규제기관을 믿는다는 것: 동의 없는 AI 학습을 허용하는 한국 개인정보 보호법 개정안

개정안의 주요 내용

IAPP의 보도에 따르면, 개정안은 개인정보 보호법에 제28조의12부터 제28조의15까지 일련의 새로운 조항을 신설하여 AI 개발에 개인정보를 이용하기 위한 전용 법적 경로를 마련합니다. 핵심 메커니즘은 설명하기는 간단하지만 적용하기는 복잡합니다. 개인정보처리자는 개인정보보호위원회(개인정보위, PIPC)가 해당 사업을 구체적으로 승인하는 경우, 보유하고 있는 개인정보를 당초 수집 목적의 범위를 넘어, 새로 동의를 받지 않고도 AI 시스템의 개발 및 개선에 이용할 수 있습니다.

승인은 자동으로 이루어지지 않습니다. 개인정보위는 다음 네 가지 요건이 충족되었다고 판단해야 합니다.

익명처리 또는 가명처리가 곤란할 것. 익명정보나 가명정보를 이용해서는 AI 개발의 목적을 현실적으로 달성할 수 없어야 합니다.
적절한 안전조치가 마련되어 있을 것. 개인정보처리자가 개인정보와 정보주체의 권리를 보호하기 위한 기술적·관리적·조직적 조치를 갖추고 있어야 합니다.
공익 또는 사회적 편익이 있을 것. 해당 사업이 순수한 사적 이익에 그치지 않고 공익에 기여하거나 사회에 편익을 가져와야 합니다.
부당한 침해의 위험이 현저히 낮을 것. 처리로 인해 정보주체의 권리와 이익이 부당하게 침해될 가능성이 현저히 낮아야 합니다.

개인정보위에는 승인된 사업을 감독할 권한도 부여되며, 여기에는 승인의 전제가 된 요건과 안전조치의 준수 여부를 점검하는 권한이 포함됩니다. 개정안은 공포 후 6개월이 경과한 날부터 시행되도록 설계되어, 위원회가 시행 규정과 절차를 준비할 시간을 확보하도록 했습니다.

입법 경과

개정안은 2026년 5월 14일 국회 정무위원회를 통과했고, 2026년 7월 29일 여야의 초당적 지지 속에 법제사법위원회를 통과했습니다. 양극화된 국회에서 이례적인 정치적 합의가 이루어졌다는 점에서 주목할 만한 신호입니다. 본회의 표결은 2026년 8월 중순으로 예상되었습니다. 최종 조문과 시행 규정에 따라 이 경로가 실무에서 어떻게 운영될지가 결정되므로, 독자께서는 법안의 최신 진행 상황을 확인하시기 바랍니다.

한국이 이러한 개정을 추진하는 이유

이번 개정의 배경에는 여러 요인이 맞물려 있습니다.

AI 기본법. 한국의 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법, 흔히 AI 기본법이라 불리는 이 법은 2026년 1월 22일 시행되었습니다. 이 법은 국가가 AI 발전을 촉진하고 국가 AI 역량을 구축할 책무를 규정하고 있습니다. 데이터의 확보는 이러한 목표를 이루기 위한 전제조건입니다.
'소버린 AI'와 한국어. 한국은 한국어에서 뛰어난 성능을 보이고 한국적 맥락을 반영하는, 경쟁력 있는 국산 파운데이션 모델을 원합니다. 고품질 한국어 데이터는 영어에 비해 제한적이며, 가치 있는 데이터의 상당 부분은 다른 목적으로 수집되어 기업과 공공기관 내부에 보관되어 있습니다.
기존 제도의 한계. 개인정보 보호법은 전통적으로 세계에서 가장 동의 중심적인 개인정보보호법 가운데 하나로 꼽힙니다. 2020년 '데이터 3법' 개정으로 통계작성, 과학적 연구, 공익적 기록보존을 위해서는 가명정보를 동의 없이 처리할 수 있게 되었습니다. 그러나 개발자들은 가명처리가 일부 AI 목적에서는 데이터의 품질을 떨어뜨리며, 수백만 명으로부터 다시 동의를 받는 것은 비현실적이라고 주장합니다.
법적 불확실성. 명확한 경로가 없는 상황에서 기업들은 데이터를 이용하지 않거나, 이용하고 제재 위험을 감수하거나, 검증되지 않은 해석에 기대는 것 중 하나를 선택해야 했습니다. 규제기관의 승인을 받는 경로는 예측 가능성을 약속합니다.

