I. 배경
인공지능(AI) 기술이 빠르게 발전하면서, AI 모델의 성능을 높이기 위해 양질의 데이터 확보가 핵심 과제로 부상하였습니다. 그러나 기존 「개인정보 보호법」 체계에서는 AI 학습 목적의 개인정보 처리가 당초 수집 목적 외 이용에 해당하여 제한되는 경우가 많았고, 익명·가명처리만으로는 개발이 곤란한 영역에서는 데이터 활용에 근본적인 어려움이 있었습니다.
이러한 문제의식에서 인공지능기술 개발을 위한 개인정보 처리 특례(이하 “AI 특례”)를 신설하는 「개인정보 보호법」 일부개정법률안이 국회 정무위원회 및 법제사법위원회 심사를 거쳐 2026. 8. 20. 국회 본회의를 통과하였습니다. 이후 법제처의 자구 정비와 국무회의 의결을 거쳐 2026. 9. 8. 법률 제21910호로 공포되었으며(이하 "개정 보호법"), 부칙에 따라 공포 후 6개월이 경과한 2027. 3. 9.부터 시행됩니다. 참고로 법제처 자구 정비 과정에서 일부 표현이 다듬어졌으나, 이는 문언 정비에 불과하여 실질적 내용에는 변경이 없습니다.
본 뉴스레터는 2026. 8. 24. 자로 발행한 뉴스레터(국회 본회의 통과 안내)의 후속편으로, 법률 공포 확정 사실을 알려드리고 실무적인 시사점과 대응방안을 전달하기 위해 마련하였습니다. 더 상세한 개정 내용에 관해서는 이전 뉴스레터를 참고해주시기 바랍니다.
II. 주요 개정 내용 요약
1. AI 특례 신설 및 적용 요건
개정 보호법은 제3장에 제5절(제28조의12부터 제28조의15까지)을 신설하여, 개인정보처리자가 아래 요건을 갖추어(①~③ 요건 모두 충족) 보호위원회의 심의·의결을 받은 경우 적법하게 수집한 개인정보를 인공지능기술 개발(성능개선 포함)을 목적으로 당초 수집 목적 외 이용할 수 있도록 하였습니다(제28조의12 제1항).
① (데이터 특성) 익명·가명처리로는 인공지능기술 개발이 곤란한 특성의 정보일 것
② (안전장치) 대통령령으로 정하는 기술적·관리적·물리적 안전장치(클라우드 환경 등 추가조치 포함)를 마련하였을 것
③ (공익성·저위험성) 공익 증진, 정보주체 및 제3자 이익 보호, 사회적 이익 증진 중 하나를 목적으로 하고, 정보주체 또는 제3자 이익 침해 우려가 현저히 낮을 것
2. 보호위원회 심의·의결 및 절차 간소화
위 요건 충족 여부는 개인정보보호위원회(이하 “보호위원회”)의 심의·의결을 받아야 하며, 보호위원회는 필요한 범위에서 조건을 붙일 수 있습니다(제28조의12 제2항).
종전에 심의·의결을 거친 사례와 실질적으로 동일·유사한 경우에는 절차를 간소화할 수 있습니다(제28조의12 제4항).
개인정보처리자는 민감정보·고유식별정보의 처리 등 대통령령으로 정하는 기준에 해당하면 위 심의·의결 전 위험요인평가를 실시·제출해야 하며(제28조의12 제3항), 개인정보 이용 목적과 유형을 개인정보 처리방침에 반영해야 합니다(제28조의12 제5항).
또한, 개정 보호법은 적용 일부 제외 조항을 두어, AI 특례에 따라 개인정보를 이용하는 경우, 심의·의결을 거쳐 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2 및 제28조의8(국외 처리위탁 한정)의 적용을 배제할 수 있게 하였습니다(제28조의15).
3. 사후 관리·감독 및 처리 제한
보호위원회는 사후적으로 심의·의결의 이행 여부를 주기적으로 관리·감독하며(제28조의13 제1항), 다음의 경우 심의·의결을 거쳐 개인정보 처리 전부를 제한하여야 합니다(제28조의14 제1항).
