2026년 11월 1일 업데이트: 출처와 규칙 (EU) 2026/1744의 날짜를 반영해 새로 작성했습니다. 이 사이트의 이전 글에서 KVKK 제11조와 생체정보 관련 내용 중 유용한 부분은 확인을 거쳐 이 글에 합쳤습니다.
채용 AI의 차별 위험은 지금도 존재합니다. EU AI법의 채용 시스템 고위험 의무가 2027년 12월 2일에야 시작되더라도 그렇습니다. 자동 탈락은 이미 GDPR 제22조, 튀르키예 KVKK 제11조 제1항 (g), 튀르키예 평등법(노동법 제5조, 법률 제6701호)의 문제가 될 수 있습니다. EU에서 채용 과정의 감정 인식은 2025년 2월 2일부터 금지되어 있습니다. 설계상 중립적인 도구도 결과적으로 차별할 수 있으며, 고용주와 공급업체 모두 책임을 질 수 있습니다.
편향은 채용 도구에 어떻게 들어옵니까?
명시적 지시보다 과거 데이터와 대리 변수를 통해 들어오는 경우가 많습니다. 과거 채용 결정으로 학습한 모델은 과거의 패턴을 성공의 신호로 여깁니다. 경력 공백은 육아휴직을, 우편번호는 사회적·민족적 배경을 반영할 수 있습니다. 아무도 그런 결과를 의도하지 않아도 그렇습니다.
네덜란드 인권기구는 2025년 2월 페이스북의 구인 광고 알고리즘이 성별에 따른 간접 차별을 했다고 판단했습니다. 조사에 따르면 한 안내직 광고가 96~97% 여성 이용자에게 노출되었습니다. 이 기구의 의견은 구속력이 없습니다. 계속 중인 미국 사건 Mobley v. Workday에서는 2024년 중간 판단이 심사 소프트웨어 공급업체도 고용주의 대리인으로 책임질 수 있다고 보았습니다.
EU AI법은 언제부터 무엇을 요구합니까?
채용과 인력 관리 시스템은 고위험이며, 규칙 (EU) 2026/1744에 따라 해당 의무는 2027년 12월 2일부터 적용됩니다. EU AI법 부속서 III 제4호는 다음을 포함합니다.
- (a) 채용·선발 시스템: 표적 구인 광고 게재, 지원서 분석과 필터링, 지원자 평가
- (b) 근로 조건, 승진, 해고 결정, 행동이나 성격에 따른 업무 배분, 성과 감시·평가 시스템
부속서 III 시스템이 사람을 프로파일링하면 언제나 고위험이므로(제6조 제3항) 지원자 순위 도구는 예외를 쓰기 어렵습니다. 주된 의무는 제공자에게 있습니다(제16조). 배포자인 고용주는 지침을 따르고, 유능한 사람의 감독을 지정하고, 입력 데이터를 관리하고, 모니터링하며, 로그를 6개월 이상 보관해야 합니다(제26조). 직장에서 쓰기 전에 근로자 대표와 해당 근로자에게 알려야 합니다(제26조 제7항). 영향을 받는 사람은 설명을 요구할 권리를 갖습니다(제86조).
2027년 12월 2일 전에 이미 쓰이던 시스템은 설계가 크게 바뀔 때만 적용 대상이 됩니다(제111조 제2항). 다만 두 가지는 이미 적용됩니다.
- 감정 인식. 제5조 제1항 (f)는 의료·안전 목적을 제외하고 직장 내 감정 추론을 금지합니다. 집행위원회 가이드라인은 지원자에게도 적용되며 채용 과정의 감정 인식 시스템 사용이 금지된다고 밝힙니다. 가이드라인은 이 금지를 표정이나 타이핑 방식 같은 생체정보에 연결하며, 글로 쓴 텍스트에서 감정을 추론하는 것은 해당하지 않는다고 봅니다.
- 편향 시험. 2026년 7월 27일부터 제4a조는 편향 탐지를 위한 민감정보의 예외적 처리를 엄격한 조건 아래 허용합니다.
GDPR과 KVKK 제11조는 지원자에게 어떤 권리를 줍니까?
두 법 모두 순수하게 자동화된 결과에 맞설 길을 주지만 GDPR이 더 나아갑니다. GDPR 제22조는 자동 처리만으로 이루어져 중대한 영향을 미치는 결정의 대상이 되지 않을 권리를 줍니다. 계약 필요성, 법률, 명시적 동의는 예외입니다. 계약과 동의의 경우 최소한 사람의 개입, 의견 진술, 이의 제기를 보장해야 합니다(제3항).
유럽사법재판소는 '결정'을 넓게 봅니다. SCHUFA 판결(C-634/21)은 제3자가 크게 의존하는 점수 자체를 결정으로 보았고, Dun & Bradstreet 판결(C-203/22)은 실제 적용된 절차와 원칙의 설명을 요구할 수 있다고 했습니다. 담당자가 그대로 따르는 순위 점수는 사람이 형식적으로 '탈락'을 누르더라도 결정으로 볼 수 있습니다. 이런 결정의 바탕이 되는 체계적이고 광범위한 자동 평가에는 개인정보 영향평가도 필요합니다(제35조 제3항 (a)). 네덜란드 당국이 2026년 8월 발표한 우버 8억 2,499만 유로 과징금은 사람의 평가 없는 자동 계정 비활성화에 관한 사건이었습니다. 우버가 불복하고 있어 결정이 확정된 것은 아닙니다.
