I. 배경
인공지능(AI) 기술 개발은 국가 경쟁력 제고 및 국민 삶의 질 향상을 위한 핵심 과제로 주목받고 있으며, 사회적 안전망 확보, 재난·범죄 예방 등 공익적 필요가 높은 분야에서 개인정보가 포함된 데이터 활용에 대한 요구가 지속적으로 증대되어 왔습니다. 이러한 인공지능 기술의 개발과 성능 개선을 위해서는 대규모 데이터의 확보·활용이 필수적이며, 특히 영상·음성·이미지·문자 등 비정형데이터의 경우 데이터의 원래 형태와 맥락이 모델 성능에 직접적인 영향을 미치는 경우가 많습니다.
그러나 현행법상 정보주체의 동의나 계약 등을 통해 적법하게 수집한 개인정보를 다른 목적으로 이용하려면 정보주체의 별도 동의를 받거나 법률상 근거가 있어야 하고, 익명 또는 가명처리하여 활용하는 방식에도 기술적·실무적 한계가 있다는 지적이 지속적으로 제기되어 왔습니다. 인공지능 기술 개발 과정에서는 익명·가명처리만으로는 데이터의 유용성이 크게 저하되거나 모델 개발 자체가 곤란한 경우가 적지 않기 때문입니다.
이러한 요구를 반영하여 인공지능 기술 개발을 위한 개인정보 활용 특례(이하 “특례”)를 담은 「개인정보 보호법」 개정안(의안번호 제20246호)(이하 “보호법 개정안”)이 2026년 8월 20일 국회 본회의를 통과하였습니다. 동 개정안은 민병덕 의원안(2025. 1. 31. 제안)과 고동진 의원안(2025. 3. 13. 제안)을 국회 정무위원회에서 통합·조정한 대안으로, 법제사법위원회 심사를 거쳐 본회의에서 의결되었습니다.
보호법 개정안은 국무회의 상정·의결을 거쳐 공포 후 6개월 뒤부터 시행될 예정입니다. 개인정보보호위원회(이하 “보호위원회”)는 법 시행 전까지 전문가와 현장 의견을 폭넓게 수렴하여 법률의 취지에 맞는 인공지능 특례 운영방안과 하위법령을 마련할 계획이라고 발표하였습니다.
II. 주요 개정 내용
1. 인공지능 기술 개발을 위한 개인정보 처리 특례 신설
보호법 개정안은 「개인정보 보호법」 제3장에 제5절(제28조의12부터 제28조의15까지) “인공지능기술 개발을 위한 개인정보 처리의 특례”를 신설하였습니다. 이에 따라 개인정보처리자는 i) 일정한 요건을 모두 갖추고 ii) 보호위원회의 심의·의결을 거친 경우, 법령에 따라 적법하게 수집한 개인정보를 인공지능기술 개발을 위하여 당초 수집한 목적 외로 이용할 수 있습니다(안 제28조의12 제1항).
여기서 “인공지능기술 개발”에는 성능 개선이 포함됩니다(안 제28조의12 제1항 괄호). 따라서 신규 인공지능 모델 개발뿐 아니라 기존 인공지능 서비스의 고도화, 모델 개선, 성능 검증 등도 특례 적용 대상에 포함될 수 있습니다.
2. 특례 적용 요건(안 제28조의12 제1항)
특례를 적용받기 위해서는 다음 세 가지 요건을 모두 충족하여야 합니다.
① (데이터 특성) 처리되는 정보의 특성(영상·음성·이미지·부호·문자 등)과 인공지능 기술 개발과의 관련성 등을 고려할 때, 익명 또는 가명으로 처리하여서는 인공지능 기술 개발이 어려운 경우일 것
② (안전장치) 개인정보의 안전한 처리를 위한 기술적·관리적·물리적 조치가 된 환경에서 처리하거나, 클라우드 환경 등 개별 상황에 따른 추가적 안전조치를 이행하는 등 대통령령으로 정하는 기준에 따른 안전장치를 마련할 것
③ (공익성·저위험성) 인공지능 기술 개발의 목적이 ⓐ 공공의 이익 증진 또는 ⓑ 정보주체·제3자의 이익 보호나 사회적 이익 증진 중 어느 하나를 포함하는 경우로서, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것
3. 보호위원회 심의·의결, 조건 부여 및 절차 간소화(안 제28조의12 제2항)
개인정보처리자가 특례를 적용 받으려면 위 요건에 해당하는지 여부에 대하여 “보호위원회의 심의·의결”을 받아야 하며, 보호위원회는 정보주체의 권리 보장과 개인정보의 안전한 처리를 위하여 필요한 범위에서 조건을 붙일 수 있습니다(안 제28조의12 제2항).
한편, 종전에 보호위원회의 심의·의결을 거친 인공지능 기술·서비스의 내용·방식·형태 등과 실질적으로 동일하거나 유사한 경우에는, 대통령령으로 정하는 바에 따라 보호위원회가 정하여 고시하는 방법으로 심의·의결 절차를 간소화할 수 있도록 하였습니다(안 제28조의12 제4항). 향후 시행령 및 보호위원회 고시에 따라 유사 서비스나 반복적 모델 개선에 대한 절차 부담이 일부 완화될 수 있을 것으로 보입니다.
