에 특수 범주의 개인정보(건강, 정치적 견해, 종교)가 들어 있을 수 있습니다. 하지만 단순한 전사만으로 생체 데이터가 되지는 않습니다. 보이스 클로닝은 다릅니다. 샘플로 만든 음성 모델은 사람을 식별할 수 있기 때문에, 클로닝 기능을 제공하는 도구는 먼저 명시적 동의를 받아야 합니다.

EU AI법은 어디에 해당할까?

음성 텍스트 변환은 EU AI법상 고위험 시스템이 아닙니다. 하지만 제5조(1)(f)에 따라 2025년 2월 2일부터 직장과 교육 현장에서 감정을 추론하는 것은 의료나 안전상의 이유를 제외하고 금지되어 있습니다. 회의나 인터뷰 도구가 지원자나 직원에 대해 '감성'이나 '감정' 점수를 제공한다면 그 기능을 끄세요.

평가 방법: 9가지 체크리스트

각 업체가 공개한 자료만 사용했습니다. 개인정보 처리방침, 보안 페이지, DPA, 하위 처리자 목록, 가격 정보입니다. 영업팀에는 문의하지 않았습니다. 여러분의 DPO(데이터 보호 책임자)도 공개 문서에서 출발할 것이기 때문입니다.

1. 공개 DPA(제28조). 다운로드하거나 계정에서 동의할 수 있는가, 아니면 따로 요청해야 하는가?
2. 호스팅 업체와 리전의 명시. 'EU 서버'는 주장일 뿐이지만 'AWS eu-central-1'은 확인할 수 있습니다.
3. 하위 처리자 목록 공개. 오디오나 텍스트에 또 누가 접근하는가?
4. EU 밖 처리자에 대한 이전 근거: 적정성 결정, DPF 또는 SCC.
5. 오디오가 제3자 AI 업체로 전송되는가? 많은 도구가 다른 회사의 음성 모델을 재판매합니다.
6. 고객 데이터 학습 미사용이 마케팅 페이지만이 아니라 개인정보 처리방침이나 DPA에 명시되어 있는가.
7. 기본 보관 기간과 삭제(백업 포함).
8. 독립 인증(ISO 27001, SOC 2)과 그 적용 범위.
9. EU 법인과 선임 감독기관. 어디에 민원을 제기해야 할지 알 수 있습니다.

가격, 무료 플랜, 지원 언어 수도 함께 적었습니다. 정확도는 직접 녹음한 파일로 테스트해 보세요. 전사 정확도를 측정하는 방법(WER) 가이드도 참고하세요.

8가지 도구 점검 결과

아래 도구들은 순위를 매긴 것이 아니라, 각각 가장 잘 맞는 용도별로 묶은 것입니다.

1. BlaBlaScribe: 전사, 자막, 번역을 EU 호스팅 도구 하나로 처리하려는 경우에 적합

• 운영 주체: Vindrose sp. z o.o., 폴란드 브로츠와프. EU 법인이며 선임 감독기관은 폴란드 UODO입니다. (개인정보 처리방침)
• 오디오가 가는 곳: 전사, 자막 생성, 음성/음악 분리는 독일의 Hetzner Online GmbH가 호스팅하는 BlaBlaScribe 자체 서버에서 실행됩니다. 오디오는 제3자 AI 업체로 전송되지 않습니다. 선택 기능 두 가지는 텍스트를 전송합니다. 번역과 AI 요약은 전사본 텍스트를 Google Gemini API로 보내고, AI 더빙은 보이스오버 스크립트를 ElevenLabs로 보냅니다(보이스 클론을 만드는 경우에만 명시적 동의를 받아 음성 샘플도 보냄). (보안 페이지)
• GDPR 문서: 공개된 데이터 처리 계약이 약관에 동의하면 자동으로 적용되며 서명은 필요 없습니다. 하위 처리자 목록에는 각 업체가 무엇을 어디에서 받는지 나와 있고, 변경 사항은 그 페이지에 공지됩니다. EU 밖으로의 이전은 SCC 또는 DPF에 근거합니다. 침해 통지는 48시간 이내이며, 계정을 삭제하면 데이터도 삭제되고 백업은 30일 이내에 교체됩니다.
• 암호화: 전송 중 암호화(HTTPS). 파일은 독일에 있는 BlaBlaScribe 자체 서버에 저장되며, 저장 디스크는 암호화되어 있지 않습니다.
• 학습 미사용: 파일은 BlaBlaScribe도, 그 제공업체도 “절대 AI 학습에 사용하지 않습니다”.
• 보관 기간: 전사본, 자막, 번역은 직접 삭제할 때까지 남아 있습니다. 원본 미디어는 무료 플랜에서 30일간 보관됩니다. 유료 플랜에서는 구독이 유지되는 동안 보관되고, 해지 후에는 Creator 60일, Pro 9개월, Business 12개월 동안 보관되며 삭제 전에 이메일 알림이 갑니다. 파일은 언제든 삭제할 수 있습니다.
• 인증: 아직 없습니다.
• 가격: 1회 30분 무료, 카드 불필요. Creator 월 $14(600분), Pro 월 $43, Business 월 $99이며 연간 결제 시 약 20% 저렴합니다. 120개 이상 언어를 지원하고, 50개 이상 언어로 번역, 27개 언어로 더빙할 수 있습니다. (가격)
• 주의할 점: 아직 ISO 27001이나 SOC 2가 없고, 저장 데이터 암호화도 없습니다. 번역이나 AI 요약을 쓰면 전사본 텍스트가 미국 기반 처리자(Google)로 가므로, EU 안에서만 처리하고 싶다면 민감한 자료에는 이 기능들을 끄세요. 공개 API는 없습니다.