튀르키예의 KVKK 제11조
KVKK 제11조 제1항 (g)는 '오로지 자동화된 시스템'의 분석으로 자신에게 불리한 결과가 나온 경우 이의를 제기할 권리를 줍니다. 일반적 금지가 아니라 이의권이라는 점에서 GDPR 제22조보다 좁습니다. 조문은 사람의 검토를 언급하지 않습니다. 그러나 결정을 살펴볼 사람 없이는 이의에 의미 있게 답할 수 없으므로 조직은 이를 준비해야 합니다. 신청에는 30일 안에 답해야 하고(제13조), 거부되면 위원회에 신고할 수 있으며(제14조), 불법 처리로 손해를 입으면 배상을 청구할 수 있습니다(제11조 제1항 (ğ)). 이 글의 조사에서는 AI 채용 도구에 관한 위원회의 공개 결정을 찾지 못했습니다.
화상 면접 분석은 생체정보입니까?
그럴 수 있으며, 튀르키예에서는 엄격한 규율을 받습니다. 생체정보는 KVKK 제6조의 민감정보로, 제3항의 폐쇄적 목록에 따라서만 처리할 수 있고 정당한 이익은 그 목록에 없습니다. 모든 영상 분석이 생체정보는 아닙니다. KVKK의 2026년 8월 27일 공지는 특정 기술로 개인을 고유하게 식별할 수 있게 된 데이터를 생체정보로 보는 GDPR 전문 제51항을 인용합니다. 수학적 코드로 바꾼다고 달라지지 않습니다.
위원회의 2026년 4월 29일 원칙 결정 2026/921은 근태 관리에 관한 것입니다. 생체 근태 시스템은 유효한 명시적 동의가 있어도 비례성을 충족하지 못한다고 했고, 고용주와 근로자 사이의 힘의 불균형을 지적했습니다. 일자리가 필요한 지원자도 비슷한 불균형에 놓이므로 동의는 약한 근거라는 것이 이 글의 추론이며, 위원회의 판단은 아닙니다.
튀르키예의 평등 규정은 무엇입니까?
- 노동법 제4857호 제5조는 근로관계에서 언어, 인종, 피부색, 성별, 장애, 정치적 사상, 철학적 신념, 종교 등에 따른 차별을 금지합니다. 계약 체결 시 성별이나 임신을 이유로 직접·간접 차별할 수 없고, 배상은 임금 4개월분까지이며, 위반 가능성이 강하게 드러나면 입증 책임이 고용주에게 넘어갑니다.
- 법률 제6701호는 연령, 민족, 혼인 상태, 건강 상태 등을 포함해 금지하며(제3조), 제6조는 고용주와 그 위임을 받은 자를 구속하고 지원자와 선발 기준까지 명시합니다. 겉으로 중립적인 관행이 부당한 불이익을 주는 간접 차별도 포함합니다(제2조).
한국 독자는 개인정보 보호법 제37조의2 가이드도 참고할 수 있습니다. 완전 자동화된 결정에 대한 거부권과 설명 요구권을 다룹니다.
고용주는 도입 전에 무엇을 할 수 있습니까?
도구를 시험했고 사람이 개입할 수 있다는 증거를 남겨야 합니다. 채용 AI 가이드에 실무 자료가 있습니다.
- 도구를 파악합니다. 기본으로 켜진 공급업체 기능도 포함합니다.
- 결과를 측정합니다. 집단 간 합격률을 비교하고 날짜를 남깁니다.
- 공급업체에 요청합니다. 의도된 목적, 훈련 데이터 설명, 편향 시험, 감독 설계가 대상입니다.
- 감정 추론을 없앱니다. EU 지원자에게 닿는 모든 절차가 대상입니다.
- 지원자에게 알립니다. 사람에게 닿는 실제 경로도 마련합니다.
자주 묻는 질문
AI 채용 소프트웨어는 EU AI법상 고위험입니까?
채용이나 선발, 지원서 필터링, 지원자 평가에 쓰도록 의도되었다면 그렇습니다(EU AI법 부속서 III 제4호 (a)). 규칙 (EU) 2026/1744에 따라 이 시스템의 고위험 의무는 2027년 12월 2일부터 적용됩니다.
화상 면접에서 감정 인식을 쓸 수 있습니까?
EU에서는 쓸 수 없습니다. EU AI법 제5조 제1항 (f)는 직장 내 감정 추론을 금지하고, 집행위원회 가이드라인은 이를 채용 과정에 적용합니다. 이 금지는 2025년 2월 2일부터 적용되며 의료·안전 목적만 예외입니다.
튀르키예의 지원자는 자동 탈락에 이의를 제기할 수 있습니까?
그렇습니다. KVKK 제11조 제1항 (g)는 오로지 자동화된 시스템의 분석으로 불리한 결과가 나온 경우 이의권을 줍니다. 처리자는 KVKK 제13조에 따라 30일 안에 답해야 하고, 그 후 제14조에 따라 개인정보보호위원회에 신고할 수 있습니다.
출처: 규칙 (EU) 2024/1689, 2026/1744, 2016/679, 집행위원회 가이드라인 C(2025) 5052, 판결 C-634/21과 C-203/22, 튀르키예 법률 제6698호, 제4857호, 제6701호(mevzuat.gov.tr), KVKK의 2026년 6월 2일과 8월 27일 공지, 이 사이트의 결정 요약(2026년 11월 1일 확인). 일반 정보이며 법률 자문이 아닙니다.
