질주하는 AI…개인정보보호법 재설계 필요한 시점 [김앤장 data & security 인사이트]

한경 로앤비즈의 'Law Street' 칼럼은 기업과 개인에게 실용적인 법률 지식을 제공합니다. 전문 변호사들이 조세, 상속, 노동, 공정거래, M&A, 금융 등 다양한 분야의 법률 이슈를 다루며, 주요 판결 분석도 제공합니다.

2022년 11월 챗GPT가 출시된 이후 인공지능(AI)은 단순히 이용자가 원하는 답변을 검색해서 찾아주고 이미지를 생성해 주는 단계를 넘어, 이용자를 대신해 계획을 세우고 예약을 하는 에이전트 역할을 하게 됐다. 뿐만 아니라 이제 사이버 공간이라는 한계를 넘어 실제 세계와 직접 상호작용하는 피지컬 AI 시대로 진입하고 있다. AI 기술은 각 산업별로 다양한 방식으로 광범위한 데이터를 기반으로 활용되고 있고 지속적으로 신규 서비스가 출시되고 있다.

그런데 현행 개인정보보호법에서 정하고 있는 개인정보보호에 관한 원칙, 개인정보처리에 관한 근거 규정들은 정보주체의 실질적 권리를 보장하고 있지만 AI 서비스 개발을 위해 데이터를 활용할 수 있는 근거로서는 한계가 있다. 개인정보보호법의 전반적인 재설계가 필요한 시점이다.

최소 수집 원칙의 부작용

개인정보보호법의 가장 중요한 기본 원칙 중 하나가 ‘최소 수집의 원칙’이다. 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 최소한의 개인정보 만을 적법하고 정당하게 수집해야 한다. 그런데 AI는 학습과 추론 과정에 방대한 양의 데이터가 필요하며, 데이터의 양과 질은 AI 모델의 성능에 직접적인 영향을 준다.

최소 수집의 원칙을 엄격히 적용하게 되면 학습과 추론 과정에서 방대한 양의 양질의 데이터가 필요한 AI 기술 및 서비스를 개발하고 제공하는 것은 사실상 불가능하다. 정보주체의 권리를 보장하기 위한 최소 수집의 원칙을 폐기할 수는 없다. 그러나 AI 시대에 대량의 데이터를 다양하게 활용함으로써 제공해야 하는 서비스가 증가하고 있다는 점을 고려할 때 최소 수집의 원칙도 법 집행 단계에서 보다 유연하게 해석 및 적용해야 한다.

또한 개인정보보호법은 개인정보처리자가 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리해야 하며 그 목적 외의 용도로 활용해선 안된다는 목적제한의 원칙을 두고 있다. AI 학습 및 서비스 개발 과정에서 당초 예상한 목적과 다른 목적으로 데이터를 활용해야 하는 경우가 발생할 수 있다. 그런데 마찬가지로 목적 제한의 원칙을 엄격하게 적용하면, 기존에 적법하게 동의를 받아 수집한 정보라도 AI 기술 및 서비스 개발 목적으로 정보주체의 동의를 다시 받아야 한다.

또한 사업자가 적법하게 보유하고 있는 데이터에 개인정보가 포함돼 있는 경우, 정보주체의 동의를 받지 않은 한 해당 데이터를 활용한 기술 및 서비스 개발은 어려운 상황이 된다. AI 특례에 관한 개인정보보호법 개정안이 최근 국회 정무위원회와 법제사법위원회를 통과했는데, 적법하게 수집한 개인정보를 AI 서비스 개발 목적으로 일정한 요건 하에서 처리할 수 있도록 하는 근거 규정을 둔 것도 위와 같은 문제를 해결하기 위한 것이다.

