해외 투자 발표는 특정 한국 조직의 Agentforce 추론, 로그, Data 360 저장 위치를 증명하지 않습니다. PIPA 검토는 보도자료가 아니라 실제 데이터 흐름, 조직별 리전, 제품별 처리 조건, 하위 처리자와 계약을 기준으로 해야 합니다.
Salesforce PIPA 컴플라이언스는 단순한 체크리스트가 아니다. 아키텍처 결정이다.
리전 마케팅과 실제 처리 위치를 구분해야 합니다
Hyperforce는 데이터 저장 위치에 대한 선택지를 넓히지만, Salesforce의 공식 안내도 로컬 저장과 모든 처리가 항상 같은 국가에서 이루어진다는 주장을 구분합니다. 제품, 기능, 지원, 하위 처리자 또는 고객이 구성한 외부 Action에 따라 국외 처리가 발생할 수 있습니다.
2023년 개정 PIPA는 개인정보 국외 이전의 근거와 통제를 정비했습니다. 적용 가능한 근거는 처리 목적, 계약 관계, 이전 방식과 고지 내용에 따라 달라집니다. 따라서 “동의 또는 표준 계약이면 충분하다”거나 “해외 리전을 경유하면 곧바로 위반이다”라고 일반화해서는 안 됩니다. 개인정보보호위원회(PIPC) 지침과 한국 법률 자문으로 실제 흐름을 검토해야 합니다.
리전 가용성은 조직과 제품별로 달라질 수 있습니다. “한국 고객은 모두 일본 또는 싱가포르를 경유한다”거나 “한국 리전이 없다”는 고정 문장을 문서에 넣지 마십시오. Salesforce의 현재 인스턴스 위치 안내, Hyperforce 데이터 레지던시 문서, Trust and Compliance 자료, DPA와 하위 처리자 목록을 조직별로 확인해야 합니다.
Agentforce 아키텍처에서 PIPA 리스크가 발생하는 지점
Agentforce의 추론 구조를 분해하면 PIPA 리스크가 집중되는 레이어가 세 곳이다.
첫째, Data 360의 Data Streams와 Identity Resolution 단계입니다. 수집되는 필드, 소스 위치, Data 360 테넌트 위치, 매칭 키, 보유 기간과 접근 권한을 확인해야 합니다. 주민등록번호를 Identity Resolution의 일반적인 매칭 키로 예시하는 것은 부적절합니다. 최소한의 식별자만 사용하고 필요성과 보호 조치를 별도로 승인해야 합니다.
둘째, Prompt Builder 입력입니다. 템플릿에 어떤 필드가 삽입되는지, 마스킹이 실제로 적용되는지, 어떤 모델 제공자와 하위 처리자가 관여하는지, 입력·출력·감사 로그가 얼마나 보관되는지 확인해야 합니다. Trust Layer 기능을 켰다는 사실만으로 PIPA 준수가 자동 완성되지는 않습니다.
셋째, Agentforce Actions의 외부 호출입니다. MuleSoft, Apex, Flow, External Services가 외부 시스템을 호출하면 Salesforce 계약 밖의 처리자와 리전이 추가될 수 있습니다. 입력·출력 필드, 인증 주체, 목적, 오류 로그와 재시도 저장소까지 데이터 흐름도에 포함해야 합니다.
이 세 레이어를 설계 단계에서 다루지 않으면, 운영 후에 데이터 흐름과 책임을 다시 추적해야 합니다. 재설계 비용이 초기 도입 비용을 초과한다는 보편적 수치는 없지만, 목적·필드·처리자·보유 기간을 뒤늦게 식별하는 작업은 감사와 변경을 어렵게 만듭니다.
PIPA를 충족하는 Agentforce 아키텍처 패턴
실무에서 작동하는 패턴은 두 가지 방향으로 수렴한다.
데이터 최소화와 필요한 경우의 가명처리가 첫 번째입니다. Data 360에 보내는 필드를 사용 목적에 맞게 줄이고, 직접 식별자가 필요하지 않은 흐름은 토큰화 또는 가명처리를 검토할 수 있습니다. 다만 해시나 토큰도 재결합 가능성, 키 관리와 사용 맥락에 따라 여전히 개인정보로 취급될 수 있으므로 국외 이전 요건이 사라진다고 전제해서는 안 됩니다.
단, 가명처리가 PIPA상 완전한 면제를 보장하지는 않는다. 재식별 가능성 평가와 안전성 확보 조치가 병행되어야 하고, 이를 내부 문서로 남겨야 한다.
