■ 규정별 계약·경로
표시가 없는 문장은 공식 문서에서 확인한 내용이에요. 다른 표시는 읽는 법
왜 배우나 — 시험이 요구하는 것
시험 목표 5.4 규정 준수 · D5 규정·안전 14%Ensure compliance with regulations (e.g., GDPR, HIPAA, FedRAMP)
이 개념으로 푸는 판단 (할 수 있어야 하는 것)
- 5.4③ EU 고객·미국 연방 고객·보안팀 질문지 — 계약·경로·데이터 기본값은? — 규정 → 맞는 계약·배포 경로 고르기 + 데이터 정책을 범위·예외까지 말하기
- 6.1③ 민감 데이터라며 BAA·GDPR·ZDR 을 한꺼번에 걸자고 한다 — 디스커버리에서 무엇을 사실로 확인하나? — 규정 약정을 데이터 사실(PHI 유무·거주지·보존)에서 끌어내기
한눈에
규정 이름을 보면 "무슨 계약" 또는 "어느 배포 경로"로 답이 갈린다. 규정마다 붙는 곳이 다르다
- GDPR 은 계약(DPA·SCC)에 붙는다
- FedRAMP 는 배포 환경에 붙는다
- SOC 2 는 감사 보고서(증거 문서)다
- HIPAA 는 조직 설정과 BAA 에 붙는다
비유 클라우드 공유 책임 모델과 리전 선택을 합친 것과 같다. 고객은 데이터 주인(관리자)이다. 사업자는 맡아 처리하는 쪽(처리자)이다. 인가(authorization)는 서비스에 붙는다. 감사 보고서는 사업자 문서 포털에서 받는다
ELI5
나라마다 입국 서류가 다른 공항 같아요.
- 유럽 손님은 "누가 짐 주인이고 누가 맡아 주는지" 적은 약속 문서가 필요해요.
- 짐이 바다 건너 다른 나라로 가면, 건너갈 때 쓰는 약속이 따로 붙어요.
- 미국 정부 손님은 허가받은 건물 안에서만 일할 수 있어요.
- 점검 보고서는 "잘 관리해요" 라는 증명일 뿐, 약속 문서를 대신하지 않아요.
개념 설명
원리
규정마다 붙는 대상이 다르다
- GDPR 은 계약 관계에 붙는다. 누가 관리자(목적을 정하는 쪽)이고 누가 처리자(맡아서 처리하는 쪽)인지 정한다. 개인정보가 EU 밖으로 나갈 때 무슨 조항으로 지키는지도 정한다. Anthropic 은 DPA 를 상용 약관에 편입해 둔다. 역외 이전 조항(SCC)은 필요한 범위에서 참조로 끼워 넣는다.
- FedRAMP 는 클라우드 서비스 인가(authorization)에 붙는다. 모델은 부품이라 인가 대상이 아니다. 그래서 답은 "어느 인가 환경에서 돌리나" 다. 그 환경은 C4G 또는 인가 클라우드(Bedrock GovCloud · Vertex Assured Workloads)다.
- SOC 2 는 감사 보고서다. 보안 통제(control)가 돌아간다는 증거다. 규정 계약이 아니다.
- HIPAA 는 조직 설정과 BAA 에 붙는다. 이것은 이 카드 밖이다(■ HIPAA 구성 · ■ BAA 적용 범위).
처리자가 누구냐가 먼저다
- 같은 Claude 모델이어도 부르는 길에 따라 처리자가 바뀐다. 1st-party API·Claude Platform on AWS·Foundry 는 Anthropic 이 처리자다. Bedrock·Vertex 는 그 클라우드가 처리자다.
- 처리자가 바뀌면 보존·규정 문서도 그쪽 것을 본다.
핵심 질문 세 개
- 이 규정은 계약·배포 환경·증거 문서 중 무엇을 요구하나?
- 데이터는 어떤 길(1st-party / 클라우드 경유)로 흐르나? 처리자가 누구인가?
- 쓰려는 제품(앱·API·Claude Code)이 그 인가 환경에 실제로 있나?
규칙과 판단
갈림길
①③④⑤⑥ 규정마다 무엇으로 [5.4③] [6.1③]
DPA + SCC
상용 약관에 편입된 DPA 를 쓴다. 역외 이전에는 SCC 를 쓴다
다음 물음 — 무엇을 쓰나?
