지난 4월 한국 스타트업 PoC 중에 이런 일이 있었어요. 외주사가 납품한 코드의 60%가 Claude Code로 작성됐는데, 발주사 입장에서는 "그래서 우리 IP는 어디까지 보호되는 거예요?"라는 질문에 외주사 PM이 답을 못 했어요. 계약서에 AI 관련 조항이 단 한 줄도 없었거든요. 결과적으로 한 달치 정산이 보류됐고, 양쪽 다 시간만 잃었어요.
2026년 4월 미국 기업의 Anthropic Claude 결제 점유율이 OpenAI ChatGPT를 추월했고, GitHub Trending 1위 obra/superpowers는 194K 별을 받았어요. 외주사가 AI를 안 쓴다는 건 사실상 불가능한 시대예요. 그렇다면 발주사가 할 일은 "쓰지 마"가 아니라 "어떻게 써야 우리도 안전한지 계약에 박아두기"예요.
아래 8가지 조항은 2026년 한국 IT 외주 계약서에 최소한으로 들어가야 할 항목이에요.
"외주사는 본 프로젝트 수행에 다음 AI 모델만 사용한다: Claude Opus 4.5 / GPT-5.5 / Gemini 2.5 / 사내 호스팅 Qwen3 등." 화이트리스트가 없으면, 데이터 보호 수준이 낮은 무료 모델·임의의 wrapper 서비스가 들어와요. 특히 학습 데이터로 사용되지 않는 enterprise tier 사용을 명시해야 해요(예: Claude for Work, ChatGPT Enterprise, Gemini for Workspace).
"AI를 사용해 생성된 코드·문서·다이어그램·UI 자산은 발주사에 100% 귀속한다. 외주사 또는 외주사의 AI 서비스 제공자가 학습·재배포에 사용할 수 없다." Anthropic·OpenAI 모두 enterprise plan에서는 학습에 사용하지 않지만, 외주사가 어떤 plan을 쓰는지는 확인되지 않아요. 계약서 한 줄로 책임을 외주사에 넘겨두세요.
"외주사는 발주사가 제공한 고객 PII, 매출 데이터, 미공개 사업계획서를 AI 프롬프트에 직접 입력하지 않는다. 비식별화·요약·합성 데이터로 변환 후에만 사용한다." 2026-05-15 Firebase browser key 사고처럼, 1줄 실수가 13시간에 €5,000을 태워요. 외주사 PM이 임의로 PII를 GPT에 넣는 일을 막아야 해요.
"AI 도구로 단축된 작업 시간은 발주사 견적에 그대로 반영한다. 외주사는 AI로 1시간에 끝낸 작업을 8시간으로 청구할 수 없다." 이건 외주사 입장에서도 공정해요. 대신 AI 도구 라이선스 비용은 외주사가 별도 청구할 수 있게 허용. 2025년부터 미국·유럽 계약에서 표준이 된 조항이에요.
"외주사는 프로젝트 기간 + 12개월 동안 (1) 사용한 AI 모델·버전 (2) 프롬프트·응답 로그 (3) 코드 커밋과 AI 응답의 연결 추적을 보관한다. 발주사 요청 시 7일 이내 제공한다." 헬스케어·금융·공공 클라이언트 PoC를 통과하려면 거의 필수예요. Anthropic·OpenAI의 audit log export 기능을 활용하도록 명시해두세요.
"AI가 생성한 코드·문서에 사실 오류, 가공된 API, 존재하지 않는 라이브러리(slop)가 포함돼 발주사가 운영 사고를 겪은 경우, 외주사는 1차 책임을 진다. 단 발주사가 직접 추가한 변경에서 발생한 사고는 제외한다." obra/superpowers의 'verification-before-completion' 스킬이 인기를 끄는 이유가 여기 있어요. 검증되지 않은 출력의 책임을 누가 지는지 명확해야 분쟁이 안 나요.
"외주사는 PR마다 (1) AI 생성 비율 추정 (2) 사용 모델 (3) 사람 리뷰어 식별을 PR 설명·커밋 메시지에 기재한다." EU AI Act, 한국 AI 기본법 시행을 앞두고, 산출물이 누구·무엇으로 만들어졌는지 추적이 필수가 되고 있어요. lobsters의 "LLM generated submissions should be disallowed"(470점)는 이 영역의 컨센서스가 빠르게 굳고 있다는 신호예요.
"계약 종료 시 외주사는 (1) AI 프롬프트·시스템 메시지·튜닝 데이터를 발주사에 인계 (2) 외주사 사이드의 사본 30일 이내 파기 (3) AI 서비스 계정·API 키 회수 협조를 수행한다." 2026-05-10에 이미 작성한 'SLO·런북·인계 가이드'에 더해, AI 자산 인계가 누락되면 다음 외주사·내부 팀이 6주를 헛것에 쓰게 돼요. 프롬프트 1개에 수십 시간의 튜닝이 녹아있는 시대잖아요.
2026-04 어느 핀테크 PoC: 외주사가 GPT-5.5 Plus 개인 계정으로 고객 거래 패턴 데이터를 직접 프롬프트에 입력했어요. 데이터 자체는 OpenAI 학습에 쓰이지 않았지만, 발주사 보안팀 감사에서 "어떤 모델·어떤 plan·어떤 학습 정책으로 처리됐는지 입증할 수 없다"는 결론이 났어요. 계약서에 조항 1·3·5가 없었던 게 직접 원인이었어요. 정산 8,000만원이 3개월 보류됐고, 양쪽이 변호사 비용을 추가로 썼어요.
2026-05 어느 커머스 외주: 외주사가 Cursor + Claude로 일주일 만에 결제 모듈을 납품했는데, 환경별 키 분리가 안 된 채로 production secret이 코드에 직접 박혀있었어요. 환각으로 만들어진 가짜 라이브러리 import도 2개 발견됐어요. 조항 6(환각 책임 분담)이 있었다면 즉시 외주사 책임으로 정리됐을 일을, 협상으로 두 달을 보냈어요.
이제 견적서·요구사항 명세서만으로는 부족해요. 위 8가지 조항을 RFP 단계에서 미리 공개하면, 외주사 5곳에 보낸 견적 회신 중 2~3곳은 자동으로 걸러져요. 남은 곳들이 진짜 2026년 수준의 외주 파트너예요.
포텐랩은 2025년부터 모든 외주 계약에 위 8가지 조항을 표준으로 포함하고 있어요. 97%의 프로젝트 수행완수율은 AI 도구 사용을 숨기지 않고, Notion에서 매일 어떤 모델·어떤 프롬프트로 어떤 결과가 나왔는지 투명하게 공유하는 덕분이에요. AI 시대의 외주 파트너를 찾고 계신다면 포텐랩 포트폴리오에서 비슷한 사례를 확인하시고, 상담 문의로 가볍게 시작해보세요. RFP 검토부터 같이 봐드릴게요.
AI 기능 외주의 비용 구조까지 함께 보려면 기존 서비스에 AI 기능 추가 비용 완전 가이드를 참고하세요.