AI 시대에 정보주체의 권리를 실질적으로 보장하면서도 데이터 활용이 가능하도록 하려면, 정보주체의 동의에 의존한 개인정보처리의 한계를 명확히 인지하고 적법처리 근거를 확대해야 한다. AI를 통한 데이터 처리 시 데이터의 양이 방대하고 처리 과정이 복잡하며, 수집 당시 수집하는 항목을 사전에 특정하고, 이용 목적을 사전에 특정하는 것이 어렵다. 그런데 정보주체의 동의에 기반한 개인정보처리에 의존하고 ‘정보주체의 동의’의 고지 요건을 엄격하게 해석하면, 동의를 받더라도 규제기관 및 법원에 의해 동의의 유효성 부정될 수 있다.

더구나 정보주체가 법정고지사항을 읽지 않고 ‘동의’ 버튼만 클릭하는 경우가 적지 않다는 점에서, 사업자가 정보주체에게 모든 항목을 고지하고 정보주체의 동의에 의존하도록 하는 것이 정보주체의 권리를 실질적으로 보장하는 방안이라고 볼 수도 없다. 정보주체의 동의 시 알려야 할 고지항목 및 범위를 중요 항목들에 한정하고, 사전 고지가 어려운 경우 사후적으로 이를 알리고 정보주체가 옵트아웃 방식으로 선택권을 행사할 수 있도록 하는 방안을 검토할 필요가 있다.

'정당한 이익' 조항의 불명확성

AI 시대에 개인정보처리의 근거로서 가장 많이 언급되는 것이 ‘정당한 이익’ 조항이다. 현행 개인정보보호법도 “개인정보처리자의 정당한 이익을 달성하기 위해 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우”에는 개인정보를 처리할 수 있도록 정하고 있다. 그러나 한국의 개인정보보호법은 EU 일반개인정보보호법(GDPR) 규정과 달리, 사실상 정당한 이익에 근거해 개인정보를 처리하는 것이 매우 어렵다.

사업자 입장에서는 어떤 경우에 정당한 이익 조항에 근거하여 처리할 수 있을지 불명확하여 이 조항을 근거로 개인정보를 처리하기도 어렵다. 개인정보의 적법처리 근거를 확대하려면 ‘정당한 이익’ 조항에서 ‘명백하게’라는 용어를 삭제하고, 어떤 경우에 정당한 이익 조항에 근거하여 개인정보를 처리할 수 있을지 규제기관이 구체적인 가이드를 제시하고 관련 사례를 축적해 나갈 필요가 있다.

마지막으로 AI 시대에 정보주체의 권리를 실질적으로 보장하려면, 개인정보처리자의 법 위반행위가 있는 경우 과징금 등의 행정상 제재를 강조하기 보다는 개인정보처리자가 정보주체의 피해를 신속하게 회복할 수 있는 제도적 장치 마련이 필요하다. 현행 개인정보보호법에 의하면, 정보주체가 민사상 손해배상청구를 통해 권리 구제를 받으려면 사실상 수년에 걸쳐 소송을 진행해야만 한다.

개인정보보호법은 개인정보처리자에 대한 시정명령 및 과징금 부과 이외에, 동의의결 제도를 통해 사건을 해결을 방안을 두고 있지 않다. 또한 개인정보처리자가 정보주체에 대한 선제적인 피해 구제 조치를 취하는 경우 어느 범위에서 행정상 제재에 반영할 수 있을지 불명확하다. 동의의결 제도를 도입하거나 선제적 피해구제 조치를 한 사업자에게 일정한 과징금 감액을 함으로써 정보주체의 피해를 신속하게 회복하는 제도적 장치를 마련한 필요가 있다.

AI 시대라는 이유로 데이터의 활용만을 강조하자는 것이 전혀 아니다. 다만 AI 시대에 종전의 개인정보보호원칙을 형식적으로 적용 및 집행함으로써, AI 산업 발전에 장애가 되고 정보주체의 실질적인 권리를 보장하지 않는 방향으로 나아가지 않도록 해야 할 것이다. 전세계적으로 AI 기술 및 서비스 개발을 위한 치열한 경쟁이 이뤄지고 있는 상황에서 개인정보보호원칙 및 법제 개편에 관한 논의를 신속하게 함으로써 정보주체의 실질적인 권리 보장 및 AI 서비스 개발 등이 가능하도록 개인정보보호법 및 원칙을 검토하고 재설계할 때이다.