조직 설정 + BAA
HIPAA 는 조직 설정과 BAA 로 다룬다. 자세한 것은 ■ HIPAA 구성 · ■ BAA 적용 범위 에 있다
증거 문서
서면으로 요청하면 감사 보고서(SOC 2 등)를 준다. 인증 목록과 문서 요청은 Trust Portal 에서 한다
③ 연방 경로 [5.4③]
C4G
C4G 는 FedRAMP High 다. 정부와 계약자 모두 쓴다
인가 클라우드
Bedrock GovCloud 나 Vertex Assured Workloads 를 쓴다
Bedrock · Vertex
C4G 에는 아직 없다
② 누가 처리자 [5.4③]
Anthropic 이 처리자
Anthropic 의 ZDR·HIPAA 문서를 본다
클라우드가 처리자
그 플랫폼의 보존·규정 문서를 본다
규칙 원문 ①②③④⑤⑥ (갈림길로 그린 규칙)
-
GDPR : DPA 는 Anthropic 상용 약관(Commercial Terms)에 편입돼 계약의 일부가 된다. 고객은 관리자(controller)이고, Anthropic 은 처리자(processor)다 (2026-09-28 조회) [5.4③] [6.1③]
역외 이전에는 SCC(표준 계약 조항)를 쓴다. Module 2(관리자에서 처리자로)와 Module 3(처리자에서 처리자로)이 필요한 범위에서 DPA 에 참조로 편입된다. 그래서 체결한 것으로 본다
영국은 UK Addendum, 스위스는 Swiss Addendum 을 쓴다. 충돌하면 SCC > DPA > 약관 순서로 앞선다 (2026-09-28 조회)
하위 처리자(subprocessor)를 추가하면 미리 알린다. 고객은 15일 안에 이의를 낼 수 있다. 이의가 없으면 동의로 본다 (2026-09-28 조회)
-
처리자가 누구냐로 적용 문서가 갈린다 (2026-09-28 조회) [5.4③]
Claude API·Claude Platform on AWS·Microsoft Foundry 는 Anthropic 이 처리자다. 그래서 Anthropic 의 ZDR·HIPAA 문서를 본다
Bedrock·Google Cloud(Vertex)는 클라우드가 처리자다. 그래서 그 플랫폼의 보존·규정 문서를 본다
-
FedRAMP : C4G(Claude for Government) 또는 FedRAMP 인가 클라우드(Bedrock GovCloud · Vertex Assured Workloads) 중 하나여야 한다(must). C4G 는 FedRAMP High 이고, 정부와 계약자 모두 쓴다 [5.4③]
표준 상용 API 는 이 목록에 없다. AWS Marketplace 상품은 Claude Enterprise 뿐이고, FedRAMP 가 아니다 (2026-09-28 조회)
인가는 모델이 아니라 배포 환경에 붙는다. 모델은 소프트웨어 부품이다. 고객은 호스팅 플랫폼으로 준수 상태를 유지한다
Claude Code 는 C4G 에 아직 없다. 그래서 FedRAMP 환경이 필요하면 Bedrock · Vertex 로 간다 (2026-09-28 조회)
그 밖의 경우는 아래와 같다 (2026-09-28 조회)
- ITAR 은 Bedrock(IL5)만 쓴다
- CUI 는 C4G 또는 Claude Enterprise(제3자 NIST 800-171r3 증명)를 쓴다
- IL6 은 AWS Secret 리전 Bedrock 을 쓴다
- 주·지방정부 대부분은 Claude Enterprise 를 쓴다
-
SOC 2 는 증거 문서다. Anthropic 은 해마다 외부 감사를 받는다. 고객이 서면으로 요청하면 감사 보고서·인증서(SOC 2 보고서 등)를 준다 [5.4③]
인증 목록과 문서 요청은 Trust Portal(trust.anthropic.com)에서 한다. 공공 FAQ 가 드는 인증은 HIPAA·SOC 2·ISO 27001 이다 (2026-09-28 조회)
SOC 2 보고서는 GDPR 계약(DPA · SCC)을 대신하지 않는다. 보안팀 질문지에서는 증거로 쓴다. 계약 칸에는 DPA · SCC 를 쓴다 업계 일반
-
