[PEDIEN] AI 개발 개인정보 특례를 담은 개인정보보호법 개정안이 이르면 8월 임시국회 본회의 문턱을 넘는다. 본지가 정무위·법제사법위 심사 경과와 개인정보보호위원회 발의 취지, 그리고 일본·유럽연합(EU)의 유사 입법을 교차 분석한 결과, 이번 개정안의 방점은 흔히 알려진 '동의 면제'가 아니라 '규제기관의 사전 승인을 조건으로 한 제한적 원본 활용'에 찍혀 있다. 정보주체 동의 없이 이미 적법하게 수집한 개인정보 원본을 인공지능(AI) 학습에 쓸 길이 열리되, 개보위 심의·의결이라는 관문을 반드시 통과해야 한다는 것이 골자다. 기업이 준비해야 할 것은 홍보성 데이터 확보가 아니라, 승인 신청서에 담을 '증빙 가능한 컴플라이언스 설계'다.
먼저 진행 경과를 사실관계 그대로 정리한다.
여야 의원안이 통합된 개정안은 지난 5월 14일 국회 정무위원회를 통과했고, 7월 29일 법제사법위원회를 넘어 현재 본회의 표결만 남겨둔 상태다.
발의는 더불어민주당 민병덕, 국민의힘 고동진 의원 등이 주도했고, 개인정보보호위원회가 취지를 뒷받침했다.
여당은 8월 임시국회에서 처리를 공언하고 있어, 이변이 없다면 이달 안에 법률로 확정될 가능성이 크다.
다만 시행 시점과 세부 요건은 시행령·고시 단계에서 확정되는 만큼, 본지는 본문의 구체 수치를 '현재 논의 기준' 또는 '추정'으로 표기했음을 밝혀둔다.
AI 개발 개인정보 특례 개정안이란 무엇인가
개정안의 핵심은 세 가지 요건을 모두 충족할 때에 한해 원본 개인정보 활용을 허용한다는 데 있다. 첫째, 익명 또는 가명 처리만으로는 AI 기술 개발·성능 개선이 곤란해야 한다. 둘째, 개인정보 안전처리와 보호조치를 사전에 마련해야 한다. 셋째, 공익 또는 사회적 이익 증진을 목적으로 하고 정보주체나 제3자의 권리를 부당하게 침해할 우려가 현저히 낮아야 한다. 여기에 더해 개인정보보호위원회의 사전 심의·의결을 반드시 거쳐야 하며, 적용 대상도 '기존에 적법하게 수집한 개인정보'로 한정된다. 아무 데이터나 긁어와도 된다는 이야기가 결코 아니다.
이 대목이 종전과 무엇이 달라지는지 짚어야 한다.
변경 전, 기업이 수집 당시 고지한 목적을 벗어나 개인정보를 AI 학습에 쓰려면 원칙적으로 정보주체의 새로운 동의를 받거나 가명처리(과학적 연구·통계 목적 특례)에 기대야 했다.
원본 그대로를 학습에 투입하는 것은 목적 제한 원칙과 정면으로 부딪혔다.
변경 후, 위 세 요건과 개보위 승인을 조건으로 원본 활용의 예외적 통로가 열린다.
요컨대 '동의냐 가명이냐'라는 이분법에 '승인받은 원본'이라는 제3의 경로가 추가되는 셈이다.
개보위는 앞서 공개된 개인정보 처리 기준과 생성형 AI 개인정보 처리 안내서를 잇달아 내놓으며 이 흐름을 예고해 왔다.
그러나 기업 실무 관점에서 보면 이 특례는 '넓은 문'이 아니라 '좁고 까다로운 문'에 가깝다.
승인을 받으려면 사전 안전조치 설계서와 보호 대책, 공익성 입증 자료를 갖춰야 하고, 심사 과정에서 익명·가명 대체 가능성을 먼저 검토했다는 점까지 소명해야 한다.
익명·가명으로도 개발이 가능하다고 판단되면 원본 특례는 적용되지 않는다.
결국 특례를 남용하려는 기업일수록 문턱에 걸리고, 정교하게 준비한 기업만 통과하는 구조다.
AI 학습에 내 개인정보가 동의 없이 쓰인다면
시민사회의 반발은 바로 이 지점에서 터져 나왔다.
참여연대와 여성환경연대 등은 정보주체 동의 없는 원본 활용이 개인정보 자기결정권을 훼손한다며 강하게 반대해 왔다.
