인공지능(AI) 기술 개발은 국가 경쟁력을 높이기 위한 핵심 과제로 부상하고 있다. 이에 따라 신산업 육성 등을 위해 개인정보가 포함된 데이터를 활용하려는 수요가 증가하고 있다. 동시에 개인정보 처리에 대한 안전관리를 강화하고 처리 과정의 투명성을 확보할 수 있는 제도적 방안을 마련해야 한다는 요구도 커지고 있다. 이러한 과제를 해결하기 위해 AI 기술 개발에 필요한 개인정보 처리 특례를 신설하는 「개인정보 보호법」 개정안이 2026년 8월 20일 국회 본회의를 통과했으며, 같은 해 9월 8일 공포됐다.
인공지능(AI) 기술의 경쟁력은 학습에 활용할 수 있는 데이터의 양과 품질에 크게 좌우된다. 특히 영상·음성·이미지·텍스트 등을 활용하는 AI 개발에서는 데이터에 포함된 개인의 특성이나 상황적 맥락이 학습에 중요한 요소로 작용할 수 있다. 이에 따라 기업이 서비스 제공 과정에서 적법하게 확보한 개인정보를 AI 개발에도 활용할 수 있도록 제도적 기반을 마련할 필요성이 제기되고 있다.
그러나 현행 개인정보 보호법 하에서 개인정보를 적법하게 수집하였다는 사정만으로 당초 수집 목적과 다른 AI 학습 목적으로 자유롭게 이용할 수 있는 것은 아니다. 수집 목적 외 이용을 위한 별도의 법적 근거가 있어야 한다. 한편, 개인정보를 익명처리 또는 가명처리를 거쳐 활용하는 경우에는 처리 과정에서 학습에 필요한 정보가 소실되거나 데이터의 유용성이 저하될 가능성도 있다.
이번 법 개정은 일정한 요건과 개인정보보호위원회(이하 “보호위원회”)의 심의·의결을 전제로, 적법하게 수집한 개인정보를 AI 개발에 활용할 수 있는 별도의 법적 근거를 마련하였다는 점에 의의가 있다.
첫째, 적법하게 수집한 개인정보의 AI 개발 목적 이용 허용과 관련하여, 개정법은 “인공지능기술 개발을 위한 개인정보 처리의 특례”를 신설하였다. 이에 따라 개인정보처리자는 법정 요건을 모두 충족하고 보호위원회의 심의·의결을 거친 경우, 법령에 따라 적법하게 수집한 개인정보를 당초 수집 목적 외의 AI 기술 개발 목적으로 이용할 수 있다(개정안 제28조의12 제1항). 특례의 대상인 AI 기술 개발에는 성능 개선도 포함되어 있다(개정안 제28조의12 제1항). 따라서 새로운 AI 모델의 개발뿐만 아니라 기존 모델의 성능을 높이기 위한 추가 학습 등에서도 특례 활용을 검토할 수 있다. 다만, 구체적인 데이터 이용 행위가 AI 기술 개발 또는 성능 개선에 해당하는지, 승인받은 목적과 범위에 포함되는지 여부는 개별적으로 판단하여야 한다. 특히 특례의 적용을 받기 위해서는 개인정보가 적법하게 수집되었을 것을 전제로 한다(개정안 제28조의12 제1항). 따라서 기존 수집 과정의 위법성을 사후적으로 해소하는 근거로 활용할 수는 없으며, 기업이 보유한 데이터라고 하더라도 그 수집 경위와 법적 근거를 먼저 확인하여야 한다.
둘째, 특례 적용을 위한 세 가지 요건과 관련하여, 개정안 제28조의12 제1항은 특례 적용을 위하여 다음 요건을 모두 갖추도록 하고 있다.
