맞춤형 GPT와 GPT 액션을 위한 개인정보처리방침

ChatGPT 이용자가 따라갈 수 있는 쉬운 말로, 액션 뒤에 있는 서비스를 위한 방침을 쓰세요. 다음을 포함하세요.

1. 액션 운영자: 이름이나 회사명, GPT 또는 서비스 이름, 개인정보 문의처
2. 받는 정보: 스키마가 받는 매개변수, 함께 전송되는 대화 텍스트, OAuth를 쓴다면 계정 데이터
3. 이용하는 이유: 요청에 답하기, 이용자 계정 기능 운영, 악용 방지. 사실이 아니라면 그 외의 목적은 적지 않습니다.
4. 함께 받는 자: 호스팅, 데이터베이스, 로깅, 호출하는 AI 모델 제공업체와 각각에 대한 짧은 설명
5. 보관 기간: 요청 로그, 저장된 결과, 계정 데이터 각각의 실제 기간
6. 이용자 권리와 삭제: 열람이나 삭제를 요청하는 방법, OAuth 계정 연결을 해제하는 방법
7. 아동: OpenAI 서비스에는 자체 연령 규칙이 있습니다. 여러분의 서비스가 아동을 대상으로 하는지 밝히세요.
8. 변경 사항과 시행일

액션이 이용자 계정을 지원한다면 그 계정의 데이터를 어떻게 다루는지 추가하세요. AI 챗봇 개인정보처리방침 가이드와 AI 제품 개인정보 고지 가이드에서 모델 제공업체, 프롬프트, 학습을 더 깊이 다룹니다.

이 요건은 GPT가 여러분이 정의한 외부 API를 호출할 수 있게 하는 기능인 액션과 연결되어 있습니다. OpenAI 고객센터는 GPT가 액션을 사용하고 이를 공개적으로 공유하거나 GPT 스토어에 게시하려면 각 공개 액션에 유효한 개인정보처리방침 URL이 포함되어야 한다고 말합니다. 액션 구성에 관한 문서도 더 짧게 같은 내용을 말합니다. 각 액션에는 개인정보처리방침 URL을 넣을 수 있으며, 링크로 공유하든 GPT 스토어에 올리든 액션이 있는 공개 GPT에는 유효한 URL이 있어야 합니다. 게시 관련 문서는 유효한 개인정보처리방침 URL 없이 액션을 사용하는 GPT를 공개 게시가 차단될 수 있는 이유 중 하나로 나열합니다.

액션 없이 지침과 지식 파일만 사용하는 GPT는 이 특정 규칙에 해당하지 않습니다. 비공개로 두거나 워크스페이스 안에서만 공유하는 GPT도 대상이 아니지만, 워크스페이스 관리자는 자체 통제를 설정할 수 있습니다.

OpenAI가 이를 고집하는 이유는 무엇일까요? 액션이 실행되면 데이터가 ChatGPT를 떠나 여러분의 서버에 도달하며, OpenAI는 제3자 서비스가 그 데이터를 어떻게 이용하거나 저장하는지 감사하거나 통제하지 않는다고 밝히기 때문입니다. 이용자는 여러분의 방침을 통해 그것을 알게 됩니다. 같은 논리가 다른 플랫폼에도 적용되며, 링크의 호스팅과 테스트는 개인정보처리방침 URL 만드는 법 가이드에서 다룹니다.

방침은 서버가 보는 것을 설명해야 하므로 정확해야 합니다. OpenAI의 액션 프로덕션 안내는 이용자가 GPT의 맞춤 액션과 상호작용할 때 ChatGPT가 대화의 일부를 액션의 엔드포인트로 보낼 수 있다고 말합니다. 모델은 이용자의 요청을 OpenAPI 스키마에 정의된 매개변수로 바꾸므로, 이용자가 입력한 이름, 이메일 주소, 그 밖에 공유하기로 한 무엇이든 그 매개변수에 들어갈 수 있습니다. OpenAI는 또 ChatGPT가 공개된 IP 대역에서 액션을 호출한다고 밝히므로, 서버에는 OpenAI 인프라에서 온 요청이 보입니다.

그 밖에 무엇이 도달하는지는 설계에 따라 다릅니다.

