AI 개발에 원본 개인정보 쓴다…개인정보법 특례 국회 통과
AI 개발 시 가명·익명정보만으로 어려우면 개인정보위 심의를 거쳐 원본 개인정보를 쓸 수 있는 특례가 국회 본회의를 통과했다. 공포 6개월 뒤 시행된다.
AI 개발에 개인정보를 쓸 수 있게 된 걸까?
인공지능 개발 과정에서 영상·음성 같은 원본 개인정보를 제한적으로 활용할 수 있는 법적 근거가 마련됐다. 개인정보보호위원회는 8월 20일 AI 기술 개발을 위한 개인정보 활용 특례를 담은 개인정보 보호법 개정안이 국회 본회의를 통과했다고 밝혔다. 가명정보나 익명정보만으로 개발이 어려운 경우, 개인정보위 심의를 거쳐 예외적으로 원본 데이터를 쓸 수 있게 된다. AI 업계가 오랫동안 규제 완화를 요구해 온 사안이 제도로 안착한 셈이다.
목차
왜 지금 특례가 필요했나?
그동안 AI 업계에서는 현행 개인정보 규제가 원본 데이터를 필요로 하는 기술 개발에 걸림돌로 작용한다는 지적이 꾸준했다. 개인정보를 수집 목적과 다른 용도로 쓰려면 정보주체의 동의나 별도 법적 근거가 있어야 했기 때문이다. 보이스피싱 예방이나 자율주행로봇 개발처럼 일부 사례는 규제샌드박스로 예외를 인정받았지만, 기본 2년에서 최대 4년으로 기간이 제한돼 안정적인 사업 기반이 되기는 어려웠다. 이번 개정안은 이런 임시방편을 넘어 별도의 AI 특례를 상설 제도로 신설했다는 점에서 의미가 크다.
Korea's amended data protection law creates a standing exception for AI development, replacing the time-limited regulatory sandbox approach.
무엇이 어떻게 허용되는 걸까?
핵심은 조건부 허용이다. 가명정보나 익명정보만으로 AI 개발이 곤란하고 공익적·사회적 필요성이 인정되는 경우, 강화된 안전조치를 갖춘 뒤 개인정보위의 심의·의결을 거쳐 적법하게 수집한 개인정보를 활용할 수 있다. 개인정보를 자유롭게 쓰도록 문을 활짝 여는 제도가 아니라, 개인정보위가 필요성과 안전조치를 사전에 심사해 예외적으로만 허용하는 구조다. 침해 위험을 줄이기 위한 장치도 뒤따른다. 민감정보나 고유식별정보처럼 위험이 큰 정보를 처리할 때는 기업·기관이 사전에 위험요인을 평가하고 개선 방안을 마련해야 한다. 특례 적용 내용은 개인정보 처리방침에 공개해야 하고, 개인정보위도 운영 현황을 홈페이지에 공개한다.
Original personal data can only be used after prior review by the privacy watchdog, with mandatory risk assessment for sensitive information.
절차와 시행 일정은 어떻게 되나?
개정안은 반복 심사에 따른 부담을 덜기 위한 장치도 담았다. 이미 심의·의결을 거친 사례와 실질적으로 같거나 유사한 AI 기술·서비스는 심의 절차를 간소화한다. 시행 시점은 아직 여유가 있다. 개정안은 국무회의 의결과 공포를 거쳐 공포 6개월 뒤 시행된다. 개인정보위는 시행 전까지 전문가와 현장의 의견을 수렴해 구체적인 특례 운영방안과 하위법령을 마련할 계획이다. 이번 특례는 지난 2월 자동화된 결정에 대한 거부권·설명요구권 도입 등 개인정보보호법의 큰 틀 개편에 이어진 후속 조치라는 점에서, 규제 강화와 활용 확대라는 두 방향이 함께 움직이고 있음을 보여준다.
The exception takes effect six months after promulgation, with simplified reviews for AI services similar to previously approved cases.
글로벌 흐름과 견줘 보면?
한국의 이번 조치는 세계적으로 진행 중인 논쟁과 궤를 같이한다. 유럽연합은 이른바 '디지털 옴니버스' 제안을 통해 AI 개발·운영에 정당한 이익(legitimate interest)을 근거로 개인정보를 처리할 수 있도록 GDPR을 손질하는 방안을 논의하고 있다. 다만 그 조건으로 데이터 최소화, 강화된 안전조치, 정보주체의 무조건적 거부권(opt-out)을 요구한다. EU AI법은 대부분의 의무가 2026년 8월 2일부터 전면 적용된다. 한국이 사전 심의형 구조를 택한 반면 EU가 사후 견제형 opt-out 모델에 무게를 두는 차이는 있지만, '안전장치를 전제로 AI 학습용 데이터를 열어준다'는 방향성은 닮았다. 시행 6개월 유예 기간 동안 하위법령이 얼마나 명확한 기준을 제시하느냐가 제도의 성패를 가를 전망이다.
Korea's prior-review model contrasts with the EU's opt-out approach, but both aim to open training data under mandatory safeguards.
사전 심의형 특례, 기업엔 약일까 독일까?
이번 특례의 성격을 한마디로 요약하면 '열되, 문지기를 두었다'는 것이다. AI 업계 입장에서는 오랜 숙원이던 원본 데이터 활용의 길이 처음으로 상설 제도로 열렸다는 점에서 분명한 진전이다. 규제샌드박스 시절의 최대 4년이라는 시한을 넘어, 이제는 요건만 충족하면 기간 제약 없이 개인정보를 학습에 쓸 수 있는 근거가 생겼기 때문이다. 자율주행, 음성인식, 보이스피싱 탐지처럼 실제 데이터의 질과 양이 성능을 좌우하는 분야에서는 특히 반가운 소식이다.
그러나 '개인정보위 심의·의결'이라는 관문이 실제로 어떻게 작동하느냐에 따라 체감 효과는 크게 갈릴 수 있다. 심사 기준이 모호하거나 처리 기간이 길어지면, 제도는 있으되 활용은 어려운 이른바 '그림의 떡'이 될 위험이 있다. 반대로 심사가 지나치게 느슨해지면 정보주체 보호라는 개인정보보호법의 근본 취지가 흔들린다. 결국 공포 후 6개월의 유예 기간 동안 마련될 하위법령이 이 미묘한 균형점을 얼마나 정교하게 설계하느냐가 관건이다. 유사 사례 심사 간소화 조항이 실무에서 예측 가능성을 높이는 방향으로 운영된다면, 기업의 부담은 상당 부분 줄어들 수 있다.
주목할 대목은 이번 특례가 규제 강화 흐름과 동시에 진행되고 있다는 점이다. 자동화된 결정에 대한 거부권, 유출 개념 확대, 과징금 강화가 한편에서 진행되는 가운데 데이터 활용의 문을 여는 조치가 나란히 놓였다. 이는 한국이 'AI 경쟁력'과 '정보주체 보호'라는 두 가치를 어느 한쪽으로 기울지 않고 동시에 붙들려 한다는 신호로 읽힌다. 그 균형이 실제로 지켜질지는, 결국 첫 심의 사례들이 어떤 선례를 남기느냐에서 판가름 날 것이다.
Whether this exception truly benefits industry hinges on how the privacy watchdog runs its review — clear, predictable standards could unlock training data, while vague or slow screening risks making the provision hollow.