AI 학습에 내 개인정보를 쓴다?…새 개인정보보호법이 바꾸는 것
병원 진료기록과 사람의 음성, 거리에서 촬영된 영상처럼 실제 사람의 특성이 담긴 데이터는 인공지능을 개발하는 데 중요한 재료가 될 수 있다. 보이스피싱을 찾아내는 AI라면 실제 통화에서 나타나는 목소리와 대화 패턴이 필요할 수 있고, 사람과 장애물을 구분해 움직이는 자율주행로봇이라면 현실 공간에서 촬영된 영상이 도움이 될 수 있다.
문제는 이런 데이터에 개인정보가 들어 있다는 점이다.
AI를 제대로 학습시키려면 현실을 닮은 데이터가 필요하지만, 개인의 정보를 기업이나 기관이 마음대로 학습에 사용하도록 허용할 수도 없다. 한국의 개인정보보호 제도가 지금까지 AI 개발 과정에서 계속 부딪혀온 지점이다.
국회는 지난 8월 20일 이 문제를 풀기 위한 개인정보보호법 개정안을 통과시켰다. 개정안에는 일정한 조건을 충족하면 적법하게 수집한 개인정보를 AI 기술 개발에 이용할 수 있도록 하는 새로운 특례가 담겼다. 개인정보보호위원회는 가명·익명정보만으로 AI 개발이 어렵고 공익적·사회적 필요성이 인정되는 경우, 강화된 안전조치와 개인정보위 심의·의결을 전제로 개인정보를 활용할 수 있도록 한 것이 핵심이라고 설명했다.
따라서 이번 개정을 단순히 ‘AI가 개인정보를 마음대로 학습할 수 있게 됐다’고 이해하는 것은 정확하지 않다. 하지만 정보주체가 처음 데이터를 제공할 때 예상하지 않았던 AI 개발 목적으로 개인정보가 활용될 수 있는 새로운 통로가 생겼다는 점에서 적지 않은 변화인 것도 사실이다.
지금까지는 왜 개인정보를 AI에 쓰기 어려웠을까
현행 제도에서는 기업이나 기관이 개인정보를 적법하게 수집했다고 해서 이를 다른 목적에 자유롭게 사용할 수 있는 것은 아니다.
예를 들어 어떤 서비스를 제공하기 위해 이름이나 음성, 영상 등을 수집했다면 이를 별도의 AI 개발에 활용하려 할 때 정보주체의 추가 동의를 받거나 다른 법적 근거가 필요하다. 그렇지 않다면 개인을 알아보기 어렵도록 정보를 가명처리하거나 익명화해 활용하는 방식이 일반적이었다.
가명정보 제도는 이미 AI 시대 데이터 활용의 중요한 통로로 사용되고 있다. 개인정보위는 특정 개인을 알아볼 수 없도록 가명처리하면 정보주체의 별도 동의 없이도 과학적 연구 등의 목적으로 AI 학습 등에 활용할 수 있다고 설명하고 있다.
하지만 모든 AI가 가명정보만으로 충분히 개발되는 것은 아니다.
사람의 얼굴과 행동을 구분하는 AI나 음성을 분석하는 기술처럼 데이터 자체의 세밀한 특성이 중요한 경우 지나친 가명처리 과정에서 학습에 필요한 정보가 함께 사라질 수 있다. 개인정보위는 그동안 보이스피싱 예방과 자율주행로봇 개발 등 일부 서비스에 규제샌드박스를 적용해 영상·음성정보 활용을 허용했지만, 기본 2년·최대 4년의 한시적인 예외라는 한계가 있었다고 설명했다.
이번 법 개정은 이런 사례를 매번 임시 특례로 처리하는 대신 개인정보보호법 안에 별도의 정식 절차를 만든 것이다.
그렇다고 기업이 내 데이터를 마음대로 가져갈 수 있는 것은 아니다
이번 개정에서 가장 중요한 부분은 특례가 적용되는 조건이다.
우선 가명정보나 익명정보만으로는 해당 AI를 개발하기 어렵다는 점이 인정돼야 한다. 단순히 원본 개인정보를 사용하면 더 편리하거나 개발비가 적게 든다는 이유만으로 특례를 사용할 수 있다는 의미는 아니다.
