이제 컴플라이언스는 기술 적합성만큼이나 자주 엔터프라이즈 거래를 지연시킵니다. 검토를 미리 준비하지 않은 구매자는 보통 검토 중반에 2~3개월을 허비합니다. 이 시간 손실은 상당 부분 피할 수 있지만, 그 준비는 벤더만큼이나 구매자의 몫이기도 합니다. 미리 준비한다는 것은 벤더 후보군을 확정하기 전에 6가지 질문에 대한 답을 확보해 두는 것을 뜻합니다. 보안 검토는 새로운 사실을 발견하는 자리가 아니라 이미 아는 내용을 확인하는 자리여야 합니다.
인증 이름이 아니라 인증 범위를 확인하세요
인증은 범위 없이는 이름에 불과합니다. 마케팅 웹사이트에 적용된 SOC 2는 고객 데이터가 거쳐 가는 추론 경로에 적용된 SOC 2와 다릅니다. 따라서 첫 번째 질문은 벤더가 어떤 인증을 보유하고 있고 각 인증이 실제로 무엇을 다루는지입니다.
이와 관련해 주의할 점은 '상속'입니다. 주요 클라우드 플랫폼에서 운영되는 벤더는 인프라 보안의 상당 부분을 상속받는데, 일부는 이 상속된 보안 수준을 자사의 것처럼 내세웁니다. 벤더 법인명이 명시된 감사 보고서를 요청하세요. 인증서에 기재된 법인이 호스팅 제공업체라면, 일찍 알아두어야 할 중요한 사실을 확인한 셈입니다.
감사 시기와 감사 기관을 확인하세요
최신성과 독립성은 모두 중요하며, 각각 따로 문제가 될 수 있습니다. 실질적인 독립성이 없는 기관이 감사한 최신 인증은 공인된 감사 기관이 감사한 조금 오래된 인증보다 알려주는 바가 적습니다. 좋은 감사 기관의 오래된 인증은 구매하려는 AI 기능이 나오기 전의 특정 시점에 벤더가 규정을 준수했다는 사실만 알려줄 수 있습니다.
날짜와 감사 기관을 함께 요청하세요. 이 둘을 빠르게 제시하는 벤더는 다른 자료도 빠르게 제시하는 경향이 있으며, 그 자체가 하나의 신호입니다.
ISO 42001에 대해 구체적으로 물어보세요
대부분의 구매자가 건너뛰는 질문입니다. 워낙 새롭고 흔치 않아서 물어봐야 한다는 사실조차 모르는 경우가 많기 때문입니다. 이제 아셨을 겁니다!
일반적인 보안 인증은 조직을 대상으로 합니다. 기업이 정책을 갖추고, 직원을 교육하며, 접근 권한을 관리한다는 것을 확인합니다. 하지만 어느 것도 AI가 어떻게 거버넌스되는지는 다루지 않습니다. 검색이 귀사의 지식에 근거하는지, 모델이 예측 가능하게 동작하는지, 에이전트가 고객 계정에서 수행하는 작업에 대한 감사 추적이 있는지 말입니다.
ISO 42001은 바로 이 부분을 다루는 AI 경영 시스템 표준입니다. 벤더는 일반적인 인증을 모두 보유하고도 AI 거버넌스에 대한 독립적인 평가는 전혀 받지 않았을 수 있습니다. Maven은 ISO 42001, PCI-DSS 4.0 Level 1, SOC 2, HIPAA , GDPR을 포함해 15개의 인증 및 평가를 보유하고 있습니다.
실시간 음성 통화에서 PCI DSS가 어떻게 적용되는지 물어보세요
이 질문은 무엇보다 빠르게 벤더를 가려냅니다. 음성은 추상적인 개념을 구체적인 현실로 만들기 때문입니다. 통화 중 고객은 도움을 요청하는 과정에서 자연스럽게 카드 번호를 소리 내어 읽습니다. 어떤 인터페이스 설계로도 이를 막을 수 없습니다.