한국 개인정보보호 체계 안에서의 위치

이번 개정안은 갑자기 등장한 것이 아닙니다. 개인정보위는 수년에 걸쳐 AI를 위한 제도적 수단을 구축해 왔습니다.

가명정보. 2020년부터 개인정보 보호법은 가명정보를 별도로 규율하고 있으며, 가명정보는 안전조치를 전제로 동의 없이 연구와 통계 목적으로 이용할 수 있고, 지정된 전문기관을 통한 결합도 가능합니다.
2023년 개정. 2024년부터 시행된 대규모 개정은 동의 규정을 현대화하고, 자동화된 결정과 관련된 권리를 도입했으며, 온라인과 오프라인 개인정보처리자에 대한 기준을 일원화했습니다.
공개된 정보에 관한 안내. 2024년 개인정보위는 「공개된 개인정보 처리 안내서」를 발간하여, 웹 스크래핑으로 수집한 데이터를 정당한 이익과 유사한 논리에 따라 AI 개발에 이용할 수 있는 경우와 기대되는 안전조치를 명확히 했습니다.
사전적정성 검토제. 개인정보위는 기업이 새로운 AI 서비스의 개인정보 보호 설계에 대해 출시 전에 규제기관과 사전에 협의하고 법 준수 여부에 관한 의견을 받을 수 있는 제도를 도입했습니다.
적극적인 집행. 개인정보위는 대형 AI 및 플랫폼 기업에 대해서도 조치를 취할 의지를 보여 왔습니다. 예를 들어 2024년에는 광고 목적의 민감정보 수집을 이유로 메타에 과징금을 부과했고, 2025년에는 개인정보 보호 우려가 해소될 때까지 딥시크(DeepSeek) 앱의 신규 다운로드를 제한했습니다.

이러한 배경에서 보면, 새 조항들은 단절이라기보다 진화에 가깝습니다. '규제기관이 이끄는 혁신'이라는 논리를 자문 의견에서 구속력 있는 법적 승인으로 확장하는 것입니다.

네 가지 요건 자세히 살펴보기

1. 익명처리 또는 가명처리의 곤란성

이 요건은 데이터 최소화 원칙을 구현한 것입니다. 신청인은 식별성이 더 낮은 데이터로는 왜 목적을 달성할 수 없는지 설명해야 합니다. 어려움은 기술적인 데 있습니다. 많은 머신러닝 작업에서는 가명정보로도 충분하지만, 자유 서술형 기록의 맥락을 이해해야 하는 모델처럼 식별자를 제거하면 목적 자체가 훼손되는 경우도 있습니다. 개인정보위는 곤란하다는 주장을 액면 그대로 받아들이지 않고 이를 평가할 수 있는 기술적 전문성을 갖추어야 할 것입니다.

2. 적절한 안전조치

안전조치에는 접근통제, 안전한 처리 환경, 출력 제한, 암기(memorisation) 및 데이터 유출 테스트, 보유기간 제한, 감사 기록 등이 포함될 것으로 보입니다. 핵심 쟁점은 안전조치가 학습된 모델 자체까지 다루어야 하는지, 예컨대 모델이 출력에서 개인정보를 그대로 재현하지 않도록 방지해야 하는지입니다.

