AI 앱의 데이터 거주성: DPDP와 GDPR 라우팅 가이드

요약

본 글은 AI 앱 개발 시 데이터 거주성(Data Residency)과 관련된 주요 규제인 인도의 DPDP와 GDPR을 비교 분석합니다. 인도 법은 포괄적 현지화 의무가 없으나, 부문별 규칙이나 중요 데이터 신뢰 주체에 대한 특정 제한이 존재함을 강조합니다. 반면 EU/UK의 GDPR은 물리적 위치보다 적정성(adequacy)과 합법적인 전송 메커니즘을 중시합니다.

핵심 포인트

• 인도 DPDP는 포괄적 현지화 의무가 없으며, 블랙리스트에 없는 곳으로 전송이 가능함.
• 실질적인 제한은 부문별 규칙이나 중요 데이터 신뢰 주체(SDF) 관련 규정에서 발생할 수 있음.
• GDPR/UK GDPR은 물리적 위치보다 적정성 결정 및 합법적인 전송 메커니즘을 요구함.
• 데이터 거주성은 저장 시점(At-rest residency)과 지역 내 처리 방식에 대한 이해가 필요함.