AI 혁신과 프라이버시의 공존: ‘원본 데이터 사용 특례’도입이 던진 과제 [율촌 TMT리포트]

법무법인 율촌 TMT센터 공동센터장 김선희 변호사

인공지능(AI) 기술이 국가 전략 자산으로 부상하면서, 대규모 데이터의 확보와 활용이 개발의 핵심 동력이 되었다. 그러나 데이터 활용 이면에는 개인의 프라이버시 침해 우려 역시 공존한다. 최근 단행된 법 개정과 정책적 움직임은 두 가치의 조화를 향한 타협점을 제시한다.

익명정보와 가명정보: 비식별 정보에 대한 이해

논의에 앞서, 데이터 비식별화의 기본 개념인 ‘익명정보’와 ‘가명정보’를 구분할 필요가 있다.

첫째, ‘익명정보’는 더 이상 개인을 알아볼 수 없도록 완전히 비식별조치한 정보이다. 연령대별 평균 통계처럼 식별이 불가능한 데이터가 이에 해당한다. 익명정보는 개인정보가 아닌 ‘비개인정보’로 분류되어 개인정보 보호법의 적용을 받지 않고 자유롭게 활용 가능하다.

둘째, ‘가명정보’는 식별 항목을 가명처리하여 추가 정보 없이는 개인을 식별할 수 없도록 한 정보이다. 추가 정보와 결합하면 재식별이 가능하다는 점에서 개인정보로 규율되나, 통계 작성 및 과학적 연구 등을 위해서는 동의 없이 활용할 수 있는 법적 특례가 인정된다.

원본 데이터 활용을 둘러싼 사회적 논쟁과 다양한 시각

기존의 가명정보 제도가 있음에도 비정형 데이터 활용에는 한계가 제기되었다. 영상·이미지 등은 가명처리 과정에서 품질이 저하되고 데이터의 맥락이 왜곡되기 때문이다. 예를 들어, 자율주행 학습 시 가명처리된 영상정보를 쓰면 보행자 인식률이 저하되는 안전 문제가 생긴다. 이에 따라 가명 처리하지 않은 ‘원본 데이터’를 직접 학습에 활용하게 해달라는 산업계의 목소리가 커져 왔다.

반면, 얼굴·지문 등 민감한 생체정보까지 포함된 원본 데이터를 그대로 AI 학습에 쓰는 것은 개인정보자기결정권을 무력화할 수 있다는 우려와 정면으로 부딪혔다. 특히 의료데이터나 이동형 기기 촬영 영상 활용은 철저한 안전장치가 없다면 심각한 침해와 사회적 차별을 초래할 수 있다는 지적이다.

자율주행자동차법 제20조의2와 영상 데이터 특례

이런 대립 속에 특정 산업 분야에서는 입법을 통해 선제적인 돌파구가 마련된 선례가 얼마 전에 있었다. 대표적 사례가 바로 올해 6월 18일 시행된「자율주행자동차 상용화 촉진 및 지원에 관한 법률」(자율주행자동차법) 제20조의2이다.

이에 따르면, 자율주행자동차 임시운행허가를 받은 자율주행자동차 제작자 등은 자율주행시스템의 성능 및 안전성 향상 목적으로 특정 개인정보가 포함된 영상정보를 익명·가명처리를 하지 아니하고 원본 그대로 이용할 수 있도록 허용하고 있다. 가명처리 시 보행자 인식 성능이 저하되는 위험을 극복하기 위한 특수성을 인정한 조치다. 이러한 원본 영상, 특히 사고로 이어질 뻔한 급박한 상황이나 사고 전후의 상황(즉 엣지데이터)의 확보는 안전성 측면에서 결정적인 의미를 가진다.

이는 한시적인 규제샌드박스 제도를 넘어 데이터를 AI 기술 개발을 위해 활용하기 위한 상시적 법적 근거가 마련된 중요한 선례다.

[제미나이]

2026년 8월 20일 법개정: AI 기술 개발을 위한 특례 신설

자율주행자동차법의 선례처럼 AI 전 분야에서 원본 데이터의 안전한 활용을 지원하는 일반법적 조율도 완료되었다. 2026년 8월 20일, 국회 본회의에서「개인정보 보호법」개정안이 통과되었고, 2027년 3월 9일 시행예정이다.

개정안은 ‘인공지능기술 개발을 위한 개인정보 이용 특례’를 신설했다. 안전 조치를 완비하고 개인정보보호위원회의 사전 심의·의결을 거친 경우, 가명처리 없이 원본 데이터를 AI 학습 및 성능 개선에 이용할 수 있는 상시적 예외가 수립된 것이다.