두 번째는 해당 AI 개발에 공익적 또는 사회적 필요성이 있어야 한다는 조건이다. 개인정보위가 제시한 보이스피싱 예방처럼 범죄 피해를 줄이는 기술이나 안전과 관련된 AI 등이 대표적인 사례가 될 수 있지만, 구체적으로 어느 범위까지 인정할지는 향후 하위법령과 실제 심의 과정에서 더 분명해질 전망이다.
마지막으로 기업이나 기관이 자체 판단만으로 특례를 적용할 수도 없다. 개인정보보호위원회의 심의·의결을 받아야 한다.
즉 이번 법은 ‘동의를 받지 않아도 된다’는 한 문장만 떼어내 이해하기보다, 기존의 동의 중심 구조 외에 개인정보위가 필요성과 위험을 판단하는 별도의 통제절차를 추가했다고 보는 편이 정확하다.
민감정보를 쓴다면 위험부터 평가해야 한다
개인정보라고 해서 위험 수준이 모두 같은 것도 아니다.
일반적인 이용기록과 건강정보, 생체정보처럼 노출됐을 때 개인에게 미칠 영향이 큰 데이터는 동일하게 다룰 수 없다. 이번 개정안은 민감정보나 고유식별정보를 처리하는 등 정보주체의 권리와 이익에 미치는 위험이 큰 경우에는 기업이나 기관이 사전에 위험요인을 평가하고 개선방안을 마련하도록 했다.
여기에는 중요한 이유가 있다.
AI 학습에 사용된 데이터는 일반 데이터베이스에 저장된 정보보다 관리가 복잡할 수 있다. 학습이 끝난 뒤 원본을 삭제한다고 해도 모델이 특정 정보를 어느 정도 기억하고 있는지, 결과를 통해 개인의 정보가 다시 드러날 가능성이 없는지까지 살펴봐야 하기 때문이다.
따라서 AI 시대의 개인정보 보호는 단순히 데이터를 보관할 때 암호를 걸어두는 수준으로 끝나기 어렵다.
어떤 정보를 왜 사용했는지, 꼭 필요한 양만 사용했는지, 모델 학습 후 정보를 어떻게 처리할지, 모델을 공격했을 때 개인정보가 노출될 가능성이 있는지 등 AI 개발 과정 전체를 대상으로 위험관리가 필요해진다.
내 정보가 AI 개발에 사용됐는지 알 수 있을까
이번 법에는 투명성을 높이기 위한 장치도 포함됐다.
특례를 이용하는 기업이나 기관은 개인정보 활용의 주요 내용을 개인정보 처리방침에 공개해야 한다. 개인정보위 역시 어떤 AI 개발에 특례가 활용되고 있는지 운영 현황을 홈페이지에 공개하도록 했다.
이 부분은 향후 제도의 신뢰를 좌우할 수 있다.
개인정보가 AI 학습에 활용되는 것 자체보다 이용자가 자신의 정보가 어떤 목적으로 쓰일 수 있는지 전혀 알 수 없는 상황이 더 큰 불신을 만들 수 있기 때문이다.
다만 처리방침에 수십 페이지의 법률용어로 내용을 적어놓는 것만으로 충분한 투명성이 확보되는지는 별개의 문제다. 일반 이용자가 자신의 데이터가 어떤 AI에 사용되고 있으며 어떤 위험방지 조치가 적용됐는지 쉽게 이해할 수 있는 방식으로 공개하는 것도 중요하다.
특례 적용 대상과 심의 결과가 실제로 얼마나 구체적으로 공개되는지도 시행 이후 지켜봐야 할 부분이다.
AI 산업에는 왜 더 많은 데이터가 필요한가
정부와 AI 업계가 이런 제도 변화를 요구한 배경에는 데이터 경쟁이 있다.
AI의 성능은 모델 구조와 컴퓨팅 자원뿐 아니라 얼마나 다양하고 품질 좋은 데이터를 확보하느냐에도 크게 영향을 받는다. 특히 한국어 음성이나 국내 교통환경, 의료·공공서비스처럼 한국 사회의 특성이 반영된 AI를 만들려면 해외 공개데이터만으로는 한계가 있을 수 있다.
문제는 좋은 데이터일수록 현실의 사람과 가까운 경우가 많다는 것이다.