3. 공익 또는 사회적 편익

이 요건은 가장 개방적인 요건입니다. 의료 진단, 공공 안전 분야의 활용, 공공서비스를 위한 한국어 모델 등은 쉽게 인정될 수 있을 것입니다. 그러나 소비자에게도 편익을 주는 상업용 챗봇은 어떨까요? 넓게 해석하면 이 요건은 형식적 절차로 전락할 수 있고, 좁게 해석하면 민간 부문의 혁신 상당 부분이 배제될 수 있습니다. 개인정보위가 '사회적 편익'을 어떻게 정의하느냐가 이 경로의 범위를 크게 좌우할 것입니다.

4. 부당한 침해 위험이 현저히 낮을 것

네 번째 요건은 정보주체에 초점을 맞춘 위험 평가를 요구합니다. 이는 GDPR의 정당한 이익 분석에서 사용되는 이익형량 테스트와 유사하지만, 기준이 훨씬 엄격합니다. 위험이 단지 수용 가능한 수준이 아니라 '현저히 낮아야' 하기 때문입니다. 민감정보, 아동의 개인정보, 프로파일링을 가능하게 하는 데이터는 더욱 엄격한 심사를 받게 될 가능성이 큽니다.

'규제기관을 믿는다는 것': 사전 승인의 논리와 위험

한국 모델의 가장 두드러진 특징은 제도적 설계에 있습니다. GDPR에서는 정당한 이익에 근거하는 개인정보처리자가 스스로 평가를 수행하고, 이후 감독기관이나 법원이 다르게 판단하면 그 위험을 부담합니다. 반면 한국은 규제기관을 절차의 맨 앞에 배치합니다.

장점

법적 확실성. 승인된 사업은 명확한 법적 근거를 확보하므로 소급적 제재의 위험이 줄어듭니다.
일관성. 중앙의 기관이 여러 분야에 걸쳐 일관된 기준을 적용할 수 있습니다.
전문성과 소통. 승인 절차는 규제기관과의 체계적인 상호작용을 통해 개인정보 보호 설계를 개선할 수 있습니다.
사회적 정당성. 독립적인 기관이 요건을 검토하고 승인한 경우, 동의 없는 데이터 이용을 정당화하기가 더 쉽습니다.

위험

규제 역량. 복잡한 AI 사업을 평가하려면 기술 인력과 시간이 필요합니다. 심사가 지연되면 혁신이 좌절될 수 있고, 서둘러 심사하면 보호가 약해질 수 있습니다.
포획과 정치적 압력. 국가 AI 경쟁력이 정치적 우선순위가 되면 규제기관은 승인하라는 압력을 받을 수 있습니다.
투명성. 승인 내역과 그 조건이 공개되지 않으면, 정보주체와 시민사회는 자신들의 데이터가 어떻게 이용되는지 검증할 수 없습니다.
개인 통제권의 약화. 승인은 개인의 동의를 집단적·행정적 판단으로 대체합니다. 문제는 개인에게 어떤 권리가 남는가입니다. 예를 들어 처리에 반대할 권리나 자신의 데이터가 이용되었는지 알 권리 같은 것입니다.
모델의 문제. 개인정보가 일단 모델 가중치에 반영되면, 그 영향을 제거하는 것('머신 언러닝')은 기술적으로 어렵습니다. 정보주체의 입장에서 승인 결정은 사실상 되돌릴 수 없습니다.

헌법적 배경: 개인정보자기결정권

한국 헌법재판소는 인간의 존엄과 사생활의 비밀과 자유에 관한 헌법상 보장으로부터 도출되는 개인정보자기결정권을 오래전부터 인정해 왔습니다. 이 권리가 동의를 절대적 요건으로 만드는 것은 아닙니다. 입법자는 정당한 목적을 위해 이를 제한할 수 있으며, 다만 그 제한은 비례의 원칙에 부합해야 합니다. 개정안의 네 가지 요건은 비례의 원칙을 법률에 내재화하려는 시도로 읽을 수 있습니다. 즉 필요성(덜 침해적인 데이터 이용의 곤란성), 적합성과 안전조치, 정당한 목적(공익), 그리고 균형(낮은 위험)입니다. 이 제도가 헌법적 도전을 견뎌낼 수 있을지는 개인정보위가 실무에서 이 요건들을 얼마나 엄격하게 적용하느냐에 크게 달려 있을 것입니다.