2. Happy Scribe: 사람의 교정도 원하는 자막 팀에 적합

• 운영 주체: Happy Scribe Limited, 아일랜드 더블린. (개인정보)
• 오디오가 가는 곳: AWS와 Heroku이며 데이터센터는 “유럽연합 내”에 있다고 하지만 리전은 밝히지 않았습니다. 개인정보 처리방침에는 AI 어시스턴트와 커넥터 기능 관련으로 OpenAI와 Anthropic이 명시되어 있습니다. 핵심 전사 엔진은 밝히지 않았습니다. (보안, 개인정보)
• GDPR 문서: 개인정보 처리방침은 DPA를 언급하지만 받는 방법은 나와 있지 않고, 보안 페이지는 문의하라고 안내합니다. 하위 처리자는 트러스트 포털에 변경 알림과 함께 게시되어 있습니다. 이전은 SCC, DPF 또는 그 밖의 제45조/제46조 메커니즘에 근거합니다.
• 학습: 가장 중요한 주의점입니다. 개인정보 처리방침에는 가입 시 옵트인 방식의 동의가 설명되어 있으며, 동의하면 식별 정보를 제거한 콘텐츠가 모델 학습을 위해 제3자에게 라이선스되거나 공유될 수 있습니다. 업무용 계정에서는 이 체크박스가 해제된 상태로 유지되는지 확인하세요.
• 보관 기간: 삭제한 파일은 10일간 복구할 수 있으며 그 후 영구 삭제됩니다. 백업 처리는 명시되어 있지 않습니다.
• 인증: SOC 2 Type 2(적용 범위 미명시). ISO 27001은 Happy Scribe 자체가 아니라 데이터센터 업체의 인증입니다.
• 가격: 1회 10분 무료 플랜. Basic은 월 $17부터, 연간 결제 시 월 $8.50. 150개 이상 언어 지원. (가격)
• 주의할 점: 학습 옵트인, 그리고 DPA를 셀프서비스로 받을 수 없다는 점.

3. Amberscript: ISO 인증이 필요한 대학과 공공기관에 적합

• 운영 주체: Amberscript Global B.V., 암스테르담. 베를린에 GmbH가 있습니다. (개인정보)
• 오디오가 가는 곳: 프랑크푸르트의 Google Cloud Platform. 보안 페이지에는 데이터가 유럽 밖에 저장되는 일은 절대 없다고 나와 있습니다. 이름이 밝혀지지 않은 '제3자'가 오디오를 전사하고 처리합니다. (데이터 보안)
• GDPR 문서: DPA는 양식으로 요청합니다(미리 채워진 PDF를 받습니다). 공개된 하위 처리자 목록은 없습니다. 개인정보 처리방침에는 일부 파트너가 EEA 밖에 있다고 되어 있지만 이전 근거는 밝히지 않았고, 이는 보안 페이지의 '유럽 밖에 절대 저장하지 않음'과 모순됩니다. 업체에 해명을 요청하세요.
• 학습: 개인정보 처리방침에 따르면 오디오와 전사본은 사용 중인 언어 모델의 학습에 절대 쓰이지 않습니다.
• 보관 기간: 기본적으로 파일은 업로드 6개월 후 자동 삭제되며(사전 알림 있음), 이 설정은 끌 수 있습니다. 백업은 명시되어 있지 않습니다.
• 인증: ISO 27001과 ISO 9001(적용 범위 미명시).
• 가격: 무료 플랜 언급 없음. Starter 월 €19(5시간), 종량제 시간당 €10, 사람이 하는 전사는 분당 €1.85부터. 기계 전사는 90개 이상, 사람 전사는 18개 이상 언어 지원. (가격)
• 주의할 점: 이름이 밝혀지지 않은 AI 파트너, 그리고 EU 밖 이전에 대한 불분명한 설명.