PCI-DSS 4.0 Level 1은 엔터프라이즈 규모의 거래량에 적용되는 등급이며, 유용한 후속 질문은 모두 구체적인 작동 방식에 관한 것입니다. 마스킹이 통화 중 실시간으로 이루어지나요, 아니면 사후 처리 단계에서 이루어지나요? 이 둘은 노출 구간이 다르며, 전자만이 민감한 문자열을 파이프라인에서 완전히 배제합니다. 마스킹 자체에 대한 감사 추적이 있나요? 결제 처리가 나머지 대화와 분리되어 있나요?
구체적으로 답하는 벤더라면 바로 이 상황을 위해 플랫폼을 구축한 것입니다.
실제로 어떤 데이터 레지던시 옵션이 있는지 물어보세요
이 분야는 용어가 모호하므로 지역별로 구체적인 답을 받으세요. 벤더 클라우드 내 지역별 데이터 레지던시, 프라이빗 클라우드 배포, 고객 호스팅 배포는 서로 다른 약속이지만 겹치는 표현으로 설명되는 경우가 많습니다. 귀사가 직접 통제하는 인프라에서 시스템이 운영되어야 한다면, 이를 분명하게 밝히고 답변을 서면으로 받으세요.
자체 침투 테스트를 수행할 수 있는지 물어보세요
내부 테스트 주기에 대한 질문도 함께 하세요. 분기마다 적대적 테스트를 수행하는 벤더와 고객이 요구할 때만 테스트하는 벤더는 보안 관행 자체가 다릅니다.
기준은 넘을 수 있으며, 일찍 넘을수록 효과가 커집니다
한 Fortune 500 게임 기업은 규제 산업의 제약 속에서 Maven의 자율형 AI 에이전트로 월 330,000건 이상의 상호작용을 처리하고 있습니다. 여기에는 인게임 구매에 대한 PCI 준수와 AML 및 KYC 처리가 포함됩니다. 이 배포는 지연되지 않고 확장되었습니다. 컴플라이언스 역량이 사후에 덧붙인 것이 아니라 처음부터 통과하도록 설계된 관문일 때 나타나는 결과입니다.
Clio도 같은 방식으로 평가에 접근했습니다. 이 법률 소프트웨어 기업은 32개 벤더를 평가해 후보를 좁힌 뒤, 10곳 이상을 대상으로 직접 비교 테스트를 진행하고 Maven을 선택했습니다. 법률 기술에는 엄격한 기밀 유지 의무가 따르며, 이 과정이 바로 그 의무를 충족하는 방식입니다. 현재 Clio는 80%의 자율 해결률을 기록하고 있으며, 상담원 지원의 응답 속도는 4배 빨라졌습니다. 결제 규제 의무를 지는 Papaya Pay는 3주 만에 90%의 자율 해결률에 도달했습니다.
이 중 어느 사례에서도 컴플라이언스 검토 때문에 배포가 여러 분기에 걸친 프로젝트로 늘어나지 않았습니다.
1주 차에 진행하세요
대부분의 평가는 컴플라이언스를 마지막 단계에 둡니다. 바로 이 때문에 2~3개월의 손실이 발생합니다. 필수 규제 요건을 충족하지 못하는 벤더는 1주 차에 걸러내야 하며, 이 6가지 질문은 첫 미팅에서 부담 없이 물어볼 수 있습니다.
서둘러야 할 이유가 하나 더 있습니다. 컴플라이언스에 대한 답변은 엔지니어링 성숙도를 가늠하는 매우 좋은 지표입니다. 데이터가 어디에 있는지와 시스템이 어떻게 작동하는지는 같은 질문을 다른 각도에서 본 것이기 때문입니다. 전자에 대한 답이 모호하다면 대개 후자도 모호합니다.
6가지 질문의 요약본은 State of AI in CX 2026 보고서 의 Compliance Blind Spot 장을 바탕으로 한 AI 컴플라이언스 구매자 체크리스트 에서 확인할 수 있습니다.
귀사의 실제 대화로 확인하세요.
맞춤형 무료 데모를 신청하세요.