사례로 보는 적용: 두 가지 신청, 두 가지 결과

두 가지 가상의 신청에서 요건이 어떻게 적용될 수 있는지 생각해 보겠습니다. 한 대학병원이 폐 질환의 초기 징후를 탐지하기 위해 수년간 축적된 영상의학 판독 보고서로 모델을 학습시키려 합니다. 정형화된 항목은 가명처리가 가능하지만, 자유 서술형 보고서에는 임상적 의미를 잃지 않고서는 제거하기 어려운 맥락적 세부 정보가 담겨 있습니다. 접근은 안전한 환경으로 제한되고, 출력에는 환자 정보가 포함되지 않으며, 공중보건상의 편익도 분명합니다. 이러한 신청은 네 가지 요건을 모두 충족하기에 유리한 위치에 있는 것으로 보입니다.

이번에는 한 이커머스 플랫폼이 고객의 구매 이력과 채팅 기록으로 범용 쇼핑 도우미를 학습시키려 한다고 가정해 보겠습니다. 그 목적의 상당 부분은 가명정보나 집계 데이터로도 달성할 수 있고, 편익은 주로 상업적이며, 데이터는 정교한 프로파일링을 가능하게 합니다. 소비자가 편리함을 얻는다 하더라도, 이 신청은 첫 번째, 세 번째, 네 번째 요건을 충족하기 어려울 것입니다. 이 대비는 해당 경로가 학습을 위한 일반적인 허가라기보다, 공익적 근거가 강한 사업을 위한 관문으로 설계되었음을 보여 줍니다.

비교법적 관점

유럽연합. GDPR에는 AI에 특화된 동의 예외가 없지만, 개인정보처리자는 3단계 테스트를 거쳐 정당한 이익에 근거할 수 있습니다. 유럽정보보호이사회(EDPB)의 의견 28/2024는 이 테스트가 AI 모델에 어떻게 적용되는지, 그리고 어떤 경우에 모델을 익명으로 볼 수 있는지를 제시했습니다. 양립 가능한 추가 처리와 과학적 연구에 관한 GDPR 규정도 역할을 합니다. 유럽연합 집행위원회가 2025년 말 내놓은 '디지털 옴니버스' 제안은 AI 개발을 위한 정당한 이익을 명확히 하자는 내용을 담았으며, 이 제안은 여전히 논의 중입니다. EU AI법은 고위험 시스템에 대한 데이터 거버넌스 의무를 추가하지만, 그 자체로 개인정보 처리의 법적 근거를 제공하지는 않습니다.
이탈리아. 이탈리아 개인정보 감독기구는 2024년 12월 OpenAI에 1,500만 유로의 과징금을 부과하면서, 특히 학습에 필요한 적절한 법적 근거가 없었다는 점을 지적했습니다. 이는 자체 평가 모델에서의 제재 위험을 상기시켜 줍니다.
영국. 브렉시트 이후의 개혁은 연구 목적 처리와 정당한 이익에 근거한 처리를 더 예측 가능하게 만들고자 했지만, 영국은 여전히 사전 승인이 아닌 개인정보처리자의 자체 평가에 의존합니다.
일본. 일본의 개인정보보호 체계는 AI 개발에 비교적 유연하며, 논의 중인 개정안은 통계 및 AI 관련 이용에 대한 동의 요건 완화를 검토해 왔습니다.