4. Good Tape: 가장 엄격한 EU 전용 구성에 적합

• 운영 주체: Good Tape ApS, 덴마크 코펜하겐. (보안)
• 오디오가 가는 곳: EU 내 하위 처리자만 담긴 목록이 공개되어 있습니다. 전사에는 Google(EU)과 Azure(EU, 초과 물량용), 파일 저장에는 Scaleway, 앱 데이터에는 Supabase와 MongoDB를 씁니다. (하위 처리자)
• GDPR 문서: Pro에는 표준 DPA, Business에는 맞춤형 DPA가 있으며 계정 설정에서 받을 수 있고, 예시도 공개되어 있습니다. (DPA) 모든 업체가 EU 안에 있으므로 이전 근거가 필요하지 않습니다.
• 학습: “사용자의 어떤 데이터로도 절대 학습하지 않습니다”라고 정책과 DPA에 명시되어 있습니다.
• 보관 기간: 삭제는 백업을 포함해 12시간 이내에 이뤄집니다. 기본 설정은 페이지마다 다르게 설명되어 있으므로(처리 후 삭제 vs 원하는 기간만큼 보관) 설정을 확인하세요.
• 인증: ISO/IEC 27001:2022, 2026년 1월 30일 발급, 2029년 1월까지 유효(적용 범위 미명시).
• 가격: 1시간 전사가 가능한 무료 체험, 카드 불필요. Pro는 연간 결제 시 월 €16(월 20시간), Business는 문의. 100개 이상 언어 지원. (가격)
• 주의할 점: 보안 페이지는 '자체 인프라'를 이야기하지만, 하위 처리자 목록을 보면 전사는 Google과 Azure(EU 리전)에서 이뤄집니다. 전사 전용이라 자막 스타일 지정, 번역, 더빙은 없습니다.

5. Trint: 뉴스룸에 적합(영국 기반, EU 테넌트 제공)

• 운영 주체: Trint Limited, 런던. EU에서 영국으로의 이전은 갱신된 적정성 결정으로 보장됩니다. (개인정보)
• 오디오가 가는 곳: EU(AWS 프랑크푸르트/아일랜드, MongoDB Atlas 아일랜드) 테넌트와 미국 테넌트가 분리되어 있습니다. Anthropic이 “내부 용도”의 하위 처리자로 기재되어 있습니다. 전사 엔진은 밝히지 않았습니다.
• GDPR 문서: 하위 처리자는 개인정보 처리방침 안에 나와 있습니다. 이전은 SCC와 영국 적정성 결정에 근거합니다. 고객용 DPA는 공개적으로 언급되지 않았습니다.
• 학습: 보안 페이지에는 녹음을 알고리즘 학습에 쓰지 않는다고 되어 있지만, 개인정보 처리방침에는 언급이 없습니다.
• 보관 기간: 콘텐츠는 직접 삭제하거나 계정을 닫을 때까지 보관되며, 개인정보 처리방침과 보안 페이지의 표현이 서로 다릅니다.
• 인증: ISO 27001:2022와 Cyber Essentials.
• 가격: 무료 체험은 있지만 무료 플랜은 없습니다. Pro는 사용자당 월 €69부터. 50개 이상 언어 지원. (요금제)
• 주의할 점: 가격 페이지에는 '전용 EU 기반 서버'가 맞춤형 Business 요금제에만 나와 있으므로, 셀프서비스 계정이 어느 테넌트에 배정되는지 확인하세요.