4. 적용 제외 조항에 대한 보호위원회 심의∙의결 명확화 (안 제28조의15)
보호법 개정안 제28조의15는 보호위원회의 심의∙의결을 거친 경우 현행 개인정보 보호법의 주요 규제 조항의 적용이 제외되는 내용을 담고 있습니다. 관련하여 국회 법제사법위원회 심사 과정에서는 제28조의12에 따른 보호위원회의 심의·의결을 거쳤다는 이유만으로 현행 개인정보 보호법상 주요 규제 조항의 적용이 일괄적∙자동적으로 제외되는 것으로 해석되지 않도록 적용 제외가 필요한 조항에 대해 보호위원회가 심의·의결하는 것을 명확히 하는 내용이 추가되었습니다. 이에 따라 보호위원회는 제28조의12에 따른 특례 적용 여부를 심의·의결하면서, 개별 사안의 특성과 위험성을 고려하여 제28조의15에 따른 보호조항{목적 외 이용·제공 제한(제18조·제19조), 수집 출처 등의 통지(제20조·제20조의2), 민감정보·고유식별정보·영상정보 등의 처리 제한(제23조부터 제25조까지 및 제25조의2), 개인정보의 국외 처리위탁 등에 관한 제한(제28조의8)} 중 구체적으로 어떠한 조항의 적용을 제외할 것인지도 함께 판단하게 됩니다.
5. 위험요인평가, 처리방침 반영 및 공개(안 제28조의12 제3항, 제5항 및 제6항)
민감정보·고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향, 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우에는, 해당 개인정보처리자는 보호위원회 심의·의결 전에 “위험요인평가”를 실시하고 그 결과를 제출하여야 합니다(안 제28조의12 제3항). 위험요인평가는 개인정보 처리로 인한 위험요인을 분석하고 개선사항을 도출하기 위한 절차로서, 단순한 서류 요건이 아니라 개인정보 침해 가능성, 차별·편향 가능성, 과도한 식별 위험, 제3자 권리 침해 가능성 등을 사전에 점검하는 절차로 운영될 가능성이 큽니다.
개인정보처리자는 심의·의결을 받아 개인정보를 이용하려는 경우 그 이용 목적과 유형을 제30조에 따른 개인정보 처리방침에 포함하여야 합니다(안 제28조의12 제5항).
또한 보호위원회는 심의·의결을 한 때에는 ⓐ 심의·의결을 요청한 자와 그 주요 내용, ⓑ 위험요인평가 결과를 요약한 내용을 인터넷 홈페이지 등에 공개하여야 합니다(안 제28조의12 제6항). 따라서 특례를 활용하려는 기업은 단순히 내부 안전조치 마련에 그치지 않고, 개인정보 처리방침 개정 내용, 외부에 공개될 수 있는 설명자료, 영업비밀·보안상 민감한 사항의 비공개 필요성 등을 함께 검토할 필요가 있습니다.
6. 사후 관리·감독 및 개인정보 처리 제한 (안 제28조의13 및 제28조의14)
이번 보호법 개정안은 사전 심의 구조와 함께 사후 관리·감독 장치도 두고 있습니다. 보호위원회는 심의·의결한 사항에 대하여 주기적으로 이행 여부를 관리·감독하여야 하며, 필요한 범위에서 개인정보처리자에게 자료 제출을 요구할 수 있습니다(안 제28조의13). 나아가 다음 각 호의 어느 하나에 해당하는 경우, 보호위원회는 심의·의결을 거쳐 개인정보 처리의 전부를 제한하여야 합니다(안 제28조의14 제1항).
① 거짓이나 그 밖의 부정한 방법으로 보호위원회의 심의·의결을 받은 경우
② 안 제28조의12 제1항 각 호의 요건을 충족하지 못한 경우
③ 보호위원회가 부여한 조건을 충족하지 못한 경우
④ 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 인공지능 기술 개발을 위한 개인정보 처리를 시작하지 아니한 경우
⑤ 중대한 사정 변경으로 인하여 인공지능 기술 개발 등 개인정보 처리의 목적을 달성하는 것이 명백히 불가능하다고 판단되는 경우
보호위원회가 개인정보 처리를 제한한 경우, 개인정보처리자는 지체 없이 필요한 조치를 하고 그 결과를 보호위원회에 알려야 합니다(안 제28조의14 제2항). 따라서 특례 승인 이후에도 승인 조건의 이행, 데이터 처리 내역 관리, 위험 완화조치의 지속적 운영, 내부 점검 및 증빙 자료 관리가 중요해질 것으로 예상됩니다.