① 거짓이나 그 밖의 부정한 방법으로 보호위원회의 심의·의결을 받은 경우
② 제28조의12 제1항 각 호의 요건을 충족하지 못한 경우
③ 보호위원회가 부여한 조건을 충족하지 못한 경우
④ 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 인공지능 기술 개발을 위한 개인정보 처리를 시작하지 아니한 경우
⑤ 중대한 사정 변경으로 인하여 인공지능 기술 개발 등 개인정보 처리의 목적을 달성하는 것이 명백히 불가능하다고 판단되는 경우
III. 실무상 시사점 및 대응방안
1. AI 특례 활용의 의미와 한계
이번 개정 보호법은 그간 익명·가명처리 과정에서 유용성이 크게 저하되던 영상·음성·이미지·자연어 등 비정형데이터에 대하여, 보호위원회 심의·의결을 전제로 한 법적 활용 경로와 일정한 예측가능성을 부여한다는 점에서 의미가 있습니다. 다만 AI 특례는 "인공지능기술 개발을 위한 목적 외 이용"에 한정되는 만큼, 자사의 프로젝트가 실제로 특례 적용 대상에 해당하는지, 그리고 그 활용 목적을 단순한 기술 고도화나 사업 효율화가 아니라 공익적·사회적 가치와 연결지어 설명할 수 있는지를 먼저 점검해 보시는 것이 필요합니다.
2. 데이터 현황 파악 및 공익성 소명 준비
자사 AI 개발 프로젝트에서 활용 중이거나 활용 예정인 개인정보 데이터셋을 정리하고, 익명·가명처리만으로는 개발이 곤란한 데이터셋과 그 사유를 명확히 정리해 둘 필요가 있습니다.
아울러 AI 개발 목적의 공익적·사회적 가치(이용자 보호, 서비스 안전성, 사회적 비용 절감, 접근성 개선, 보안 강화 등)를 구체화하고, 정보주체·제3자 이익 침해 우려가 현저히 낮다는 점을 데이터 유형, 처리 규모, 민감도, 보관 기간, 접근 권한, 국외 이전 여부, 모델에 미치는 영향 등을 통해 뒷받침할 수 있는 자료를 미리 준비해 두어야 합니다.
3. 안전조치 점검 및 위험요인평가 대비
기술적·관리적·물리적 안전조치 현황을 점검·보완하고, 클라우드 환경 등 개별 상황에 따른 추가 안전조치의 이행 여부도 함께 확인하셔야 합니다. 또한, 위험요인평가는 단순한 서류 요건에 그치지 않고 개인정보 침해 가능성, 차별·편향 가능성, 과도한 식별 위험, 제3자 권리 침해 가능성 등을 실질적으로 점검하는 절차로 운영될 가능성이 크므로, 기존의 개인정보 영향평가·AI 영향평가·보안성 검토 절차와 연계할 방안을 마련하고 위험요인평가를 수행할 체계와 담당 조직을 미리 지정해 두시는 것이 바람직합니다.
4. 심의·의결 신청 및 처리방침 정비
보호위원회 심의·의결 신청에 대비하기 위하여 개발 목적, 데이터 활용 필요성, 익명·가명처리 곤란 사유, 안전조치, 위험 완화방안 등 신청서 작성에 필요한 자료를 체계적으로 정리하셔야 합니다. 또한, 심의·의결 내용이 홈페이지 등에 공개될 수 있다는 점을 고려하여 공개 가능한 자료와 영업비밀·보안상 비공개가 필요한 사항을 구분해 둘 필요가 있습니다. 아울러 AI 특례에 따른 개인정보 이용 목적·유형을 반영한 개인정보 처리방침 개정안도 미리 마련해 두시기를 권합니다.
5. 사후관리 체계 및 하위법령 모니터링
보호위원회의 승인 이후에도 조건 이행 여부를 지속적으로 점검해야 하고, AI 학습·검증·운영 단계별 데이터 사용 내역, 접근권한 통제, 로그 관리, 데이터 보관·파기 절차, 내부 점검 기록 및 증빙 자료 관리 체계를 갖추어야 합니다. 특히 심의·의결일로부터 6개월 이내에 정당한 사유 없이 처리를 개시하지 않으면 처리가 제한될 수 있으므로, 심의·의결 신청 시점과 실제 개발 일정을 정합성 있게 조율해 두실 필요가 있습니다.
마지막으로 안전장치 세부 기준, 위험요인평가 대상·방법, 심의 절차, 간소화 요건, 사후 관리·감독 및 처리 제한의 세부 기준 등을 규정할 시행령 및 보호위원회 고시 제정 동향을 지속적으로 모니터링하여, 확정되는 대로 내부 절차에 신속히 반영하실 것을 권해 드립니다.
* * *
법무법인(유한) 태평양은 이번 보호법 개정과 관련하여 하위법령 개정, 보호위원회의 심의·의결 실무를 지속적으로 모니터링하고 있으며, 기업의 인공지능 개발 및 데이터 활용 구조에 맞는 개인정보 컴플라이언스 체계 수립과 최적의 대응 방안을 제공하겠습니다. 이에 대하여 문의사항이 있으시면 언제든지 저희 법무법인으로 연락하여 주시기 바랍니다.
저자: 박지연 변호사, 강태욱 변호사, 윤주호 변호사, 이강혜 변호사
