2025.07.13. 국제신문 - 생성형 AI와 개인정보보호를 위한 새로운 법제 [김은지 대표변호사 칼럼]
페이지 정보
본문
인공지능 기술은 일상과 사회 전반에 혁신적인 영향을 미치며, 인류사에 농업혁명이나 산업혁명에 비견될 대전환을 가져왔다. 농업혁명이 사유재산 개념을 낳았고 산업혁명이 상법·노동법 등 법체계를 만들었다면, AI 혁명은 데이터 기반의 자동화 판단이라는 기술 기반 위에, 새로운 개념과 법질서를 요구한다. 우리나라는 지난해 미국 EU에 이어 인공지능기본법을 마련했고, 내년 1월부터 시행될 예정이다. 이 법은 인공지능 기술개발 및 산업진흥을 통한 국가경쟁력 강화와 인공지능 기반 사회에서 시민의 권익 보호를 목표로 한다. 기술 진흥과 권익 보호라는 양 축을 법으로 명확히 구조화했다는 점에서 의의가 크다. 서울 강서구는 이번 달 자치구 최초로 인공지능 기본조례를 시행하고, 행정 전반에 AI를 도입했다.
그런데 AI 기본법과 조례의 제정만으로는 충분하지 않다. 인공지능 시대에 법제의 역할은 단순한 규제가 아니라 기술 진보를 조정하는 방향타로 변모하고 있기 때문이다. 이에 기존 법령의 개정과 새로운 법령의 마련이 필요하다. 특히 개인정보보호법은 개정이 필수적이다. 개인정보보호는 보이스피싱 등 사회문제 발생으로 2011년 법 제정 이후 지속적으로 강화되는 추세다. 그러나 AI 기술과 관련한 개인정보 유출 등의 다양한 문제에 대해 현행 법제가 충분히 대응하지 못하고 있다.
현행 개인정보보호법은 동의 없는 개인정보의 수집·이용을 금지하고, 자동화된 개인정보 처리 결과에 대해 일부 통제하고 있다. 그러나 AI가 학습한 데이터는 공개되지 않으며, 정보주체는 자신의 정보가 AI 학습에 사용됐는지 확인하거나 삭제를 요구할 법적 수단이 없다. 내년 시행될 인공지능기본법에도 AI 학습데이터에 개인정보가 포함된 경우를 명시적으로 규율하는 조항은 없다.
그렇다고 무작정 개인정보보호를 강화할 수 없는 상황이다. AI 학습에 개인정보 활용을 전면 금지하면 국내 생성형 AI 산업 경쟁력이 약화된다. AI 모델 개발에 있어 학습데이터의 확보와 활용 정도는 결정적 영향을 미친다. 언어모델을 개발하려면 양질의 데이터세트가 필요한데, 개인정보 활용에 제한이 크면 개발에 필수적인 데이터 확보가 어렵다. 또한 모델이 생성하는 출력물에 정보주체 동의 없이 개인정보가 노출될 위험도 있다. 2023년 해외에서 한 AI 챗봇이 학습 데이터에 포함되어 있던 특정 사용자의 이메일 주소와 주소를 노출한 사례도 있었다.
국제적으로도 개인정보보호 수준에 따라 AI 산업의 양상이 엇갈린다. 중국은 2021년 개인정보보호법을 시행했는데, 산업육성 목적일 경우 광범위한 예외를 허용한다. 기술 개발을 위한 경우 사전 동의 없이 개인정보 활용이 가능하고, 사후통지나 동의철회권도 제한적이다. 이런 이유로 중국은 딥시크 등 초거대 AI 모델을 빠르게 상용화하며 개발 속도를 높이고 있다. 반대로 유럽연합은 강력한 개인정보보호법제를 운영 중이다. 데이터 처리에 대한 명시적 동의 요구와 개인의 삭제 요청권을 규정하고, 위반할 경우 기업에 높은 금액의 과징금을 부과한다. 이에 AI 기업들은 법적 기준을 충족하기 위해 개발 및 출시 일정을 조정하거나, 일부 기능을 제한하기도 했다.
이와 같은 개인정보보호와 AI 개발 관계는 단순히 충돌이 아닌, 지속가능한 기술 생태계를 설계하기 위한 과정으로 보아야 한다. 기술 혁신을 저해하지 않으면서 개인의 권익을 지키려는 입법적 시도로, AI 학습데이터 활용을 위한 개인정보보호법 일부개정안이 발의되었다. AI 기술 개발을 위해 필요성이 인정될 경우 개인정보보호위원회 심의를 거쳐 수집 목적 외로 개인정보를 활용가능한 근거 조항을 신설하는 내용으로, 위험평가와 사후 감독도 의무화하고 있다. 나아가, AI 모델이 특정 정보를 학습은 해도 생성·노출하지 않도록 하는, 법적이면서 기술적인 과제 해결도 필요하다. 궁극적으로는 학습데이터의 공개와 활용 범위에 대한 사회적 합의가 있어야 한다.