따라서 한국의 접근은 진정한 의미의 제3의 길입니다. 엄격한 동의 체제보다는 허용적이지만, 자체 평가 모델보다는 더 통제되어 있습니다. 각국이 AI를 어떻게 규제하는지에 대한 더 넓은 지형은 글로벌 AI 법률 인덱스를 참고하시기 바랍니다.

튀르키예에 주는 의미

튀르키예에게 한국의 논의는 매우 시사적입니다. KVKK는 한국 개인정보 보호법과 마찬가지로 동의 중심의 전통을 공유하면서도, GDPR과의 정합성을 높이려 하고 있기 때문입니다.

AI 전용 경로의 부재. KVKK에는 규제기관의 승인을 받아 동의 없이 개인정보를 AI 학습에 이용할 수 있도록 허용하는 조항이 없습니다. 개인정보처리자는 제5조의 요건, 민감정보의 경우 제6조의 요건 가운데서 법적 근거를 찾아야 합니다.
정당한 이익. 제5조 제2항 (f)호는 정보주체의 기본적 권리와 자유를 침해하지 않는 한, 개인정보처리자의 정당한 이익을 위해 필요한 처리를 허용합니다. 이는 일부 AI 학습에 가장 유력한 근거이지만, 그 적용에는 신중한 이익형량과 문서화가 필요하며, 대규모 학습에 대한 한계는 아직 검증되지 않았습니다.
목적 제한. KVKK는 특정되고 명시적이며 정당한 목적을 위해, 관련성 있고 제한적이며 비례적인 방식으로 처리할 것을 요구합니다. 따라서 고객 데이터를 모델 학습에 전용하는 것은 곧바로 의문을 불러일으킵니다.
익명화된 통계. 제28조는 공식 통계를 통해 익명화하여 연구·계획·통계 목적으로 처리하는 경우를 법의 적용 범위에서 제외합니다. 이는 대부분의 상업적 AI 개발을 포괄하지 못하는 좁은 예외입니다.
가명정보 제도의 부재. 한국 개인정보 보호법이나 GDPR과 달리, KVKK에는 가명정보를 더 유연하게 취급하는 별도의 제도가 없습니다.
민감정보. 2024년 개정 이후 민감정보는 제한적으로 열거된 근거에 따라서만 처리할 수 있으며, AI나 연구를 위한 일반적인 근거는 없습니다.

이러한 문제는 학습 데이터: 먼저 해결해야 할 KVKK와 GDPR 쟁점, KVKK와 AI 거버넌스 가이드, 그리고 국경을 넘는 상황에 관해서는 국경을 넘는 AI 학습에서 깊이 있게 다루었습니다. 「국가의 스마트 경로」에서 검토한 2026–2030 튀르키예 AI 실행계획은 데이터 확보를 강조하고 있어, 학습의 법적 근거는 튀르키예가 피할 수 없는 정책 과제가 되었습니다.

튀르키예는 한국을 따라 해야 할까요? 제도를 통째로 이식하는 것은 시기상조입니다. 그러나 이 모델의 일부 요소는 검토할 가치가 있습니다. 튀르키예 개인정보보호청에 AI 사업을 위한 규제 샌드박스나 사전 협의 제도를 마련하는 것, 학습에 정당한 이익을 근거로 삼기 위한 기준을 공표하는 것, 가명처리 체계를 도입하는 것, 그리고 승인된 사업에 대한 투명성을 의무화하는 것입니다. 이러한 개혁은 규제 역량의 강화와 개인을 위한 실효적인 구제수단을 함께 갖추어야 합니다.

