본문
2026년 8월 20일, AI 기술 개발을 위한 개인정보 활용 특례를 신설하는 「개인정보 보호법」 개정안이 국회 본회의를 통과하였습니다. 이번 개정으로, 정보주체의 별도 동의나 가명·익명처리 없이도 적법하게 수집한 원본 개인정보를 AI 기술 개발에 활용할 수 있는 상시적 법적 근거가 최초로 마련되었습니다.
다만 특례는 ① 가명·익명정보만으로는 AI 개발이 곤란하고, ② 공익적·사회적 필요성이 인정되며, ③ 강화된 안전조치를 갖추어 개인정보보호위원회의 심의·의결을 거친 경우에 한하여 적용되는 3중 요건 구조입니다. 개정법은 공포 후 6개월이 경과한 날부터 시행되며, 안전조치의 구체적 요건과 심의 기준은 향후 하위법령에서 확정될 예정입니다.
AI 학습데이터 확보 전략을 가명처리 중심으로 운영해 온 기업, 규제샌드박스 실증특례에 의존해 온 기업은 시행 전 6개월의 준비기간 동안 특례 신청 대상 선별, 안전조치 수준 진단, 개인정보 처리방침 개정 준비에 착수할 필요가 있습니다.
1. 배경 및 개정 내용
2. 핵심 쟁점
3. 시사점
1. 배경 및 개정 내용
현행 「개인정보 보호법」상 정보주체의 동의나 계약 등을 통해 적법하게 수집한 개인정보를 수집 목적 외로 이용하기 위해서는 정보주체의 별도 동의 또는 법률상 근거가 필요하고, 그렇지 않은 경우 가명·익명정보 형태로만 활용할 수 있었습니다. 그러나 영상·이미지·음성 데이터를 학습에 활용하는 AI 개발의 특성상 가명·익명처리만으로는 데이터의 품질과 유용성을 확보하기 어렵다는 지적이 산업계에서 지속적으로 제기되어 왔습니다.
그동안 보이스피싱 예방, 자율주행로봇 개발 등 일부 혁신 서비스는 규제샌드박스 제도를 통해 개인정보가 포함된 영상·음성데이터를 활용해 왔으나, 규제샌드박스는 기본 2년, 최대 4년의 한시적 예외라는 구조적 한계가 있었습니다. 이에 개인정보 보호를 총괄하는 전문 감독체계에 기반한 상시적 법적 근거를 마련하기 위해, 민병덕 의원안(2025. 1. 31. 발의)과 고동진 의원안(2025. 3. 13. 발의)을 국회 정무위원회에서 통합·조정한 대안이 법제사법위원회 심사를 거쳐 2026년 8월 20일 본회의에서 의결되었습니다.
주요 개정 내용은 아래와 같습니다.
1. 익명 또는 가명 처리로는 인공지능기술 개발이 곤란한 경우, 개인정보의 안전한 처리를 위한 안전장치를 마련한 경우, 공공의 이익 또는 사회적 이익 증진을 위한 경우로서 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮은 경우 등의 요건을 모두 충족한 경우로서 개인정보 보호위원회의 심의·의결을 거친 때에는 기존에 적법하게 수집한 개인정보를 인공지능기술 개발(성능 개선 포함)을 위하여 당초 수집한 목적 외로 이용할 수 있도록 하였습니다(법 제28조의12제1항 및 제2항). 이때 “인공지능기술”은 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제2조제3호에 따른 인공지능기술로 정의됩니다(법 제2조제9호).
2. 종전에 개인정보위의 심의·의결을 거친 인공지능 기술·서비스의 내용·방식·형태 등과 실질적으로 동일하거나 유사한 경우로서 대통령령으로 정하는 경우에는, 개인정보위가 정하여 고시하는 방법에 따라 심의·의결 절차를 간소화할 수 있도록 하였습니다(법 제28조의12제4항).
3. 민감정보·고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향 및 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우에는 심의·의결 전에 위험요인평가를 실시하여 그 결과를 제출하도록 하고, 개인정보위는 심의·의결 시 심의·의결을 요청한 자와 그 주요 내용 및 위험요인평가 결과의 요약을 인터넷 홈페이지 등에 공개하도록 하였습니다(법 제28조의12제3항 및 제6항).
4. 개인정보 보호위원회의 심의·의결 사항에 대해 주기적으로 이행 여부를 관리ㆍ감독하도록 하고, 거짓ㆍ부정한 방법으로 특례를 적용받았거나 특례 적용 요건을 충족하지 못한 경우 등에는 심의·의결을 거쳐 개인정보의 처리의 전부를 제한하도록 하였습니다(법 제28조의13 및 제28조의14).
5. 특례에 따라 개인정보를 이용하는 경우에는 그 범위 안에서 개인정보위의 심의·의결을 거쳐, 목적 외 이용·제공 제한(제18조·제19조), 수집 출처 등 통지(제20조·제20조의2), 민감정보·고유식별정보 등의 처리 제한(제23조부터 제25조의2까지), 개인정보의 국외 처리위탁 제한(제28조의8) 등 총 10개 조항의 적용을 제외할 수 있도록 하였습니다(법 제28조의15).