기술 발전이 입법보다 선행하는 것이 현실이지만, 법은 경제·사회·산업 변화의 이정표가 되어야 하며, 기술은 그 지침에 따라 작동해야 한다. 그렇지 않다면, 개인의 권익이 침해되는 부작용을 예방하거나 사후에 제재할 수 없다. AI 혁명 시대 법은 이러한 인식 아래, 혁신과 규제를 아우르는 새로운 균형점을 향해 나아가야 한다. 지금 필요한 것은 기술과 보호 사이의 조화로운 입법이다.
그런데 AI 기본법과 조례의 제정만으로는 충분하지 않다. 인공지능 시대에 법제의 역할은 단순한 규제가 아니라 기술 진보를 조정하는 방향타로 변모하고 있기 때문이다. 이에 기존 법령의 개정과 새로운 법령의 마련이 필요하다. 특히 개인정보보호법은 개정이 필수적이다. 개인정보보호는 보이스피싱 등 사회문제 발생으로 2011년 법 제정 이후 지속적으로 강화되는 추세다. 그러나 AI 기술과 관련한 개인정보 유출 등의 다양한 문제에 대해 현행 법제가 충분히 대응하지 못하고 있다.
현행 개인정보보호법은 동의 없는 개인정보의 수집·이용을 금지하고, 자동화된 개인정보 처리 결과에 대해 일부 통제하고 있다. 그러나 AI가 학습한 데이터는 공개되지 않으며, 정보주체는 자신의 정보가 AI 학습에 사용됐는지 확인하거나 삭제를 요구할 법적 수단이 없다. 내년 시행될 인공지능기본법에도 AI 학습데이터에 개인정보가 포함된 경우를 명시적으로 규율하는 조항은 없다.
그렇다고 무작정 개인정보보호를 강화할 수 없는 상황이다. AI 학습에 개인정보 활용을 전면 금지하면 국내 생성형 AI 산업 경쟁력이 약화된다. AI 모델 개발에 있어 학습데이터의 확보와 활용 정도는 결정적 영향을 미친다. 언어모델을 개발하려면 양질의 데이터세트가 필요한데, 개인정보 활용에 제한이 크면 개발에 필수적인 데이터 확보가 어렵다. 또한 모델이 생성하는 출력물에 정보주체 동의 없이 개인정보가 노출될 위험도 있다. 2023년 해외에서 한 AI 챗봇이 학습 데이터에 포함되어 있던 특정 사용자의 이메일 주소와 주소를 노출한 사례도 있었다.
국제적으로도 개인정보보호 수준에 따라 AI 산업의 양상이 엇갈린다. 중국은 2021년 개인정보보호법을 시행했는데, 산업육성 목적일 경우 광범위한 예외를 허용한다. 기술 개발을 위한 경우 사전 동의 없이 개인정보 활용이 가능하고, 사후통지나 동의철회권도 제한적이다. 이런 이유로 중국은 딥시크 등 초거대 AI 모델을 빠르게 상용화하며 개발 속도를 높이고 있다. 반대로 유럽연합은 강력한 개인정보보호법제를 운영 중이다. 데이터 처리에 대한 명시적 동의 요구와 개인의 삭제 요청권을 규정하고, 위반할 경우 기업에 높은 금액의 과징금을 부과한다. 이에 AI 기업들은 법적 기준을 충족하기 위해 개발 및 출시 일정을 조정하거나, 일부 기능을 제한하기도 했다.
이와 같은 개인정보보호와 AI 개발 관계는 단순히 충돌이 아닌, 지속가능한 기술 생태계를 설계하기 위한 과정으로 보아야 한다. 기술 혁신을 저해하지 않으면서 개인의 권익을 지키려는 입법적 시도로, AI 학습데이터 활용을 위한 개인정보보호법 일부개정안이 발의되었다. AI 기술 개발을 위해 필요성이 인정될 경우 개인정보보호위원회 심의를 거쳐 수집 목적 외로 개인정보를 활용가능한 근거 조항을 신설하는 내용으로, 위험평가와 사후 감독도 의무화하고 있다. 나아가, AI 모델이 특정 정보를 학습은 해도 생성·노출하지 않도록 하는, 법적이면서 기술적인 과제 해결도 필요하다. 궁극적으로는 학습데이터의 공개와 활용 범위에 대한 사회적 합의가 있어야 한다.
기술 발전이 입법보다 선행하는 것이 현실이지만, 법은 경제·사회·산업 변화의 이정표가 되어야 하며, 기술은 그 지침에 따라 작동해야 한다. 그렇지 않다면, 개인의 권익이 침해되는 부작용을 예방하거나 사후에 제재할 수 없다. AI 혁명 시대 법은 이러한 인식 아래, 혁신과 규제를 아우르는 새로운 균형점을 향해 나아가야 한다. 지금 필요한 것은 기술과 보호 사이의 조화로운 입법이다.