• 인증: OpenAI는 None, API 키, OAuth 옵션을 제공합니다. OAuth를 쓰면 이용자가 여러분의 서비스에 로그인하므로, 요청이 여러분 서비스의 계정과 연결됩니다.
• 자체 로그: 웹 서버, API 게이트웨이, 모니터링 도구가 저장하는 요청 본문, 타임스탬프, 오류
• 하위 서비스: 백엔드가 호출하는 데이터베이스, 검색 API, AI 모델 제공업체

OpenAI의 GPT 개인정보 FAQ는 GPT 빌더가 이용자와 GPT 간의 개별 대화를 볼 수 없다고 설명합니다. 여러분이 노출되는 범위는 액션이 받는 것과 보관하는 것이며, 바로 그것을 방침에서 설명해야 합니다.

인증 방식에 따라 방침에 써야 할 내용이 달라집니다.

인증 없음. 여러분 입장에서 모든 요청은 익명이지만, 이용자가 입력한 개인정보가 들어 있을 수 있습니다. 방침에서는 요청 내용을 처리하고, 최소한의 로그만 보관하며, 이용자를 식별하려 하지 않는다고 설명해야 합니다.

API 키. 키는 개별 이용자가 아니라 GPT를 인증합니다. 누가 대화하든 요청은 똑같아 보이므로 데이터 범위가 작게 유지됩니다. 방침은 익명의 경우와 비슷하며, 속도 제한과 악용 방지를 쓴다면 그것을 추가합니다.

OAuth. 이용자가 여러분의 서비스에 로그인하고, 요청이 그들의 계정과 연결됩니다. 이제 방침은 프로필 데이터, 저장된 콘텐츠, 액션이 계정을 어떻게 업데이트하는지, 이용자가 어떻게 연결을 해제하는지 등 계정 관계 전체를 다루어야 합니다. OpenAI의 구성 문서는 OAuth 액션의 경우 이용자가 ChatGPT에서 연결된 계정을 검토하고 관리할 수 있으며, 액션 실행 전에 승인을 요청받을 수 있다고 말합니다.

어떤 방식을 고르든 기능이 작동하는 데 필요한 가장 좁은 스코프와 입력만 요청하세요. 그러면 방침도 보안 작업도 짧아집니다.

심사 거절과 이용자의 혼란은 대개 몇 가지 실수로 거슬러 올라갑니다.

• OpenAI의 개인정보처리방침을 링크하는 것. OpenAI의 방침은 여러분의 서버가 아니라 ChatGPT를 다룹니다. 자신의 방침이 필요합니다.
• GPT, 액션, API가 받는 데이터를 전혀 언급하지 않는 홈페이지나 일반 회사 방침을 링크하는 것
• 로그에 요청 본문 전체가 남는데 아무것도 저장하지 않는다고 말하는 것. 웹 서버, 게이트웨이, 모니터링 설정을 확인하세요.
• 백엔드가 호출하는 AI 제공업체를 빠뜨리는 것. 액션이 텍스트를 다른 모델 API로 전달한다면 이름을 밝히고 보유 방식을 설명하세요.
• 기간이나 기준 없이 ‘필요한 기간 동안’ 같은 모호한 보유 기간
• 로그인이 필요하거나 방문자가 수정할 수 있는 문서 링크를 쓰는 것
• 새로운 종류의 데이터를 받는 엔드포인트를 추가하고 방침을 업데이트하지 않는 것

간단한 테스트가 있습니다. OpenAPI 스키마와 방침을 나란히 놓고 읽어 보세요. 개인정보를 담을 수 있는 모든 매개변수가 방침에 설명되어 있어야 하고, 코드가 호출하는 모든 제공업체가 방침에 나와야 합니다.

GPT에 투자하기 전에 제품이 어디로 향하는지 확인하세요. 2026년 10월 기준으로 OpenAI 고객센터는 맞춤형 GPT를 종료할 계획이라고 밝히며, 재사용 가능한 지침과 연결된 앱을 하나로 묶는 플러그인으로 워크플로를 옮기도록 권장합니다. 같은 공지에 따르면 다음과 같습니다.

