AI 벤더 선정은 소프트웨어 조달이 아니다

AI 조달은 모델 접근, 학습 활용, 서브프로세서 경유 등으로 인해 일반 SaaS 점검표로는 잡히지 않는 위험이 있어 별도 검토가 필요합니다.

이 글은 프롬프트와 고객 데이터가 학습에 쓰이거나 모델 가중치에 반영되거나, 공개되지 않은 하위 처리업체를 통해 전달될 수 있다고 지적합니다.

AI 거버넌스 기준으로는 SOC 2나 ISO 27001보다 ISO 42001이 더 적합하다고 주장합니다.

AWS Bedrock, Anthropic Claude, Azure OpenAI, Salesforce 사례는 유사한 제품도 데이터 접근과 컴플라이언스 조건이 크게 다를 수 있음을 보여줍니다.

조달팀은 계약·규제·운영·종속성 리스크를 피하기 위해 AI 전용 실사를 수행해야 합니다.