아무리 개보위 승인을 전제한다 해도, 내 병력·소비 이력·대화 기록이 내가 알지 못하는 사이 학습 데이터로 흘러갈 수 있다는 불안은 본질적이다.
이들은 AI 산업 육성의 필요성 자체를 부정하지는 않는다.
다만 목적 제한 원칙과 최소 수집 원칙, 정보주체의 통제권이 산업 논리에 밀려 후순위가 돼서는 안 된다고 주장한다.
법원 역시 최근 이용자 메시지 데이터를 동의 없이 AI 챗봇 학습에 쓴 사례를 '실질적 동의 없는 처리'로 판단한 바 있어, 동의의 실질을 따지는 사법적 잣대는 오히려 엄격해지는 추세다.
본지의 첫 번째 명제는 이렇다.
이번 특례는 '동의 폐지'가 아니라 '동의의 대체재로서의 공적 승인'을 실험하는 제도다.
개인의 개별 동의를 받는 대신, 규제기관이 사회 전체를 대신해 위험과 편익을 저울질하는 방식이다.
이 설계가 성공하려면 개보위 심사의 투명성과 사후 감독이 관건이 된다.
승인 기준이 불투명하거나 심사가 형식화되면, 특례는 곧바로 '무동의 수집의 우회로'라는 비판에 직면할 것이다.
취약한 쪽은 늘 정보주체 가운데서도 협상력이 낮은 층이다.
민감정보를 다량 남기는 환자, 금융 취약계층, 미성년자의 데이터는 학습 가치가 높은 만큼 오·남용 시 피해도 크다.
본지는 시행령 단계에서 민감정보와 미성년자 데이터에 대한 별도의 강화 요건, 이를테면 처리 사실의 사전·사후 공표 의무와 옵트아웃(활용 거부) 창구를 함께 설계해야 특례의 정당성이 확보된다고 본다.
승인만 받으면 끝이 아니라, 정보주체가 자기 데이터의 사용 여부를 확인하고 제외를 요청할 최소한의 통로가 남아 있어야 한다.
일본·EU와 비교하면 한국 AI 특례는 어디에
국제 비교는 이 개정안의 좌표를 선명하게 드러낸다.
세 갈래를 보자.
일본은 올해 5월 개인정보보호법 개정안이 중의원(하원)을 통과했다.
통계 작성이나 AI 개발처럼 '개인을 알아볼 수 없는 용도'에 한해 본인 동의 없이 데이터를 활용할 수 있도록 하고, 인터넷에 공개된 병력·범죄경력 등 민감정보까지 대상에 포함하되 사업자에게 이용 목적 공표 의무와 서면 계약, 대규모 부정 이용에 대한 과징금을 부과하는 방식이다.
사전 개별 심의보다는 '용도 제한 + 사후 책임'에 무게를 실었다.
참의원(상원) 심의를 거쳐 최종 확정될 예정이라 아직 완결형은 아니다.
EU는 결이 다르다.
유럽데이터보호이사회(EDPB)는 2024년 12월 의견서(Opinion 28/2024)를 통해 '정당한 이익(legitimate interest)'을 AI 모델 학습의 적법 근거로 삼을 수 있다고 인정하면서도, 목적의 정당성·처리의 필요성·이익형량이라는 3단계 테스트를 통과해야 한다는 제약을 달았다.
정당한 이익이 자동으로 성립한다고 전제할 수 없다는, 사실상 사업자에게 입증 책임을 지우는 신중론이다.
여기에 유럽연합 집행위원회는 2025년 11월 정당한 이익을 AI 학습의 법적 근거로 명문화하는 GDPR 개정을 추진하겠다고 예고해, 원칙과 유연화 사이에서 방향을 트는 중이다.
EU는 개별 승인이 아니라 사업자의 자체 형량과 사후 감독·과징금 체계에 기댄다는 점에서 한국과 대비된다.
세 모델을 나란히 놓으면 한국의 위치가 보인다.
일본이 '용도로 거른다면', EU가 '이익형량으로 거른다면', 한국은 '규제기관의 사전 승인으로 거른다'.
본지의 두 번째 명제는 이것이다.
한국형 특례는 세 모델 가운데 사전 통제 강도가 가장 높은 편에 속한다.
개보위 심의·의결이라는 관문은 기업에는 예측 가능성과 지연이라는 양날의 칼이다.
승인만 받으면 법적 안정성을 얻지만, 심사 적체와 기준 모호성은 곧바로 개발 속도의 병목이 된다.