2. 핵심 쟁점
1. 특례 적용의 3대 요건 — '보충성 + 안전성 + 공익성'
특례는 ① 가명정보나 익명정보만으로는 AI 개발이 곤란할 것(보충성), ② 강화된 안전조치, ③ 공익적·사회적 필요성을 모두 충족함을 전제로 개인정보위의 심의·의결을 거칠 것을 요구합니다.
실무상 최대 쟁점은 '공익적·사회적 필요성' 요건의 인정 범위입니다. 보이스피싱 예방, 자율주행 안전성 확보와 같이 공익성이 뚜렷한 영역과 달리, 상업적 성격이 강한 AI 서비스 개발이 어느 범위까지 이 요건을 충족할 수 있는지는 아직 하위법령이나 심의 실무가 형성되지 않아, 현재로서는 개별 사안의 공익적 효과를 구체적으로 소명할 수 있는지에 따라 달라질 것으로 해석될 여지가 있습니다. 또한 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것을 요구하고 있는 바, 규제당국인 개인정보위에 대한 적극적인 소명이 핵심이 될 것으로 보입니다.
2. 심의·의결 절차 - 최초 30일, 동일·유사 사안 15일
특례를 이용하려는 기업·기관은 개인정보위에 신청하여야 하며, 개인정보위는 전문위원회를 구성·운영하여 요건 충족 여부를 심의·의결합니다. 보완이 필요한 경우 부가조건이 부여될 수 있고, 정보주체의 권리·이익에 영향이 있는 경우에는 위험요인 평가 실시 후 개선조건이 부여됩니다. 한편 개인정보위는 동일·유사 사안이 없는 최초 신청은 30일 내, 기존에 심의·의결을 거친 특례와 실질적으로 동일하거나 유사한 AI 기술·서비스는 심의 절차를 간소화하여 15일 내 처리하는 방향으로 심의·의결 절차를 준비중인 것으로 보입니다.
3. 강화된 안전조치
이번 특례를 통해 요구되는 안전조치는 ① 시행령·고시 등 하위 규정을 통해 구체화될 공통 안전장치 요건과, ② 인터넷망·클라우드 이용, 생성형 AI 연계 등 처리 환경에 따른 사안별 강화 안전장치의 이원 구조로 설계되어 있습니다. 특히 민감정보나 고유식별정보를 처리하는 등 정보주체의 권리 또는 이익에 미치는 영향과 위험이 큰 경우에는 사전에 위험요인을 평가하고 개선방안을 마련하여야 합니다.
4. 보호 규정의 적용 제외 - 자동·일괄 면제가 아닌 개별 심의·의결 사항
특례에 따라 개인정보를 이용하는 경우, 그 범위 안에서 목적 외 이용·제공 제한, 수집 출처 등 통지, 민감정보·고유식별정보 등의 처리 제한, 국외 처리위탁 제한 등 총 10개 조항의 적용을 제외할 수 있습니다(법 제28조의15). 주목할 점은 법제사법위원회 심사 과정에서, 심의·의결만 받으면 10개 조항 전체가 일괄적·자동적으로 적용 제외되는 것으로 해석될 여지를 차단하기 위하여 “보호위원회의 심의·의결을 거쳐” 적용을 제외할 수 있도록 문안이 수정되었다는 것입니다. 즉, 어떤 보호 조항의 적용을 면제할 것인지는 개별 사안의 특성과 위험성을 고려하여 개인정보위가 사안별로 정하게 되며, 특례 승인이 곧 보호 규정 전반의 면제를 의미하지 않습니다.
5. 투명성 및 사후관리
특례를 이용하는 기업·기관은 그 주요 내용을 개인정보 처리방침을 통해 공개하여야 하고, 개인정보위는 특례 운영 현황(진행상황·결과)을 홈페이지에 공개합니다. 또한 개인정보위는 개인정보 활용 전 부가조건 이행 여부를 확인하고 필요시 중간점검을 실시하며, 특례 종료 시에는 파기 등 이행 여부를 점검합니다. 특례 승인 이후에도 조건 이행·기록 관리·종료 시 파기 체계를 상시 운영하여야 하는 구조입니다.
3. 시사점
화우 AI센터와 정보보호센터는 개인정보 보호법, AI 기본법 등 관련 법령 전반에 걸쳐 규제 대응, 데이터 거버넌스 구축, 감독기관 조사 대응 자문을 수행하고 있습니다. AI 학습데이터의 적법 처리 체계 설계, 가명처리·비식별 조치 적정성 검토, 규제샌드박스 신청 및 개인정보위 대응 등 데이터·AI 규제 전 단계에 걸친 실무 경험을 보유하고 있습니다.
이번 개정법 시행에 대비하여, 특례 신청 대상 진단, 보충성·공익성 소명자료 구축, 강화된 안전조치 체계 설계, 개인정보 처리방침 개정, 하위법령 입법예고 대응까지 일관된 자문을 제공할 수 있으니 자문 수요가 있을 경우 언제든 연락 주십시오.