HIPAA(PHI)는 ■ HIPAA 구성 · ■ BAA 적용 범위 에 있다. 공공 FAQ 의 "BAA 는 ZDR 계약이 필요" 문장은 플랫폼 docs("HIPAA readiness 면 ZDR 따로 필요 없음")와 부딪힌다. API 시나리오는 docs 쪽을 따른다. 자세한 것은 그 카드에 있다 (2026-09-28 조회)
-
여러 규정이 한 지문에 나오면 데이터 사실(EU 개인정보·연방 기관·PHI)마다 해당 줄만 고른다. 전부 한 묶음으로 요구하지 않는다 업계 일반 [6.1③]
더 깊이 : 판단 규칙 · 상황 변수 (설명)
판단 규칙
| 조건 | 답 | 근거 |
|---|---|---|
| EU 고객 개인정보를 처리한다 | DPA(상용 약관에 편입)를 쓴다. 고객이 관리자이고, Anthropic 이 처리자다 | DPA |
| EU 밖으로 개인정보를 이전한다 | SCC Module 2·3 가 필요한 범위에서 편입된다(체결로 본다). 영국·스위스는 부속서를 쓴다 | DPA |
| DPA·SCC·약관이 충돌한다 | SCC > DPA > 약관 순서로 앞선다 | DPA |
| 미 연방 기관이 FedRAMP 를 요구한다 | C4G 또는 Bedrock GovCloud · Vertex Assured Workloads 를 쓴다 | 공공 FAQ |
| 연방 기관이 Claude Code 를 쓴다 | C4G 에 아직 없다. 그래서 Bedrock · Vertex 를 쓴다 | 공공 FAQ |
| ITAR 데이터다 | Bedrock(IL5)만 쓴다 | 공공 FAQ |
| CUI 데이터다 | C4G·Bedrock·Vertex(FedRAMP High) 또는 Claude Enterprise(제3자 NIST 800-171r3 증명)를 쓴다 | 공공 FAQ |
| 주·지방정부 대부분이다 | Claude Enterprise 를 쓴다 | 공공 FAQ |
| 보안팀이 SOC 2 보고서를 요구한다 | 서면으로 요청하면 감사 보고서를 준다. Trust Portal 도 있다 | DPA · 공공 FAQ |
| Bedrock · Vertex 로 호출한다 | 클라우드가 처리자다. 그래서 그 플랫폼 문서를 본다 | api-and-data-retention |
상황 변수
| 변수 | 값 | 답 쪽 | 등급 | 근거 |
|---|---|---|---|---|
| 데이터 종류 | EU 개인정보 | DPA · SCC 를 쓴다 | 판단 규칙 1·2 | |
| 데이터 종류 | PHI | ■ HIPAA 구성 · ■ BAA 적용 범위 | — | — |
| 데이터 종류 | CUI | FedRAMP High 환경 또는 Claude Enterprise 를 쓴다 | 공공 FAQ | |
| 데이터 종류 | ITAR | Bedrock(IL5)만 쓴다 | 공공 FAQ | |
| 고객 | 연방·사법·입법 기관 | C4G(또는 인가 클라우드)를 쓴다 | 공공 FAQ | |
| 고객 | 주·지방정부 | 대부분 Claude Enterprise 로 충분하다 | 공공 FAQ | |
| 제품 | Claude Code (연방) | Bedrock · Vertex 를 쓴다 | 공공 FAQ | |
| 호출 경로 | 1st-party · Claude Platform on AWS · Foundry | Anthropic 이 처리자다 | api-and-data-retention | |
| 호출 경로 | Bedrock · Vertex | 클라우드가 처리자다 | api-and-data-retention | |
| 요구 | "인증 증거를 보여 달라" | Trust Portal 의 감사 보고서를 준다 | DPA | |
| 요구 | "EU 법적 요건을 맞춰 달라" | 계약(DPA · SCC)으로 맞춘다. SOC 2 가 아니다 | 업계 일반 | 원리 절 |
연습 문제
미 연방 기관이 FedRAMP 를 요구한다. 채팅은 C4G 로 정했고, 이번엔 개발팀이 쓸 Claude CodeClaude Code 차례다. 담당자는 "C4G 를 샀으니 Claude Code 도 거기서 쓰면 된다" 고 한다. Claude Code 는 어디로 가야 할까?