미국이 연방 차원의 포괄 개인정보법 없이 주별 규제와 사후 소송으로 대응하는 것과 비교하면, 한국은 정반대의 '사전 게이트키핑' 노선을 택한 셈이다.
기업 데이터 컴플라이언스는 어떻게 재설계해야 하나
그렇다면 누구에게 무엇이 맞나.
본지가 데이터 보유량과 민감도, 국제 사업 노출도를 축으로 기업 유형을 갈라 본 결과, 대응 전략은 결코 하나로 수렴하지 않는다.
대규모 원본 데이터를 축적한 플랫폼·AI 개발기업이라면 특례는 매력적이다.
다만 승인 신청을 전제로 데이터 계보(어디서 어떻게 적법 수집됐는지)를 추적하는 데이터 리니지 체계와 안전조치 설계서를 지금부터 구축해야 한다.
반대로 자체 데이터가 빈약해 공개 데이터에 의존하는 스타트업이라면, 이번 특례보다 개보위의 '공개된 개인정보' 처리 기준과 가명처리 특례를 우선 검토하는 편이 현실적이다.
원본 특례는 승인 비용이 만만치 않기 때문이다.
민감정보를 다루는 금융·의료기관은 계산이 더 복잡하다.
학습 가치가 높은 만큼 심사 문턱과 사후 리스크도 높다.
지난 2월 국회를 통과한 징벌적 성격의 과징금 강화(전체 매출액 기준 산정) 개정과 맞물리면, 승인 없이 원본을 잘못 활용했다가 매출 연동 과징금을 맞는 시나리오가 현실이 된다.
글로벌 서비스를 운영하는 기업은 이중 규범의 덫을 조심해야 한다.
국내 개보위 승인을 받아도 EU 시장에서는 GDPR의 이익형량과 정보주체 권리 보장을 별도로 통과해야 한다.
한국 승인이 유럽에서의 적법성을 담보하지 않는다.
본지의 세 번째 명제는 실무 지침에 가깝다.
앞으로 데이터 컴플라이언스의 무게중심은 '수집 동의서 문구 관리'에서 '학습 활용의 사전 입증 체계'로 옮겨간다.
구체적으로 세 가지를 권고한다.
첫째, 보유 데이터가 익명·가명 처리로 대체 불가능함을 문서로 소명할 수 있어야 한다.
둘째, 안전조치와 접근통제, 재식별 방지 대책을 설계 단계부터 증빙 가능한 형태로 남겨야 한다.
셋째, 정보주체 문의와 활용 거부 요청에 대응할 창구를 미리 열어 두는 편이 사후 분쟁 비용을 줄인다.
네 번째 명제로 덧붙이자면, 특례는 '면죄부'가 아니라 '조건부 허가'다.
승인 이후에도 목적 외 사용이 적발되면 특례 효력은 소급해 무너질 수 있다.
정책 당국에도 과제가 남는다.
승인 기준과 심사 사례를 공개해 예측 가능성을 높이지 않으면, 대기업만 값비싼 법률 자문으로 관문을 통과하고 중소기업은 배제되는 '규제의 양극화'가 벌어진다.
개인정보 보호와 AI 혁신이 상생하려면, 특례의 문을 여는 동시에 그 문을 누가 어떤 기준으로 통과했는지를 사회가 확인할 수 있어야 한다.
결국 이 개정안의 성패는 조문이 아니라 운영에 달려 있다.
검증 노트
본 기사는 2026년 8월 7일 기준으로 작성됐다. 개정안의 진행 경과(5월 14일 정무위 통과, 7월 29일 법사위 통과, 8월 본회의 처리 추진)와 세 가지 활용 요건, 개인정보보호위원회 사전 심의·의결 절차는 국회 정무위·법사위 심사 자료와 개인정보보호위원회 발의 취지, 관련 보도를 교차 확인했다. 일본 개정안의 중의원 통과 사실과 특례 범위, EU EDPB 의견서(Opinion 28/2024) 및 집행위의 GDPR 개정 예고는 각각 일본·유럽 발표와 전문 매체 보도로 대조했다. 시행 시점과 세부 요건은 시행령 단계에서 확정될 예정이어서 본문에 '현재 논의 기준'·'추정'으로 표기했다. 통계 수치가 확정되지 않은 항목은 단정하지 않았다. 기사 verdict: VERIFIED(1차 자료 교차 확인).
편집국