이성엽 고려대 기술경영전문대학원 교수/기술법정책센터장

AI 기술을 개발하거나 이에 기반한 서비스를 제공하기 위해서는 대량의 공개 데이터를 학습하고 이용할 필요가 있다. 그런데 이런 공개 데이터에는 특정 개인의 정보에 해당할 수 있는 데이터 등도 포함될 수 있다. 원칙적으로 공개된 개인정보라고 해도 이를 수집, 이용하기 위해서는 정보주체의 동의가 필요하다. 다만 AI가 인간의 개입 없이 자동적으로 공개된 개인정보를 수집하는 경우 개인정보보호법을 적용해 동의를 강제하는 것은 기술적으로 실행이 어려우며 또한 공개된 정보에 대해 비공개 정보와 동일한 요건을 적용하는 것이 타당한지 의문이 있다. 동의를 강제하는 경우 AI 데이터 학습은 상당한 제약을 받게 된다.

이에 AI 기술 및 서비스를 개발하고 이를 이용자에게 제공하기 위해서는 대량의 데이터를 활용토록 법리를 구성할 필요가 있다. 이와 관련된 법리상 쟁점은 첫째, 사업자가 공개된 개인정보를 정보주체의 동의 없이 수집해 이용할 수 있는 법적 근거는 무엇인지 둘째, 사업자가 기존 정보주체의 동의를 받아 수집한 정보를 AI 기술 및 서비스 개발의 목적으로 이용하기 위해 이용자의 동의를 다시 받아야 하는지다.

개인정보보호위원회는 2024년 7월 'AI 개발 서비스를 위한 공개된 개인정보처리 안내서'를 통해 공개된 개인정보를 '정당한 이익'에 근거해 동의 없이 처리할 수 있음을 밝혔다. 이 조항은 개인정보보호법 제15조 제1항 제6호인데 '개인정보처리자의 정당한 이익을 달성하기 위해 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우' 동의 없이 개인정보를 처리할 수 있다고 밝혔다. 그런데 이 조항에서 '명백성 요건'이 너무 엄격해 실제 이용되기 어려운 문제가 있다.

다음으로 기존 수집한 개인정보를 AI 개발 등 목적으로 활용할 수 있도록 하는 개인정보보호법 개정안이 제안됐다. 민병덕 의원과 고동진 의원의 안은 적법하게 수집한 개인정보를 성능개선을 포함해 AI 기술개발을 위해 당초 수집한 목적 외로 처리할 수 있도록 했다. 그 요건은 안전조치를 취할 것, 공공의 이익 내지 사회적 이익증진을 목적으로 할 것, 개인정보보호위원회의 심결을 받고 개인정보처리방침에 공개할 것 등이다. 고동진 의원의 안은 일정한 경우 심의, 의결을 간소화할 수 있는 경우를 포함한다는 점이 다르다. 개인정보 활용을 위한 진일보한 안이지만 목적을 공공의 이익이나 사회적 이익으로 제한하면 이 요건을 충족하는 사업자가 제한적일 수 있다. 공공, 사회적인 이익에 대해 유연한 해석을 하거나 명확히 개정하는 것을 고려할 필요가 있다.

개인정보보호위원회도 자율주행차처럼 가명처리만으로는 연구목적 달성이 어려운 경우 적정한 안전조치를 전제로 개인정보보호위원회 심의·의결을 거쳐 원본 데이터 활용을 허용키로 했다. 그동안 가명, 익명처리를 요구하거나 규제샌드박스에서 개별 심사를 통한 원본활용에서 진일보한 혁신안을 추진한다는 점에서 고무적이다.

다만 생성형 AI의 개인정보 무단수집에 따른 프라이버시 침해, 해외로의 개인정보 이전에 따른 데이터 주권침해 문제가 점점 심각해진다. 개인정보 유출사고도 여전하다. 아직도 기업들은 소 잃고 외양간 고친다는 생각으로 보안에 대한 투자를 불요불급한 비용으로 생각한다. 규제당국의 엄정한 대응과 함께 이용자 리터러시의 획기적 제고가 필요하다.

최근 개인정보보호위원회는 AI 시대 개인정보 이슈가 혁신의 걸림돌이 되지 않도록 다양한 정책방안을 마련 중이다. 이처럼 AI 시대에 새로운 시각에서 규제를 개선하기 위한 노력을 신속히 진행하지 않는다면 국내 사업자들은 한국과 다른 규제환경에서 기술 및 서비스를 개발하는 미국, 중국 등의 사업자들과 경쟁하기 어려울 것이다. 동시에 안전한 개인정보 처리에도 지속적인 관심을 가져야 한다.

이성엽 고려대 기술경영전문대학원 교수/기술법정책센터장 기술법정책센터장

ⓒ 머니투데이 & mt.co.kr, 무단 전재 및 재배포 금지