계약, DPA와 설정의 정합성 확인이 두 번째입니다. 처리 목적, 이전 국가, 하위 처리자, 삭제, 사고 통지, 감사 지원과 종료 시 반환·삭제를 확인하십시오. 법률상 통지 기한을 한 숫자로 단순화하지 말고 사고 유형, 대상과 최신 규정에 따라 한국 법무팀이 검토해야 합니다.
Agentforce 도입 전 아키텍처 검토가 필요한 이유에서 다룬 것처럼, 프로덕션 배포 전 컴플라이언스 기준을 설계와 테스트에 포함해야 운영 단계의 불확실성을 줄일 수 있습니다.
SI 의존 환경에서 PIPA 책임 소재가 불명확해지는 구조
한국 기업의 Salesforce 운영 환경에는 SI(시스템 통합) 파트너가 깊이 개입되어 있다. 이 구조에서 PIPA 컴플라이언스 책임이 분산되고, 결과적으로 아무도 책임지지 않는 공백이 생긴다.
전형적인 패턴은 이렇다. SI가 Agentforce 구현을 담당하고, 데이터 흐름 설계도 SI가 수행한다. 그런데 SI는 PIPA 준수 여부를 고객사의 법무·컴플라이언스 팀이 확인할 사항으로 간주하고, 고객사 법무팀은 기술 구현 세부를 SI가 알아서 처리한다고 가정한다. Salesforce 본사 DPA는 글로벌 기준으로 작성되어 있어 한국 특수 요건이 명시되지 않는 경우가 많다.
이 삼각 구조에서는 감사나 사고가 시작된 뒤에야 책임 소재를 확인하게 됩니다. 조직 규모와 무관하게 데이터 흐름도, 처리 활동 기록, 승인자와 증적 위치가 없다면 대응이 늦어집니다.
아키텍처 관점에서 올바른 접근은 SI 계약 단계에서 PIPA 컴플라이언스 책임을 명시적으로 분리하는 것이다. 구현 책임(SI), 데이터 처리 위탁 계약 체결 책임(고객사), Salesforce DPA 검토 책임(고객사 법무 + 독립 기술 자문)을 계약서에 명문화해야 한다. 이것이 품의 단계에서 반드시 포함되어야 할 항목이다.
한국 기업이 지금 취해야 할 포지션
국가별 투자가 모든 제품의 리전 내 처리나 기능 제공 일정을 자동으로 보장하지는 않습니다. 한국 고객은 보도자료를 다른 국가의 보장으로 해석하지 말고, 자신의 조직과 기능에 적용되는 저장·처리·지원 경로를 계약 전에 확인해야 합니다.
Calculated Insights와 Agentforce Actions가 더 민감한 결정을 지원할수록 목적 제한, 최소화, 설명 가능성, 사람의 검토와 중단 권한이 중요해집니다. 기능 가능 여부와 적법성은 같은 질문이 아닙니다.
Salesforce PIPA 검토에 하나의 유일한 패턴은 없습니다. 데이터 최소화, 필요할 때의 가명처리, 계약 검토, 실제 리전 확인, 하위 처리자 관리, SI 책임 분리와 운영 증적을 사용 사례별로 조합해야 합니다.
Agentforce와 PIPA 데이터 보안 아키텍처에서 이 설계의 기술적 세부를 더 깊이 다루고 있다. Agentforce 도입을 검토 중이라면 해당 글의 데이터 흐름 분류 프레임워크를 먼저 적용하기를 권한다.
Agentforce 의사결정과 데이터 책임을 함께 검토하려면 Agentforce readiness guide에서 접근 방식을 확인할 수 있습니다. 이 글은 기술적 검토 프레임이며 법률 자문이 아닙니다.
핵심 정리
- 국가별 투자 발표는 특정 조직의 저장·추론·로그 처리 위치를 증명하지 않습니다. Salesforce 문서와 계약을 제품·조직별로 확인해야 합니다.
- Data 360 수집과 Identity Resolution, Prompt Builder 입력, 외부 Action은 실제 개인정보 흐름을 검토해야 할 주요 지점입니다.
- 토큰화와 가명처리는 노출을 줄일 수 있지만 국외 이전과 PIPA 검토를 자동으로 면제하지 않습니다.
- SI와 고객사 사이의 구현, 승인, 계약, 운영과 증적 책임을 RACI와 계약에 명시하되 고객사의 감독 책임이 남는다는 전제에서 설계해야 합니다.
- 최신 PIPC 지침과 한국 법률 자문을 기준으로 판단해야 하며, 이 글은 법률 자문이 아닙니다.
