기업과 기관이 적법하게 수집한 개인정보를 인공지능 기술 개발에 다시 이용할 수 있는 법적 절차가 마련된다. 가명정보나 익명정보만으로 개발이 어렵고 공공의 이익이나 사회적 이익을 높이는 데 필요하다고 인정되는 경우, 개인정보보호위원회의 심의·의결을 거쳐 당초 수집 목적과 다른 AI 개발에 활용할 수 있도록 하는 제도다.
국회는 8월 20일 이 같은 내용을 담은 「개인정보 보호법」 개정안을 본회의에서 의결했다. 개정안은 기업이 보유한 개인정보의 이용 범위를 자체적으로 넓히는 방식 대신, 가명처리의 한계와 개발 목적, 안전조치, 권리 침해 위험을 개인정보위가 사전에 심사하는 구조를 채택했다. 법안은 국무회의 의결과 공포를 거쳐 공포 후 6개월 뒤 시행된다.
한시적 샌드박스에서 법률상 심사체계로
현행 개인정보 보호법은 통계 작성, 과학적 연구, 공익적 기록 보존을 위해 정보주체의 동의 없이 가명정보를 처리할 수 있도록 하고 있다. 그러나 사람의 얼굴과 목소리, 움직임처럼 정보 자체가 AI가 학습해야 할 특징인 영상·음성 분야에서는 가명이나 익명 처리 과정에서 개발에 필요한 정보가 함께 사라질 수 있다.
개인정보위는 그동안 보이스피싱 예방과 자율주행차·로봇 개발 등 일부 사업에 규제샌드박스를 적용해 개인정보가 포함된 영상·음성 원본 이용을 허용해 왔다. 2024년 1월부터 2026년 5월까지 승인을 받은 기업은 자율주행차 4곳, 로봇 26곳, 지능형 CCTV 8곳 등 38곳이다. 이들 기업에는 연구 목적 외 이용과 제3자 제공 금지, 비인가자 접근 통제, 전송구간 암호화, 주기적인 점검과 교육 등의 조건이 적용됐다.
규제샌드박스는 기본 2년, 최대 4년 동안 예외를 인정하는 제도다. 이번 개정안은 개별 사업에 한시적으로 적용하던 예외를 개인정보위가 심사하는 법률상 절차로 전환한다. 영상·음성 원본이 필요한 AI 개발도 정해진 요건과 감독체계 안에서 목적 외 이용 근거를 신청할 수 있게 되는 것이다.
기존에 적법하게 수집한 정보가 특례 대상
특례를 신청하려면 세 가지 요건을 함께 충족해야 한다. 먼저 익명 또는 가명 처리로는 해당 AI 기술을 개발하기 어려워야 한다. 개인정보를 안전하게 처리하기 위한 보호조치를 갖춰야 하며, 개발 목적이 공공의 이익이나 사회적 이익을 높이는 경우에 해당해야 한다. 이 과정에서 정보주체나 제3자의 이익을 부당하게 침해할 우려도 현저히 낮아야 한다.
이용 대상은 개인정보 보호법이나 다른 법률에 따라 이미 적법하게 수집한 개인정보다. AI 개발을 이유로 새로운 개인정보를 제한 없이 수집하도록 허용하는 내용은 아니다. 기업과 기관은 수집 당시의 법적 근거를 확인한 뒤, 가명·익명 처리로 개발 목적을 달성하기 어려운 이유와 개인정보를 사용할 필요성, 예상되는 위험과 안전조치를 개인정보위에 제시해야 한다.
개인정보위는 신청 내용을 심의하면서 정보주체의 권리와 개인정보 보호에 필요한 조건을 붙일 수 있다. 앞서 심의한 AI 기술이나 서비스와 내용·방식·형태가 실질적으로 동일하거나 유사한 경우에는 절차를 간소화할 수 있도록 했다. 같은 유형의 데이터와 처리방식을 반복 심사하는 부담을 줄이되, 무엇을 동일·유사한 서비스로 볼지는 하위법령과 운영기준에서 구체화된다.
민감정보 등은 심의 전에 위험요인 평가
민감정보와 고유식별정보를 처리하거나 정보주체의 권리와 이익에 미치는 영향이 큰 사업은 개인정보위 심의에 앞서 위험요인을 평가해야 한다. 평가 대상은 개인정보의 종류와 처리 규모, 예상되는 위험 등을 고려해 대통령령으로 정한다.
평가 과정에서는 개인정보 이용이 정보주체와 제3자에게 미칠 영향, 예상되는 침해 위험, 이를 줄이기 위한 보호조치와 개선방안을 검토한다. 기업과 기관은 평가 결과를 개인정보위에 제출해야 하며 주요 내용은 공개된다. 특례를 적용받은 개인정보의 유형과 이용 목적 등은 해당 기관의 개인정보 처리방침에도 반영된다.
개인정보위는 승인 뒤에도 심의·의결 사항과 부과한 조건이 지켜지는지 주기적으로 점검한다. 거짓이나 부정한 방법으로 특례를 적용받거나 법정 요건과 승인 조건을 충족하지 못한 경우에는 개인정보 처리의 일부 또는 전부를 제한할 수 있다. 사전심사와 위험평가, 처리 내용 공개, 사후감독이 하나의 관리체계로 이어지는 구조다.
데이터 확보보다 이용 근거와 안전성 입증이 먼저
개정안이 시행되면 AI 개발기업은 데이터 보유 여부만으로 학습 가능성을 판단하기 어려워진다. 개발 초기부터 개인정보의 수집 근거와 당초 목적을 확인하고, 가명·익명 처리로 필요한 성능을 확보할 수 있는지 검토해야 한다. 식별 가능한 정보가 필요하다면 개발 필요성과 사회적 이익, 권리 침해 가능성, 접근통제와 암호화 등 보호조치를 문서로 제시해야 한다.
기존 규제샌드박스가 적용된 자율주행차·로봇·지능형 CCTV 분야에서는 원본 영상 이용과 안전관리 경험이 새 심사체계의 참고사례가 될 수 있다. 보이스피싱 예방처럼 음성정보의 특징을 분석해야 하는 기술도 개인정보위가 공식적으로 제시한 활용 사례에 포함된다. 업종만으로 특례가 자동 적용되는 것은 아니며, 개별 기술과 데이터 처리방식에 따라 심사를 받게 된다.
이번 개정은 AI 개발을 위한 개인정보 이용 경로를 넓히면서 그 판단을 개인정보위의 전문 심사와 감독 아래 두는 제도 변화다. 기업에는 고품질 데이터 활용 가능성이 생기는 동시에 가명처리의 한계와 사회적 필요성, 안전성을 입증할 책임이 따른다. 정보주체는 개인정보 처리방침과 개인정보위의 운영 현황 공개를 통해 특례 적용 내용을 확인하게 된다.
제도의 실제 범위는 법 시행 전 마련될 시행령과 운영기준에서 구체화된다. 위험요인 평가 대상, 동일·유사 서비스의 판단기준, 요구되는 안전조치와 공개 범위가 정해지면 기업이 준비해야 할 데이터 관리 수준과 개인정보위의 심사 방식도 보다 분명해질 전망이다.
출처: 개인정보보호위원회, 「안전한 인공지능 개발을 위한 개인정보 활용 특례 신설」(2026.8.20), 법제처 국민참여입법센터, 「개인정보 보호법 일부개정법률안(대안)」 의안번호 2220246, 국가법령정보센터, 현행 「개인정보 보호법」, 개인정보보호위원회, 자율주행차·로봇 영상데이터 규제샌드박스 운영자료
댓글
0