6. Gladia: EU 음성 인식 API가 필요한 개발자에게 적합

• 운영 주체: Gladia SAS, 프랑스 루베. 미국 계열사(Gladia Inc.)가 하위 처리자입니다. (DPA)
• 오디오가 가는 곳: 기본은 프랑스의 OVHcloud이고, 일부 AWS 서비스는 EU와 미국에 있습니다. DPA에는 데이터 위치가 “유럽, 미국”으로 적혀 있습니다. 단일 리전 처리는 서면 합의가 있어야 가능합니다. 부가 기능에는 OpenAI 아일랜드, Google Cloud, DeepL 등이 쓰입니다.
• GDPR 문서: DPA는 공개 웹페이지이며 하위 처리자는 부속서에 있습니다. 이전은 SCC 또는 DPF에 근거합니다.
• 학습: Self-serve 요금제(€50 무료 크레딧이 제공되는 요금제)에서는 오디오가 기본값으로 학습에 사용될 수 있습니다. 옵트아웃은 무료입니다. Enterprise는 옵트아웃이 적용되어 있습니다. (가격)
• 보관 기간: 가격 페이지에 Self-serve 관련 내용은 없고, Enterprise에는 데이터 무보관(zero data retention)이 명시되어 있습니다.
• 인증: SOC 2 Type 1과 Type 2. ISO 27001은 보안 페이지에 '진행 중'으로 나와 있지만, 홈페이지에서는 보유하고 있다고 주장합니다.
• 가격: €50 무료 크레딧. 오디오 시간당 €0.16이며 사용량에 따라 €0.12까지 내려갑니다. Solaria-1에서 100개 이상 언어 지원.
• 주의할 점: 실제 데이터를 보내기 전에 학습에서 옵트아웃하고, 보관 기간도 직접 설정하세요.

7. Sonix: 문서는 탄탄하지만 미국 회사

• 운영 주체: Sonix, Inc., 샌프란시스코. (개인정보)
• 오디오가 가는 곳: 미국의 AWS. Enterprise 고객은 Sonix 팀과 데이터 상주 위치를 협의할 수 있습니다. 제3자 AI 업체는 공개되지 않았습니다. (보안)
• GDPR 문서: DPA는 요청하면 계정에서 받을 수 있고, 이전은 SCC에 근거합니다. 공개된 하위 처리자 목록은 없으며, DPF 목록에서도 찾을 수 없었습니다.
• 학습: 고객 콘텐츠는 자사 모델 학습에 절대 쓰이지 않습니다.
• 보관 기간: 직접 삭제할 때까지 보관되며, 백업은 최대 90일까지 남을 수 있습니다.
• 인증: SOC 2 Type 2, BAA를 통한 HIPAA 대응.
• 가격: 30분 무료 체험, 종량제 시간당 $10 또는 월 $25. 54개 이상 언어 지원. (가격)
• 주의할 점: Enterprise가 아닌 데이터는 미국에서 처리되므로 SCC와 이전 영향 평가가 필요합니다.

8. 자체 호스팅 Whisper: 완전한 통제가 필요한 경우에 적합(엔지니어가 있다면)

• 어떤 도구인가: OpenAI의 음성 모델로, MIT 라이선스 오픈 소스로 공개되어 있습니다. 자체 서버나 EU 클라우드에서 실행하면 어떤 제3자도 오디오에 접근하지 않습니다.
• GDPR 문서: 여러분이 컨트롤러이자 인프라 소유자입니다. 보안, 접근 제어, 삭제, 문서화는 모두 직접 책임져야 합니다.
• 대신 OpenAI의 호스팅 API를 쓴다면: API 데이터는 기본적으로 학습에 쓰이지 않고, 전사 엔드포인트는 데이터 무보관 대상이 될 수 있으며, 자격을 갖춘 프로젝트는 EU 데이터 상주를 이용할 수 있습니다. OpenAI는 미국 회사이며, 저희가 확인했을 때 DPF 목록에서 찾을 수 없었습니다. (OpenAI: 데이터 처리 안내)
• 주의할 점: 기본 상태로는 편집기, 화자 라벨, 자막 내보내기가 없고, 정확도는 언어와 모델 크기에 따라 다릅니다. 얼마나 손이 가는지는 Whisper와 유료 전사 도구 비교에서 확인하세요.

Otter.ai, Fireflies, Rev는 어떨까?

모두 인기 있는 미국 서비스입니다. 모두 GDPR 아래에서 쓸 수는 있지만, 서류 작업은 늘고 통제권은 줄어듭니다.