II. 실무상 시사점 – 기대효과 및 향후 대응
1. (기대효과) 인공지능 개발을 위한 개인정보 활용 경로 확대
이번 보호법 개정안이 시행되면 개인정보처리자는 기존에 적법하게 수집한 개인정보를 일정 요건 하에서 인공지능 개발 및 성능 개선 목적으로 활용할 수 있는 별도의 법적 경로를 확보하게 됩니다. 특히 영상·음성·이미지·자연어 데이터 등 비정형데이터는 익명·가명처리 과정에서 유용성이 크게 감소할 수 있어 그동안 실무상 제약이 컸던 영역인데, 이번 특례는 해당 영역의 데이터 활용 가능성을 넓히고 보호위원회 심의·의결을 통해 일정한 법적 예측가능성을 부여한다는 점에서 의미가 있습니다. 다만 특례의 적용 범위는 “인공지능기술 개발”을 위한 “목적 외 이용”에 한정되므로, 개인정보 신규 수집, 제3자 제공, 금융업 등 분야에서의 적용 여부 등은 별도의 검토가 필요합니다.
2. 공익성·사회적 이익 및 저위험성에 대한 소명 준비
특례의 핵심 요건 중 하나는 인공지능 개발 목적이 공공의 이익, 정보주체·제3자의 이익 보호 또는 사회적 이익 증진을 포함하면서 정보주체·제3자의 이익을 부당하게 침해할 우려가 현저히 낮아야 한다는 점입니다. 따라서 기업은 인공지능 개발의 목적을 단순한 기술 고도화나 사업 효율화로 설명하는 데 그치지 않고, 해당 기술이 이용자 보호, 서비스 안전성 제고, 사회적 비용 절감, 접근성 개선, 보안 강화 등 어떠한 공익적·사회적 가치를 갖는지 구체적으로 정리할 필요가 있습니다. 아울러 데이터 유형, 처리의 규모, 데이터 민감도, 보관 기간, 접근 권한, 국외 이전 여부, 모델이 정보주체에게 미치는 영향 등을 종합적으로 검토하여 권리 침해 가능성이 낮다는 점을 입증할 수 있어야 합니다.
3. 사전 심의 대응을 위한 인공지능·개인정보 내부절차 정비
특례를 활용하려는 개인정보처리자는 보호위원회 심의·의결을 전제로 한 내부 절차를 마련하여야 합니다. 구체적으로는 인공지능 개발 목적과 데이터 활용의 필요성, 익명·가명처리만으로는 개발이 어려운 사유, 안전조치, 위험 완화방안, 처리방침 반영 사항, 공개 가능 자료 등을 사전에 체계적으로 준비하는 것이 바람직합니다. 특히 민감정보·고유식별정보가 포함되거나 정보주체에게 미치는 영향이 큰 경우에는 위험요인평가가 요구될 수 있으므로, 개인정보 영향평가, 인공지능 영향평가, 보안성 검토 등 기존 내부 절차와의 연계 방안을 미리 마련해 둘 필요가 있습니다.
4. 승인 이후의 사후 관리 리스크
이번 보호법 개정안은 보호위원회 심의·의결 이후에도 주기적인 관리·감독과 자료 제출 요구, 개인정보 처리 제한 제도를 두고 있습니다. 따라서 승인 자체보다도 승인 조건을 실제로 지속 이행할 수 있는 체계를 갖추는 것이 중요합니다. 기업은 승인받은 목적·범위를 벗어난 데이터 사용이 발생하지 않도록 인공지능 학습·검증·운영 단계별 데이터 사용 내역을 관리하고, 접근권한 통제, 로그 관리, 데이터 보관·파기, 클라우드 처리 환경의 보안조치, 내부 점검 기록 등을 남겨둘 필요가 있습니다. 또한 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 처리를 시작하지 않으면 처리 제한 사유가 될 수 있으므로, 신청 시점과 실제 개발 일정의 정합성도 함께 고려하여야 합니다.
5. 향후 시행령 및 보호위원회 고시 모니터링 필요
이번 보호법 개정안은 핵심적인 세부 기준의 상당 부분을 대통령령 또는 보호위원회 고시에 위임하고 있습니다. 특히 안전장치의 구체적 기준, 위험요인평가의 대상·방법, 세부 심의·의결 절차, 간소화 절차의 요건, 사후 관리·감독 및 처리 제한의 세부 기준은 향후 하위법령에서 구체화될 예정입니다. 따라서 인공지능을 개발하거나 인공지능 서비스를 고도화하는 기업은 후속 시행령·고시 제정 과정을 지속적으로 모니터링하고, 자사의 인공지능 개발 프로젝트가 특례 적용 대상이 될 수 있는지 사전에 점검할 필요가 있습니다.
* * *
법무법인(유한) 태평양은 이번 보호법 개정안과 관련하여 하위법령 개정, 보호위원회의 심의·의결 실무를 지속적으로 모니터링하고 있으며, 기업의 인공지능 개발 및 데이터 활용 구조에 맞는 개인정보 컴플라이언스 체계 수립과 최적의 대응 방안을 제공하겠습니다. 이에 대하여 문의사항이 있으시면 언제든지 저희 법무법인으로 연락하여 주시기 바랍니다.
저자: 박지연 변호사, 강태욱 변호사, 윤주호 변호사, 이강혜 변호사
