AI 학습 데이터 빗장 푼다…개인정보 AI 특례, 절차·기준 모호성은 숙제

'개인정보 인공지능(AI) 특례안'이 AI 학습 데이터 활용의 물꼬를 틀 수 있는 입법으로 주목받는 가운데, 절차적 복잡성과 기준의 모호성을 해소해야 한다는 법조계 진단이 나왔다. 이강혜 법무법인 태평양 변호사는 13일 서울 중구 한국지능정보사회진흥원(NIA)에서 개인정보보호법학회와 법무법인 태평양이 공동 주최한 'AI 시대, 다시 데이터를 고민하다' 세미나에서 "AI 기술 개발엔 다량의 학습 데이터가 필수적이지만 현행법상 동의나 계약 이행 근거만으로는 대규모 데이터 처리에 한계가 있다"고 밝혔다. 현행 개인정보보호법은 수집 시 정해진 목적 범위 내에서만 데이터를 활용하도록 규정하고 있다. 사업자들은 이를 AI 학습에 활용할 수 있는지를 두고 법적 불확실성이 있었다. 가명 처리 특례도 있지만 사람의 표정 등 고도화된 AI 기능 개발은 가명 처리만으로 충분하지 않다는 의견이 꾸준히 제기된 이유다. 규제 샌드박스를 활용하는 방법도 있으나, 한시적 특례인 탓에 기업이 장기적·안정적으로 사업을 추진하기엔 부족하다는 지적이다. 이 변호사는 "이번 특례안은 적법하게 수집된 개인정보를 정해진 요건 내에서 AI 기술 개발에 활용할 수 있도록 법적 근거를 명확히 한다는 점에서 의미가 있다"고 설명했다. 개인정보 AI 특례안의 핵심은 수집 목적 외 개인정보 처리를 예외적으로 허용하되, 엄격한 요건을 부과하는 구조다. 익명·가명 처리로 AI 개발이 어려운 경우나 기술적·관리적·물리적 보호 조치가 된 공간에서 처리할 때, 공익 증진이나 기술 혁신 목적이면서 정보 주체의 이익 침해 우려가 현저히 낮은 경우 등 3가지 실체 요건을 모두 충족해야 한다. 여기에 개인정보보호위원회의 사전 심의·의결이라는 절차적 요건도 거쳐야 한다. 민감 정보나 고유식별정보가 포함된 경우 위험 요인 평가를 실시하고 그 결과를 보호위에 제출해야 한다. 심의·의결 내용은 개인정보 처리방침에도 공개해야 한다. 개인정보보호위원회는 심의 이후에도 주기적으로 이행 여부를 관리·감독하고, 필요시 관계자에게 자료 제출을 요구할 수 있다. 지난 1월 발의안과 달리 이달 개정안에선 기존 심의·의결 내용과 실질적으로 동일하거나 유사한 경우 절차를 간소화할 수 있는 조항이 추가됐다. 다만 이 법안이 AI 산업 현장의 기대를 온전히 충족하기엔 넘어야 할 과제가 있다는 지적도 나온다. 이소은 광운대 법대 교수는 개인정보 AI 특례안의 구성이 AI 사업자보다 정보 주체의 이익 쪽으로 치우쳐 있다는 점을 지적했다. 3가지 실체 요건을 모두 갖춰야 하는 데다 사전 심의까지 받도록 한 구조는 AI 기술 개발의 속도를 고려할 때 산업 경쟁력을 저해할 수 있다는 우려다. 이 교수는 '사회적 이익 증진'이나 '기술 혁신 촉진'이라는 요건이 너무 광범위하다는 이유로 목적 요건의 포괄성도 지적했다. 대부분의 AI 개발이 이를 충족하게 되면 사실상 변별력이 없어진다는 것이다. '침해 우려가 현저히 낮은 경우'라는 문구도 판단 기준이 불명확하다고 짚었다. 이 교수는 "현행법 제15조 제1항 제6호의 '정당한 이익' 조항도 기준이 모호해 실무에서 거의 활용되지 못하고 있다"며 "같은 문제가 반복될 수 있다"고 말했다. 이 변호사 역시 "사전 심의 절차가 길어질 경우 AI 개발의 적시성이 훼손될 수 있다"며 "사후 규제 방식에 대한 검토도 병행할 필요가 있다"고 덧붙였다.