• Otter.ai는 GDPR을 준수할까? Otter.ai, Inc.는 EU-미국 DPF 인증을 받았고 DPA(약관에 포함)와 하위 처리자 목록을 공개합니다. 개인정보 처리방침에 따르면 식별 정보를 제거한 오디오와 전사본으로 자체 AI를 학습시키며, 호스팅은 AWS이고 EU 데이터 상주는 명시되어 있지 않습니다. 6개 언어를 지원합니다. (개인정보, 하위 처리자)
• Fireflies.ai는 DPF 인증을 받았고 DPA와 하위 처리자 목록을 공개하지만, 처리는 미국에서 이뤄지고 전사는 제3자(AssemblyAI)가 맡습니다. (DPA)
• Rev는 SCC가 포함된 자동 발효형 DPA를 공개합니다. 처리는 미국에서 이뤄지며, 사람이 하는 전사 일부는 인도에서 진행됩니다. 콘텐츠로 외부 모델을 학습시키지 않는다고 하지만, 도움말 센터에는 Rev 자체 음성 모델 학습에서 옵트아웃하는 방법이 설명되어 있으므로 지원팀에 옵트아웃을 요청하세요. (DPA, 도움말 센터)

회의를 녹음한다면 동의 규정도 확인하세요. EU와 미국에서 회의 녹음은 합법일까에서 정리했습니다.

어떤 GDPR 준수 음성 텍스트 변환 도구를 골라야 할까?

• 윤리 승인을 받은 학술 인터뷰: 윤리위원회가 ISO 27001을 요구한다면 Amberscript나 Good Tape, 예산이 중요하고 민감한 데이터에 번역을 끄고 쓸 수 있다면 BlaBlaScribe. 연구자를 위한 전사도 참고하세요.
• 저널리즘과 취재원 보호: Good Tape(EU 전용, 빠른 삭제), 가장 민감한 취재원이라면 자체 호스팅 Whisper. 기자를 위한 전사도 참고하세요.
• 인사 면접과 채용: DPA가 있는 EU 호스팅 도구라면 무엇이든 괜찮습니다. 감성·감정 분석 기능은 끄고(AI법), 지원자에게 미리 알리세요.
• 에이전시나 컨설팅의 고객 통화: EU 내 처리가 필요하면 Good Tape나 BlaBlaScribe, 팀이 영국에 있다면 Trint.
• EU 대상 영상의 자막과 번역: BlaBlaScribe(전사는 독일에서, 번역은 텍스트만 전송) 또는 Happy Scribe(학습 옵트인은 꺼 두기).
• 제품을 만드는 개발자: Gladia(학습 옵트아웃, 보관 기간 설정) 또는 EU 데이터 상주를 적용한 OpenAI API.
• 제로 트러스트 또는 에어갭 환경: 자체 호스팅 Whisper.

첫 녹음을 올리기 전에 확인할 GDPR 체크리스트

1. DPA에 서명하거나 동의하고, 날짜가 적힌 하위 처리자 목록 사본을 저장합니다.
2. 처리 활동 기록에 이 처리를 추가합니다(제30조).
3. 데이터 보호 영향평가(DPIA)가 필요한지 판단합니다(제35조). 녹음에 건강 데이터, 아동, 취약 계층이 포함되거나 대규모 모니터링에 해당하면 필요할 가능성이 큽니다.
4. 녹음 전에 참여자에게 알리거나 동의를 받고, 어떤 서비스로 전사할지도 알려 줍니다. 인터뷰 전사 방법을 참고하세요.
5. 필요 없다면 추가 처리자에게 데이터를 보내는 선택형 AI 기능을 끄고, 설정 토글이 있는 곳에서는 모두 학습 옵트아웃을 합니다.
6. 가명 처리: 전사본의 이름을 바꾸고, 확인을 마치면 원본 오디오를 삭제합니다.
7. 보관 기간을 정하고 일정에 맞춰 원본을 삭제합니다.
8. 직원을 녹음하기 전에 근로자 대표 기구(노사협의회)와 협의합니다(독일, 네덜란드, 프랑스 등).
9. 매년 업체를 다시 점검합니다. 하위 처리자와 이전 근거는 바뀝니다.

자주 묻는 질문

AI 음성 텍스트 변환은 GDPR을 준수할까요?

준수할 수 있습니다. 녹음에 대한 법적 근거가 있고, 제공업체와 데이터 처리 계약을 맺었으며, 제공업체가 데이터를 보호하고 적법하게 이전한다면 AI 전사는 GDPR상 적법합니다. 도구만으로 준수가 이뤄지는 것이 아니라, 여러분이 어떻게 구성하느냐가 결정합니다.

