개인정보보호법 AI 학습 특례

AI 모델을 학습시키려면 대량의 데이터가 필요한데, 그 안에 개인정보가 섞여 있을 때 어디까지 활용할 수 있는지가 오랜 쟁점이었음. 정부는 AI 학습에 불가피한 경우 안전조치를 전제로 개인정보 원본을 활용할 수 있게 하는 특례를 도입하는 방향으로 개인정보 보호체계를 개편하는 것으로 보도됨.^[1][3]

해당 내용을 담은 개인정보보호법 개정안은 국회 정무위원회를 통과한 것으로 전해짐. 개인정보보호위원회는 이와 별도로 AI 개발·서비스 과정의 개인정보 처리 기준을 담은 안내 자료를 내놓고 있음.^[2][3]

핵심은 두 가지로 정리됨. 첫째, AI 학습에 불가피한 경우 안전조치를 전제로 개인정보 원본 활용을 허용하는 특례. 둘째, 개인정보 유출 대응 방식을 사후 제재 중심에서 사전 예방과 회복력 지원 중심으로 전환하는 것.^[1][3]

개인정보보호위원회는 공개된 개인정보를 AI 개발에 처리할 때의 기준과 안전조치 사항을 안내 자료로 제시하고 있어, 특례가 도입되더라도 안전조치 이행이 전제 조건이 되는 구조임.^[2][4]

개정안은 원본 개인정보를 AI 개발에 쓰려면 세 요건을 모두 충족하고 개인정보보호위원회의 사전 심의·의결을 받아야 하는 것으로 전해짐. ① 익명·가명 처리만으로는 AI 모델 개발이 어려운 경우일 것 ② 안전한 처리·보호 조치를 미리 마련해 둘 것 ③ 공익 또는 사회적 이익 증진에 기여하고 정보주체·제3자의 권리를 부당하게 침해할 위험이 현저히 낮을 것.^[3]

여기서 실무상 가장 중요한 건 ①의 뒤집힌 형태임. 익명·가명 처리만으로 개발이 가능하면 원본 활용 특례는 적용되지 않는 것으로 전해짐. 즉 특례는 '원본을 쓰고 싶을 때 쓰는 통로'가 아니라 '원본이 아니면 안 되는 경우에만 열리는 예외'로 설계된 셈임.^[3]

정무위 논의 과정에서 신장식 의원은 'AI 학습이 끝나면 사후에 거둬들이기 어렵다'는 점을 지적한 것으로 전해짐. 학습에 한 번 들어간 정보는 되돌리기 어렵다는 특성상 사후 제재보다 사전 심의가 실질적 방어선이 된다는 취지로 소개됨.^[3]

심의 기준이 공개되지 않거나 절차가 형식화되면 특례가 사실상 우회로가 될 수 있다는 비판도 제기됨. 심의 기준 공개와 결과 공시 같은 투명성 장치가 함께 필요하다는 지적으로 전해짐.^[3]

이 문서가 「본회의 표결만 남겨둠」으로 적고 있던 단계는 이미 지났다. 개정안은 2026년 8월 20일 국회 본회의를 통과했고, 법제처 자구 정비와 국무회의 의결을 거쳐 2026년 9월 8일 법률 제21910호로 공포됐다.^[7][8]

다만 공포와 시행은 다르다. 부칙에 따라 공포 후 6개월이 지난 2027년 3월 9일부터 시행된다. 즉 지금은 법이 만들어졌을 뿐 아직 적용되는 단계가 아니다.^[7]

혼동하기 쉬운 점이 하나 더 있다. 2026년 9월 11일 시행된 개인정보 보호법 개정(과징금 상한 관련)은 법률 제21445호로 이 AI 특례와 다른 법률이다. 번호도 시행일도 다르므로 「9월에 개인정보보호법이 바뀌었다」는 한 문장으로 묶으면 두 개정이 뒤섞인다.^[7]

법무법인 뉴스레터는 법제처 자구 정비 과정에서 일부 표현이 다듬어졌으나 실질적 내용에는 변경이 없다고 설명한다.^[7]

보도에 따르면 특례는 무조건 허용이 아니라 요건이 붙는다. 가명정보나 익명정보만으로 AI 개발이 어렵고, 공익적·사회적 필요성이 인정되는 경우에 한해, 강화된 안전조치를 전제로 개인정보보호위원회의 심의·의결을 거쳐 적법하게 수집한 개인정보를 당초 수집 목적 외로 이용할 수 있게 한 것이다.^[7][8]

안전장치도 함께 규정됐다. 민감정보나 고유식별정보를 처리하는 등 정보주체의 권리와 이익에 미치는 영향이 큰 경우에는 사전에 위험요인을 평가하고 개선방안을 마련해야 하고, 특례를 적용받는 기업과 기관은 주요 내용을 개인정보 처리방침을 통해 공개해야 한다.^[8]

배경으로는 기존 규제샌드박스가 기본 2년·최대 4년의 한시적 유예여서 장기적인 AI 개발을 뒷받침하는 데 한계가 있었다는 점이 지적된다.^[8]