➀ 익명·가명처리만으로는 AI 기술 개발이 곤란해야 한다. 이는 영상·음성·이미지·부호·문자 등 처리되는 정보의 특성과 해당 정보가 AI 개발에 대하여 가지는 관련성 등을 고려하여 판단한다. 단순히 원본 데이터를 사용하는 것이 편리하다거나 처리 비용을 줄일 수 있다는 설명만으로는 요건 충족을 충분히 소명하기 어려울 수 있다. 익명·가명처리 시 어떠한 정보가 손실되고, 이로 인하여 개발 목표의 달성에 어떠한 지장이 발생하는지 구체적으로 제시할 필요가 있다.
② 개인정보를 안전하게 처리하기 위한 안전장치를 마련해야 한다. 기술적·관리적·물리적 조치가 갖추어진 환경에서 개인정보를 처리하거나, 클라우드 등 처리 환경에 따른 추가적인 안전조치를 이행하는 등 대통령령에서 정하는 기준을 충족하여야 한다.
③ AI 개발 목적에 공공의 이익 증진, 정보주체·제3자의 이익 보호 또는 사회적 이익 증진이 포함되어야 하며, 정보주체나 제3자의 이익을 부당하게 침해할 우려가 현저히 낮아야 한다. 따라서 개발의 필요성뿐만 아니라 해당 개발로 기대되는 이익과 개인정보 이용에 따른 위험의 수준을 함께 설명할 수 있어야 힌다.
셋쩨, 보호위원회의 사전 심의·의결 및 개인정보 보호법상 일부 규정의 적용 배제와 관련하여, 특례를 활용하려는 개인정보처리자는 앞에서 살펴본 법정 요건의 충족 여부에 관하여 보호위원회의 심의·의결을 받아야 하며, 보호위원회는 정보주체의 권리 보장 및 개인정보의 안전한 처리를 위하여 필요한 범위에서 조건을 붙일 수 있다(개정안 제28조의12 제2항). 심의·의결을 요청한 내용이 종전에 심의·의결을 거친 AI 기술·서비스의 내용·방식·형태 등과 실질적으로 동일하거나 유사한 경우로서 대통령령으로 정하는 경우에는, 보호위원회가 고시하는 방법에 따라 심의·의결 절차를 간소화할 수 있다(개정안 제28조의12 제4항). 한편, 개정안 제28조의15에 따르면, 특례에 따라 개인정보를 이용하는 경우에는 그 범위에서 보호위원회의 심의·의결을 거쳐 개인정보 보호법상 목적 외 이용·제공 제한(제18조), 개인정보를 제공받은 자의 이용·제공 제한(제19조), 수집 출처 등 통지(제20조), 이용·제공 내역 통지(제20조의2) 등에 관한 규정의 적용을 배제할 수 있다.
넷째, 위험요인평가 제도와 관련하여, 개정안은 개인정보 처리에 따른 위험요인을 분석하고 개선사항을 도출하기 위한 위험요인평가 제도를 마련하고 있다. 보호위원회는 민감정보·고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향 및 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우, 심의·의결 전에 해당 개인정보처리자에게 기간을 정하여 위험요인평가를 실시하고 그 결과를 제출하도록 해야 한다(개정안 제28조의12 제3항). 또한, 특례에 따라 개인정보를 이용하려는 개인정보처리자는 이용 목적과 유형을 개인정보 처리방침에 반영해야 한다(개정안 제28조의12 제5항). 보호위원회 역시 심의·의결을 요청한 자와 주요 내용, 위험요인평가 결과의 요약 내용을 인터넷 홈페이지 등에 공개하도록 하였다(개정안 제28조의12 제6항).
다섯째, 보호위원회의 이행 여부 점검과 개인정보 처리 제한과 관련하여, 보호위원회는 개정안 제28조의12 제1항 및 제2항에 따라 심의·의결한 사항의 이행 여부를 주기적으로 관리·감독하고(개정안 제28조의13 제1항), 필요한 범위에서 개인정보처리자에게 자료 제출을 요구할 수 있다(개정안 제28조의13 제2항). 나아가 일정한 사유가 발생하면 보호위원회는 심의·의결을 거쳐 개인정보 처리의 전부를 제한하도록 하였다(개정안 제28조의14 제1항). 이에 따라 처리 제한을 받은 개인정보처리자는 지체 없이 필요한 조치를 이행하고 그 결과를 보호위원회에 알려야 한다(개정안 제28조의14 제2항).