음성 텍스트 변환 업체와 DPA를 맺어야 하나요?

네. 조직을 대신해 다른 사람의 개인정보를 전사한다면 필요합니다. GDPR 제28조는 컨트롤러와 처리자 사이에 서면 계약을 요구합니다. DPA를 공개하거나 계정에서 동의할 수 있게 해 둔 업체를 고르세요.

GDPR은 전사 데이터를 EU에 저장하도록 요구하나요?

아닙니다. EEA 밖으로의 이전은 적정성 결정, EU-미국 데이터 프라이버시 프레임워크 인증, 또는 표준계약조항이 있으면 허용됩니다. EU 호스팅에 EU 내 하위 처리자만 쓰면, 추가 이전 평가와 DPF를 둘러싼 법적 불확실성을 피할 수 있을 뿐입니다.

Otter.ai는 GDPR을 준수하나요?

Otter.ai는 GDPR 아래에서 사용할 수 있습니다. EU-미국 데이터 프라이버시 프레임워크 인증을 받았고 DPA도 제공합니다. 하지만 데이터를 미국에서 처리하며, 개인정보 처리방침에 따르면 식별 정보를 제거한 녹음과 전사본으로 자체 AI를 학습시킵니다. 그래서 많은 EU 조직이 EU에서 호스팅되는 대안을 선호합니다.

OpenAI Whisper는 GDPR을 준수하나요?

자체 호스팅 Whisper는 어떤 제3자도 오디오를 받지 않으므로, 준수 수준은 여러분의 인프라 수준과 같습니다. OpenAI의 호스팅 API는 기본적으로 API 데이터를 학습에 쓰지 않고, 전사에 데이터 무보관을, 자격을 갖춘 프로젝트에 EU 데이터 상주를 제공하지만, OpenAI는 여전히 미국 처리자입니다.

인터뷰를 전사하려면 동의가 필요한가요?

항상 그렇지는 않습니다. 동의는 법적 근거 중 하나일 뿐이며, 정당한 이익, 계약, 공익 목적의 연구가 대신 근거가 될 수 있습니다. 다만 녹음되고 전사된다는 사실은 반드시 알려야 하며, 많은 윤리위원회는 어차피 서면 동의를 요구합니다.

음성 녹음은 GDPR상 생체 데이터인가요?

대개는 아닙니다. 목소리는 사람을 고유하게 식별하기 위해 특정한 기술로 처리될 때만 생체 데이터가 됩니다. 단순한 전사는 여기에 해당하지 않습니다. 보이스 클로닝이나 화자 식별은 해당할 수 있으므로, 이런 기능에는 추가적인 주의와 명시적 동의가 필요합니다.

전사 서비스가 제 파일로 AI를 학습시킬 수 있나요?

약관이 허용하는 경우에만 가능합니다. 고객 데이터로 절대 학습하지 않는 업체(Good Tape, Sonix, BlaBlaScribe)도 있고, 식별 정보를 제거한 데이터로 학습하는 업체(Otter.ai)도 있으며, 옵트인이나 옵트아웃 설정을 제공하는 업체(Happy Scribe, Gladia, Rev)도 있습니다. 마케팅 페이지만이 아니라 개인정보 처리방침을 확인하세요.

결론

핵심은 세 가지입니다.

1. 배지가 아니라 문서를 확인하세요. 공개 DPA, 명시된 호스팅 업체, 하위 처리자 목록은 랜딩 페이지의 'GDPR 준수'보다 훨씬 많은 것을 알려 줍니다.
2. EU 호스팅은 일을 덜어 주지만 DPA를 대신하지는 못합니다. 그리고 서버가 프랑크푸르트에 있어도 미국 모회사가 문제가 될 수 있습니다.
3. 오디오와 텍스트가 어디로 가는지 파악하세요. 많은 도구가 오디오는 EU에 두면서도 요약이나 번역을 위해 전사본을 미국 AI 모델로 보냅니다.

EU에서 호스팅되는 전사, 자막, 번역을 한곳에서 해결하고 싶다면 BlaBlaScribe를 무료로 사용해 보세요. 30분 무료, 카드 불필요, 독일에 있는 자체 서버에서 전사합니다. 업로드하기 전에 녹음 파일을 어떻게 처리하는지 자세히 확인해 보세요.