• 마이그레이션 기능은 2026년 9월 17일을 목표로 했으며, 모든 계정이나 워크스페이스에 한 번에 제공되지 않을 수 있습니다
• 영향을 받는 Enterprise 워크스페이스의 종료는 2026년 12월 11일로 계획되어 있으며, 다른 요금제도 같은 일정을 따를 것으로 예상됩니다
• 기존 GPT는 종료 전까지 계속 사용할 수 있습니다
• Free, Go, Plus, Pro를 포함한 개인 ChatGPT 계정은 새 GPT를 만들거나 게시할 수 없으며, Business, Enterprise, Edu 워크스페이스는 워크스페이스 설정과 권한에 따라 다릅니다

이 날짜들은 OpenAI 자체 공지에서 나온 것이며 바뀔 수 있으므로, 출시를 계획하기 전에 최신 고객센터 문서를 확인하세요.

개인정보처리방침 측면에서 이 변화는 들리는 것만큼 큰 혼란은 아닙니다. 데이터 흐름은 비슷합니다. ChatGPT에서의 이용자 요청이 여러분의 백엔드에 도달합니다. 액션 API에 맞춰 정확하게 작성한 방침은 아래에서 설명하듯 처음부터 다시 쓰지 않고 플러그인용으로 업데이트할 수 있습니다.

플러그인으로 마이그레이션하면 개인정보 규칙은 줄어드는 것이 아니라 더 상세해집니다. ChatGPT와 Codex가 공유하는 디렉터리에 등록되는 플러그인을 다루는 OpenAI의 플러그인 가이드라인은, 제출물에 최소한 수집하는 개인정보의 범주, 이용 목적, 수령자의 범주, 데이터 보유 기간, 이용자에게 제공하는 통제 수단을 설명하는 명확하고 게시된 개인정보처리방침이 포함되어야 한다고 말합니다. 이용자는 설치 전에 방침을 검토할 수 있습니다.

가이드라인은 방침에 반영해야 할 데이터 규칙도 정합니다.

• 필요한 최소한의 데이터만 수집하고, ‘혹시 몰라서’ 두는 필드는 없어야 합니다
• PCI DSS가 적용되는 결제 카드 데이터, 보호 대상 건강 정보, 정부 발급 식별자, 접근 자격 증명 같은 제한 데이터를 수집하지 않습니다
• 전체 대화 기록이나 원본 채팅 내역을 요청하지 않습니다
• 공개되고, 범위가 좁으며, 이용자가 실질적으로 통제할 수 있는 경우가 아니라면 IP 주소 같은 메타데이터를 포함해 이용자를 추적하거나 프로파일링하지 않습니다
• 플러그인은 13세에서 17세 이용자에게 적합해야 하며, 13세 미만 아동을 대상으로 해서는 안 됩니다

GPT 액션 방침에 이미 범주, 목적, 수령자, 보유 기간, 통제 수단이 나와 있다면 거의 다 된 것입니다. 제출할 때 이 가이드라인과 비교해 검토하세요.

AI 개인정보처리방침 생성기는 이런 종류의 서비스를 위해 설계되었습니다. AI 사용 사례를 선택한 다음, 액션이 받는 것, 사용하는 제공업체, 이용자 계정 유무, 보유 기간, 이용자가 있는 지역을 설명하세요. 질문지, 전체 미리보기, 기본 HTML 및 PDF 다운로드는 계정 없이 무료입니다.

조항은 답변에 따라 버전이 관리되는 라이브러리에서 결정론적으로 선택됩니다. 실행 시점에 AI가 조항을 작성하지 않으므로, 결과는 예측 가능하며 여러분이 확인한 내용만 설명합니다. GDPR, 영국, 캘리포니아 같은 고급 지역 모듈은 $5이며, 선택형 공개 호스팅은 1회 $0.99가 추가되어 액션의 개인정보처리방침 필드나 플러그인 제출에 붙여 넣을 공개 페이지가 생깁니다.

백엔드가 저장소에 있다면, Codex, Claude Code, ChatGPT 같은 AI 코딩 에이전트가 개발자용 MCP 서버를 통해 코드베이스를 살펴보고 발견한 내용으로 비공개 초안을 만들 수 있으며, 이를 여러분이 검토하고 확인합니다. 잊고 있던 로깅이나 제공업체 호출을 찾아내는 데 유용합니다. 생성된 텍스트는 답변을 반영할 뿐이며 법률 자문이 아닙니다.