시험 대비
함정
- "EU 배포엔 DPA · SCC · SOC 2 인증이 필요" 는 함정이다. SOC 2 는 증거 문서다. GDPR 계약 칸은 DPA · SCC 다 업계 일반 공식 문장 없음
- "Anthropic 이 관리자(controller)" 는 함정이다. 고객이 관리자이고, Anthropic 은 처리자다
- "연방 고객에게 표준 상용 API" 는 함정이다. C4G 또는 Bedrock GovCloud · Vertex Assured Workloads 를 쓴다
- "Claude 모델이 FedRAMP 인증을 받았다" 는 함정이다. 인가는 배포 환경(클라우드 서비스)에 붙는다
- "AWS Marketplace 로 사면 FedRAMP" 는 함정이다. Marketplace 상품은 Claude Enterprise 이고, FedRAMP 가 아니다
- "C4G 에서 Claude Code" 는 함정이다. 아직 없다. Bedrock · Vertex 를 쓴다
- "ITAR 도 C4G 로" 는 함정이다. Bedrock(IL5)만 쓴다
- "Bedrock 으로 불러도 Anthropic ZDR·HIPAA 문서가 적용" 은 함정이다. 클라우드가 처리자다
- "CUI 는 무조건 FedRAMP 환경" 은 함정이다. Claude Enterprise 도 제3자 NIST 증명으로 쓸 수 있다
신호
"With respect to Customer Personal Data, Customer is the controller and Anthropic is Customer’s processor."
"is incorporated into and forms part of the Anthropic Commercial Terms of Service" (DPA)
"for the transfer of personal data to third countries" (DPA 의 SCC 정의)
"Customers requiring FedRAMP compliance must use Claude for Government (C4G) or access Claude models through FedRAMP-authorized CSPs (Bedrock GovCloud or Vertex Assured Workloads)."
"AI models are software components, not cloud services."
"ITAR data can only be processed in Claude via AWS Bedrock, which is IL5 accredited."
"audit reports or certificates applicable to the Services" (DPA F.1)
"On Bedrock and Google Cloud, the cloud provider is the data processor"
더 깊이 : 뒤집히는 때 · 오답 재료 (설명)
뒤집히는 때
1. "정부 고객 = FedRAMP 필수" 가 안 맞는 때
- 조건 : 고객이 주·지방정부이거나, CUI 만 다루는 기관이다.
- 판단 : 주·지방정부 대부분은 Claude Enterprise 로 충분하다. CUI 는 Claude Enterprise 도 제3자 NIST 증명으로 쓸 수 있다. 그래서 "정부니까 무조건 C4G" 는 과한 답이다.
- 근거 : 공공 FAQ
2. 연방 기관이 Claude Code 도 원할 때
- 조건 : 연방 기관이 FedRAMP 를 요구한다. 채팅 앱과 개발팀 Claude Code 가 모두 필요하다.
- 판단 : 채팅은 C4G 를 쓴다. Claude Code 는 Bedrock · Vertex 를 쓴다(C4G 에 아직 없다). 그래서 한 경로로 다 묶는 보기는 틀린다.
- 시점 : 공공 FAQ 는 "올해 안" 출시 예정이라 적는다. 그래서 시점이 바뀔 수 있다(미해결 5).
- 근거 : 공공 FAQ
3. EU 고객이 Bedrock 으로 부를 때
- 조건 : EU 고객이 Bedrock 으로 호출한다.
- 판단 : 처리자는 AWS 다. 그래서 Anthropic 의 보존·규정 문서가 아니라 AWS 쪽 문서를 본다. Anthropic DPA 가 그대로 적용되는지는 받은 원문에 문장이 없다.
- 등급 : (처리자) · 계약 주체는 미해결 4
- 근거 : api-and-data-retention
4. 보안팀 질문지가 "GDPR 준수 증명" 을 SOC 2 로 요구할 때
- 조건 : 질문지 한 칸이 "GDPR 준수를 SOC 2 보고서로 증명" 하라고 요구한다.
- 판단 : 두 칸으로 나눠 답한다. 계약 칸에는 DPA · SCC 를 쓴다. 증거 칸에는 SOC 2 보고서(서면 요청)를 쓴다. SOC 2 하나로 GDPR 을 채우는 보기는 틀린다.
- 등급 : 업계 일반 (SOC 2 가 GDPR 요건이 아니라는 공식 문장 없음)
- 근거 : DPA
5. 공공 FAQ 가 "BAA 는 ZDR 필요" 라고 말할 때
- 조건 : 주·지방정부가 PHI 를 API 로 다룬다. 공공 FAQ 를 근거로 ZDR 까지 요구한다.
- 판단 : 플랫폼 docs 는 "HIPAA readiness 면 ZDR 따로 필요 없음" 이라 적는다. API 시나리오는 docs 쪽을 따른다. Claude Code 는 ZDR 이 있어야 BAA 대상이다. 자세한 것은 ■ BAA 적용 범위 에 있다.