개인의 목소리와 행동, 이동, 건강 상태가 풍부하게 담긴 데이터는 AI 입장에서는 가치가 높지만 개인정보 침해 위험도 함께 커진다.
그래서 AI 경쟁력과 개인정보 보호를 ‘하나는 강화하고 다른 하나는 포기해야 하는 관계’로만 보는 것은 적절하지 않다. 데이터 활용범위를 넓히더라도 위험한 정보에는 더 강한 보호조치를 요구하고, 공익적 필요성이 낮다면 원본 개인정보 활용을 제한하는 방식으로 균형을 찾을 필요가 있다.
이번 특례는 바로 그 경계를 개인정보위의 심의라는 방식으로 결정하려는 제도라고 볼 수 있다.
앞으로 더 중요한 것은 ‘공익’의 기준이다
법이 시행된 이후 가장 논쟁적인 부분은 결국 어떤 AI를 공익적·사회적으로 필요한 기술이라고 판단할 것인지가 될 가능성이 크다.
보이스피싱 예방이나 생명을 보호하는 안전기술은 비교적 공익성을 설명하기 쉽다. 그러나 상업적 서비스를 만드는 기업이 이용자의 편의와 산업경쟁력, 경제적 효과를 이유로 사회적 필요성을 주장한다면 판단은 훨씬 복잡해진다.
공익이라는 범위가 지나치게 넓어지면 예외가 사실상 새로운 원칙이 될 수 있고, 반대로 지나치게 엄격하게 적용하면 제도를 만든 취지가 사라질 수 있다.
비슷한 특례를 이미 심의받은 AI와 실질적으로 동일하거나 유사한 서비스의 경우에는 심사절차를 간소화하는 내용도 들어갔다. 반복 심사를 줄여 개발 속도를 높이기 위한 장치지만, 어떤 서비스를 ‘동일하거나 유사하다’고 볼 것인지 역시 개인정보위의 판단이 중요해진다.
결국 이번 법 개정으로 개인정보보호위원회의 역할과 책임도 더 커지는 셈이다.
법은 통과됐지만 당장 내일부터 달라지는 것은 아니다
8월 20일 국회를 통과한 개정안이 곧바로 시행되는 것은 아니다.
개정법은 국무회의 의결과 공포 절차를 거친 뒤 공포일로부터 6개월 후 시행될 예정이다. 개인정보위는 그 사이 전문가와 산업현장 등의 의견을 수렴해 구체적인 특례 운영방안과 하위법령을 마련한다는 계획이다.
따라서 실제 제도의 모습은 앞으로 몇 달 동안 만들어질 세부 기준에서 결정될 가능성이 크다.
어떤 경우에 가명정보만으로 AI 개발이 어렵다고 인정할 것인지, 공익과 사회적 필요성을 어떻게 평가할 것인지, 민감한 데이터를 사용할 때 어느 수준까지 안전조치를 요구할 것인지가 구체화돼야 한다.
그 기준이 느슨하면 개인정보를 AI 산업을 위한 자원으로 지나치게 쉽게 취급한다는 비판이 나올 수 있고, 반대로 너무 엄격하면 기업들이 실질적으로 이용할 수 없는 제도가 될 수 있다.
AI 시대에는 데이터가 많을수록 유리하다는 말이 자주 나온다. 하지만 개인정보는 석유나 전력처럼 주인 없는 산업 자원이 아니다. 그 데이터 하나하나에는 실제 사람의 행동과 목소리, 건강과 생활이 들어 있다.
이번 개인정보보호법 개정이 던진 질문도 결국 여기에 있다.
AI가 더 똑똑해지기 위해 사람의 데이터를 필요로 한다면, 사회는 어디까지 그것을 허용할 것인가.
좋은 AI를 만드는 것과 개인정보를 지키는 일을 서로 반대편에 놓을 필요는 없다. 오히려 데이터 활용범위가 넓어질수록 왜 필요한지 설명하고, 위험을 더 엄격하게 관리하며, 누가 어떤 목적으로 사용하고 있는지를 공개하는 제도가 함께 강해져야 한다.
AI가 더 많은 개인정보를 필요로 하는 시대일수록 중요한 것은 데이터를 얼마나 많이 열어주느냐가 아니라, 어떤 경우에 누구의 책임 아래 열어줄 것인지에 대한 기준이다.