이번 개정은 기업이 적법하게 확보한 개인정보를 AI 개발에 활용할 수 있는 가능성을 넓혔다는 점에서 의미가 있다. 특히 익명·가명처리 과정에서 학습에 필요한 정보가 손실되는 경우에는 특례를 통하여 데이터의 유용성을 유지하면서 기술 개발을 추진할 수 있을 것으로 기대된다. 다만, 실제 활용 가능성은 개별 개발 목적과 데이터의 특성, 안전조치 수준 및 보호위원회의 심의·의결 내용에 따라 달라질 수 있으므로, 기업은 개별 데이터 및 개발 과제별로 특례의 적용 가능성을 검토할 필요가 있다.
실무적으로는, 익명처리 또는 가명처리한 개인정보가 아니라 원본 형태의 개인정보를 이용하여야 하는 이유를 구체적으로 정리하는 것이 중요할 것으로 보인다. 이를 위해 개발 초기부터 법무·개인정보보호 담당 부서와 기술 부서가 협력하여 학습에 필요한 정보의 범위를 특정하고, 익명·가명처리 시 발생하는 성능 저하나 대체 데이터의 한계 등을 확인할 필요가 있다. 아울러 개발을 통해 달성하려는 공익적·사회적 효과와 개인정보 이용에 따른 위험을 함께 검토하여, 데이터 활용의 필요성에 상응하는 보호조치를 마련해야 한다.
또한, 특례에 따른 개인정보 이용이 허용되더라도 학습데이터에 관한 저작권, 영업비밀 및 계약상 이용 제한까지 해소되는 것은 아니다. 예컨대 계약에 따라 외부에서 제공받은 영상이나 문서를 적법하게 보유하고 있더라도, 이를 AI 학습에 이용할 권한까지 확보하였는지는 별도로 계약 조건을 확인해야 한다. 따라서 개인정보의 수집·이용 근거와 함께 데이터에 포함된 제3자의 권리 및 계약상 허용 범위를 점검하고, 필요한 경우 개별적으로 이용 허락을 받거나 기존 계약을 보완하는 등 권리관계를 정리해야 할 것이다.
개정안은 특례 적용을 위한 기본 요건을 정하면서, 안전장치의 구체적인 기준과 세부 심의 기준·절차 등을 대통령령에 위임하고 있다. 따라서 향후 하위법령에서 정해질 세부 기준과 보호위원회의 심의·의결과정에서 축적될 판단 사례가 특례의 실제 활용 범위에 많은 영향을 줄 것으로 예상된다. 해당 기업은 이러한 후속 제도 정비와 운영 동향을 확인하면서 자신의 AI 개발 과제에 대한 특례 적용 가능성과 필요한 사항을 검토할 필요가 있다.
▲한국가상융합디지털산업협회 상근부회장 ▲ 경남대 극동문제연구소 초빙교수 ▲ 前 미국 우드로윌슨센터에서 객원연구원 ▲ 前 국회 국방위원회 전문위원 ▲ 前과학기술정보방송통신위원회 수석전문위원 ▲ 前 외교통일위원회 수석전문위원 ▲아주경제 로앤피 고문(아주경제 객원기자) ▲법무법인 대륙아주(유한) 고문 ▲중앙대학교 의회학과 객원교수
©'5개국어 글로벌 경제신문' 아주경제. 무단전재·재배포 금지
![[르포] 중력 6배에 짓눌려 기절 직전…전투기 조종사 비행환경 적응훈련(영상)](https://image.ajunews.com/content/image/2024/02/29/20240229181518601151_258_161.jpg)