- 등급 : (두 문장 모두 원문) · 공식 문서끼리 다름
- 근거 : 공공 FAQ · api-and-data-retention
오답 재료
| 오답 | 왜 끌리나 | 왜 틀리나 | 등급 | 근거 |
|---|---|---|---|---|
| "EU 배포엔 DPA · SCC · SOC 2 인증이 필요" | 셋 다 보안 질문지에 자주 나온다 | SOC 2 는 증거 문서다. GDPR 계약은 DPA · SCC 다 | 업계 일반 | 목록 5.4③ 매력적인 오답 |
| "Anthropic 이 데이터 관리자" | 데이터를 들고 있는 쪽이기 때문이다 | 고객이 관리자이고, Anthropic 은 처리자다 | DPA | |
| "DPA 를 따로 협상·서명해야 GDPR 대응" | 계약서는 따로 쓰는 것 같다 | DPA 는 상용 약관에 편입돼 있다. SCC 도 체결한 것으로 본다 | DPA | |
| "연방 고객에게 표준 상용 API" | 기능이 제일 많다 | FedRAMP 면 C4G 또는 인가 클라우드여야 한다 | 공공 FAQ | |
| "Claude 모델이 FedRAMP High 인증" | 인증 뉴스 제목처럼 들린다 | 인가는 클라우드 서비스에 붙는다. 모델은 부품이다 | 공공 FAQ | |
| "AWS Marketplace 로 사면 FedRAMP" | AWS 에는 GovCloud 가 있기 때문이다 | Marketplace 상품은 Claude Enterprise 이고, FedRAMP 가 아니다 | 공공 FAQ | |
| "ITAR 도 C4G 로" | C4G 가 정부용 최상위다 | ITAR 은 Bedrock(IL5)만 쓴다 | 공공 FAQ | |
| "Bedrock 경유도 Anthropic ZDR 적용" | 같은 모델이다 | 클라우드가 처리자다 | api-and-data-retention | |
| "민감하니 GDPR · BAA · FedRAMP 를 한 묶음으로" | 안전해 보인다 | 데이터 사실마다 해당 줄만 고른다 | 업계 일반 | 목록 6.1③ |
참고
더 깊이 : 출처 · 상태 · 미해결 (참고)
출처
- 가이드 목표 5.4 공식 시험 가이드 v1.0
- DPA
- 공공 부문 FAQ
- docs api-and-data-retention
상태
- 업계 일반 2줄(④ 끝 · ⑥)
- 공식 문서끼리 다름 1곳(⑤ 공공 FAQ 의 BAA-ZDR 문장)
미해결
- 인증 목록을 받지 못했다. support.claude.com/en/articles/10015870 (privacy.claude.com 판도 같다)이 defuddle 에서 목록이 빠진 채 왔다(
en-certifications.md, 본문 2줄). 그래서 목록의 "SOC 2 Type I·II · ISO/IEC 42001" 을 원문에서 못 찾았다. 확인된 것은 공공 FAQ 의 "HIPAA, SOC 2, ISO 27001"과 DPA 의 "SOC 2 report"뿐이다. - 공공 부문 FAQ 의 질문 제목이 defuddle 에서 빠졌다(답 문단만 남았다). 그래서 줄마다 어떤 질문의 답인지 문맥으로 읽었다. 특히 13줄("Not yet … Claude Code through Bedrock or Vertex")은 앞뒤 문맥상 C4G 의 Claude Code 질문으로 본다(추론).
- "SOC 2 는 EU 법적 요건이 아니다" 는 공식 문장이 없다(업계 일반). 목록 5.4③ 의 정답 규칙 문장을 원문에서 못 찾았다.
- Bedrock · Vertex 경유 시 GDPR 계약 주체(Anthropic DPA 가 적용되는지)는 받은 원문에 문장이 없다.
- C4G 의 Claude Code · Cowork 는 "올해 안" 예정이다(공공 FAQ). 이 문장이 쓰인 해가 문서에 없다.
- 공공 FAQ "It requires a Zero Data Retention (ZDR) agreement" 는 플랫폼 docs과 부딪힌다. 이것은 HIPAA 카드 쪽에서 정리한다.
- Skilljar 과정 목록에는 규정·계약 강의가 없다. "Deploying Claude Enterprise with Confidence" 는 등록되지 않아 건너뛰었다.