기업을 위한 컴플라이언스 로드맵

학습 데이터를 파악하세요. AI 개발에 이용되는 개인정보의 출처, 당초 수집 목적, 그리고 근거로 삼는 법적 근거를 확인하세요.
덜 침해적인 대안부터 검토하세요. 익명정보, 가명정보 또는 합성 데이터로 목적을 달성할 수 있는지 문서화하세요. 한국에서는 이것이 법적 요건이며, 다른 곳에서는 비례성을 입증하는 증거가 됩니다.
편익을 구체적으로 제시하세요. 누가 AI 시스템으로부터 어떻게 편익을 얻는지 구체적으로 설명하세요. 막연한 주장으로는 규제기관을 설득할 수 없습니다.
개인에 대한 위험을 평가하세요. 학습, 암기, 출력, 그리고 후속 이용까지 포괄하는 개인정보 영향평가를 수행하세요.
모델 수준의 안전조치를 설계하세요. 개인정보의 재현 여부를 테스트하고, 출력을 필터링하며, 모델 가중치에 대한 접근을 통제하세요.
투명하게 운영하세요. 개인정보 처리방침을 개정하여 AI 이용을 설명하고, 가능한 경우 승인받았거나 정당한 이익에 근거한 학습에 관한 정보를 공개하세요.
규제의 차이에 대비하세요. 글로벌 기업은 한국, EU, 튀르키예에 대해 서로 다른 데이터 전략이 필요할 수 있습니다. 관할별 허용 범위를 추적할 수 있는 데이터 거버넌스를 구축하세요.

학습을 위한 데이터 거버넌스는 개인정보에서 끝나지 않습니다. 앤트로픽의 15억 달러 저작권 합의에 관한 보도가 보여 주듯, 저작권 보호 콘텐츠의 법적 출처 역시 그만큼 중요합니다.

앞으로 지켜볼 사항

한국 모델이 성과를 낼지는 몇 가지 전개를 통해 드러날 것입니다. 첫째, 최종 조문과 개인정보위의 시행 규정입니다. 신청은 어떻게 하는지, 심사에는 얼마나 걸리는지, 어떤 증빙이 요구되는지가 관건입니다. 둘째, 첫 승인 사례입니다. 어떤 분야가 승인을 받는지, '사회적 편익'이 어떻게 해석되는지, 결정이 공개되는지를 지켜봐야 합니다. 셋째, 개인에게 남는 권리, 특히 처리정지 요구권과 투명성입니다. 넷째, 헌법적 차원이나 시민사회의 문제 제기 여부입니다. 마지막으로, 튀르키예를 포함한 다른 국가들이 AI 학습을 위한 규제기관 승인 경로를 실험하기 시작할지도 주목할 부분입니다.

자주 묻는 질문

개정안이 시행되면 어떤 기업이든 동의 없이 개인정보로 AI를 학습시킬 수 있나요?

아닙니다. 개정안은 개인정보위의 개별 사안별 승인을 필요로 하는 경로를 마련하며, 승인은 익명처리나 가명처리가 곤란하고 개인에 대한 위험이 현저히 낮아야 한다는 요건을 포함한 네 가지 요건 충족 여부에 달려 있습니다.

언제 시행되나요?

개정안은 공포 후 6개월이 경과한 날부터 시행되도록 설계되어 있습니다. 실제 운영은 개인정보위의 시행 규정에 따라 달라질 것입니다.

민감정보에도 적용되나요?

세부 내용은 최종 조문과 시행 규정에 따라 달라지겠지만, 민감정보는 안전조치 및 위험 요건에 따라 더욱 엄격한 심사를 받게 될 것이 거의 확실합니다.

GDPR의 정당한 이익과는 어떻게 다른가요?

GDPR에서는 개인정보처리자가 정당한 이익을 스스로 평가하고, 판단이 틀렸을 경우 그 위험을 부담합니다. 한국 모델에서는 규제기관이 법정 요건에 근거하여 구체적인 사업을 사전에 승인합니다.

개인이 반대할 수 있나요?

이는 핵심적인 미해결 쟁점 가운데 하나입니다. 개인정보 보호법상 일반적인 정보주체의 권리는 계속 적용되지만, 이러한 권리가 승인된 AI 사업과, 특히 데이터가 이미 모델에 반영된 이후에 어떻게 작동하는지는 명확히 할 필요가 있습니다.