이 특례는 세 가지 요건을 충족해야 한다. 첫째, 영상, 음성, 이미지, 부호 및 문자 등 처리되는 정보의 특성, 인공지능기술 개발과의 관련성 등을 고려했을 때 가명정보나 익명정보만으로는 AI 개발이 곤란해야 하고, 둘째, AI 학습 환경에 맞는 ‘추가적 안전조치’를 마련해야 하며, 셋째, 인공지능기술 개발의 목적이 공공 또는 사회적 이익 증진 목적에 부합하고 정보주체 또는 제3자의 이익 부당하게 침해할 우려가 현저히 낮을 것이 요구된다.

다만 위 세 가지 요건 각각의 구체적 의미를 어떻게 획정하느냐에 따라 이 특례 제도의 실제 활용 범위와 실효성은 크게 달라질 수 있다. 예컨대 ‘가명정보나 익명정보만으로는 AI 개발이 곤란한 경우’를 기술적 불가능으로 좁게 해석할 것인지, 상당한 효용 저하까지 포함하여 넓게 해석할 것인지에 따라 특례 적용 대상 자체가 달라진다. ‘부당하게 침해할 우려가 현저히 낮을 것‘이나 AI 학습 환경에 맞는 ‘추가적 안전조치’의 구체적 수준을 얼마나 엄격하게 설정하느냐에 따라서도 심의·의결 단계에서의 통과 가능성과 그 이후의 제도 운용 방식이 상이해질 수 있다. 즉 조문의 문언은 동일하더라도 해석의 폭에 따라 이 특례가 실질적으로 넓은 예외로 기능할 수도, 극히 제한적인 예외로 그칠 수도 있다.

따라서 이러한 요건들을 해석함에 있어서는 일반 국민이 개인정보 처리에 대해 느끼는 프라이버시 민감성의 정도와, 자신의 정보가 어떻게 처리될 것인지에 대해 가지는 예측가능성을 중요한 기준으로 삼아야 할 것이다. 정보주체가 통상적으로 기대하기 어려운 방식으로 원본 데이터가 처리되거나, 그로 인해 심리적·사회적으로 민감하게 받아들여질 수 있는 영역에서는 요건을 엄격하게 해석해 특례의 적용을 신중히 판단하고, 반대로 정보주체의 합리적 기대 범위 내에 있고 프라이버시 침해 우려가 낮다고 볼 수 있는 영역에서는 제도의 취지에 부합하게 탄력적으로 운용함으로써, 개인정보 보호와 AI 기술 혁신이라는 두 가치의 균형을 도모하는 것이 바람직하다.

프라이버시 민감성의 국가적·문화적 차이

한편, 프라이버시에 대한 민감성과 법적 기준은 법체계와 문화에 따라 뚜렷한 온도 차이를 보이고 있다.

일례로 미국에서는 길거리 등 공개된 장소에서 이동하는 개인의 얼굴 정보는 원칙적으로 엄격한 개인정보 보호 대상으로 취급되지 않는다. 미국은 단일한 연방 개인정보 보호법이 존재하지 않고, 주 프라이버시법에서도 공개된 정보는 건강정보나 생체정보 등 민감정보가 아닌 한 보호 대상에서 폭넓게 배제한다.

EU에서도 자동차 제조사들이 실제 자율주행 개발을 위한 영상 수집의 법적 근거로 GDPR (General Data Protection Regulation, EU 개인정보보호규정) 제6조 제1항 (f)호의 “정당한 이익”을 인용하고 있고, 프랑스 개인정보 감독기구 CNIL의 최신 AI 가이드라인도 AI 학습용 사람 이미지 등 개인정보의 수집이 일정 조건 하에 정당한 이익에 의해 정당화될 수 있음을 명시하고 있다.

이처럼 프라이버시의 범주는 문화적 가치관과 법체계, 기술 주권 확보 열망에 따라 역동적으로 정의되는 듯 하다.

결론: 보호와 산업 발전의 균형 잡힌 시각

데이터 패권 경쟁 시대에 개인정보의 ‘절대적 통제’만을 고집한다면 국가 기술 경쟁력은 순식간에 도태될 우려가 있다. 반대로 무분별한 활용만을 허용한다면 인간의 존엄성과 프라이버시라는 보편적 가치가 무력화될 것이다.

결국 우리 사회에 가장 필요한 것은 ‘개인정보 보호’와 ‘산업 발전’이라는 두 가치가 조화롭게 맞물려 돌아가는 균형 잡힌 시각이다. 이번 법 개정과 자율주행자동차법 특례는 보호와 활용이라는 이분법을 넘어 공존을 도모하는 의미 있는 진화가 되기를 기대해 본다.

[율촌 TMT리포트]에서는 AI, 플랫폼, 개인정보, 방송, 통신 등 TMT 산업을 둘러싼 주요 법률 이슈와 기술 환경의 변화를 깊이있게 살펴보고, 율촌의 시각으로 풀어드립니다. 김선희 변호사는 개인정보 보호, 인공지능(AI), 데이터 및 ICT 분야를 주요 업무로 하며, AI·데이터 활용, GDPR 및 EU 인공지능법 등 국내외 규제에 대한 기업 자문과 컴플라이언스 업무를 지원하고 있습니다.