튀르키예도 비슷한 모델을 도입할 수 있나요?

그러려면 KVKK의 법률 개정이 필요합니다. 제도를 이식하기에 앞서 튀르키예는 규제 역량, 투명성, 구제수단, 그리고 GDPR 지향적인 보다 넓은 개혁 과제와의 정합성을 고려해야 할 것입니다.

외국 기업에도 영향이 있나요?

한국에 있는 사람의 개인정보를 처리하는 외국 기업은 개인정보 보호법의 적용을 받습니다. 새로운 경로를 이용하려는 외국 기업은 국내 개인정보처리자와 마찬가지로 요건을 충족하고 승인을 받아야 합니다.

전문가 의견

이 섹션은 본 사이트의 설립자이자 AI 윤리·컴플라이언스 자문가로서의 개인적 견해를 담고 있습니다.

제가 보기에 한국의 개정안은 대부분의 국가가 외면하고 있는 질문에 대한 정직한 답변입니다. 모든 AI 학습 사업마다 수백만 명으로부터 동의를 받는 것이 현실적으로 불가능하다는 것, 그리고 이미 상당한 학습이 불확실한 법적 기반 위에서 이루어지고 있다는 것은 누구나 알고 있습니다. GDPR 체제는 자체 평가와 사후 집행을 통해 그 불확실성을 용인합니다. 한국은 이 절충에 대해 투명한 길을 택합니다. 일부 데이터는 동의 없이 이용될 수 있다고 공개적으로 밝히고, 법정 요건에 구속되는 공공기관이 언제 그것이 허용되는지를 결정하도록 합니다. 저는 동의가 여전히 모든 것을 규율한다고 가장하는 것보다 이 편이 지적으로 더 정직하다고 생각합니다.

그러나 이 모델은 그 뒤에 있는 규제기관만큼만 강합니다. '규제기관을 믿는다는 것'은 규제기관이 독립적이고, 기술적 역량을 갖추고, 투명하며, 거절할 줄 알 때 비로소 작동합니다. 승인이 국가 AI 목표를 위한 거수기로 전락한다면, 이 법은 기본권을 행정적 형식 절차로 바꾸어 놓은 셈이 될 것입니다. 네 가지 요건은 잘 선택되었으며, 특히 식별성이 낮은 데이터로는 목적 달성이 곤란하다는 점을 입증하도록 한 요건이 그렇습니다. 하지만 '공익 또는 사회적 편익' 테스트는 위험할 정도로 탄력적입니다. 저는 모든 승인과 그 조건 및 안전조치가 공개되고, 개인이 반대하고 알 수 있는 실질적인 권리가 보장되기를 바랍니다.

튀르키예에 대한 제 권고는 한국의 조문을 그대로 베끼는 것이 아니라 그 구조에서 배우라는 것입니다. 튀르키예 개인정보보호청은 AI 사업을 위한 사전 협의 및 샌드박스 제도에서 출발하여, 정당한 이익에 근거한 학습에 관한 명확한 기준을 공표하고, 향후 개혁에서 가명처리 체계를 도입할 수 있을 것입니다. 목표는 한국이 추구하는 것과 같아야 합니다. 사람들에게 오직 신뢰만으로 자신의 데이터에 대한 통제권을 내려놓으라고 요구하지 않으면서, 책임 있는 혁신을 위한 법적 확실성을 제공하는 것입니다.

이 글은 정보 제공 목적이며 법률 자문에 해당하지 않습니다. 개정안에 관한 사실관계는 주로 IAPP의 보도를 비롯한 공개된 자료에 근거하며, 최종 조문과 진행 상황, 시행 규정은 별도로 확인하시기 바랍니다. 분석과 평가는 필자의 견해입니다.