2026년 11월 1일 업데이트: KVKK, GDPR, 규제 당국 자료의 링크와 EU 디지털 옴니버스 제안의 진행 상황을 반영해 새로 작성했습니다.

정정 (2026년 10월 19일): 이전 버전은 EU 데이터 보호 당국도 미국 FTC처럼 AI 모델 삭제를 명령하고 있다고 기술했으나, 모델 삭제 명령은 지금까지 주로 FTC의 실무이고 EU 당국은 불법 처리된 데이터의 삭제와 처리 금지를 명령해 왔으므로 제재 부분을 이에 맞게 바로잡았습니다.

개인정보로 AI 모델을 훈련하기 전에 정리할 질문은 세 가지입니다. 튀르키예 개인정보보호법(KVKK) 제5조와 GDPR 제6조의 어떤 법적 근거에 기댈 것인지, 훈련이 수집 목적과 양립하는지, 국외 이전을 어떻게 뒷받침할 것인지입니다. 공개 데이터나 웹에서 수집한 데이터라고 해서 이 질문이 사라지지는 않습니다. 튀르키예 개인정보보호기관은 2025년 11월 24일 생성형 AI 지침을 냈고, 유럽데이터보호이사회(EDPB)는 2024년 12월 17일 의견 28/2024를 채택했습니다.

AI 훈련의 법적 근거는 무엇이며 목적은 여전히 맞습니까?

두 법 모두 AI 전용 근거를 두지 않았으므로 기존 근거 중 하나에 맞춰야 합니다. KVKK 제5조는 제2항의 다른 요건이 없으면 명시적 동의를 요구합니다. 실제로는 명시적 동의와 정당한 이익(제5조 제2항 (f))이 현실적인 선택지입니다. GDPR에서는 제6조 제1항 (a)와 (f)가 이에 해당합니다.

정당한 이익. EDPB는 3단계 심사를 제시합니다. 적법하고 구체적이며 현실적인 이익을 확인하고, 처리가 그 이익에 필요함을 보이고, 정보주체의 권리가 우선하지 않는지 따지는 것입니다. KVKK 지침은 위원회 결정 2019/78을 인용하며 시스템의 목적, 영향, 처리 과정에 따라 사안별로 판단하라고 합니다. 이익이 오직 영리만을 향해서는 안 된다는 점도 덧붙입니다.

명시적 동의. KVKK 지침에 따르면 AI 도구 사용에 대한 동의는 그 도구의 개발까지 포함하지 않습니다. 사진 필터 앱을 예로 들면 앱 사용, 업로드 데이터를 활용한 개발, 출력물 저장, 출력물을 활용한 개발은 각각 별개의 처리이며 동의도 따로 받아야 합니다. 길고 기술적인 안내에 기초한 동의는 원칙적으로 유효하지 않습니다.

보유 중인 데이터의 재사용

재사용은 대개 수집 목적과 양립하지 않으므로 따로 평가해야 합니다. KVKK 제4조 제2항은 구체적이고 명시적이며 정당한 목적과 비례적 처리를 요구합니다. GDPR 제5조 제1항 (b)는 원래 목적과 양립할 수 없는 추가 처리를 금지하고, 제6조 제4항은 고려 요소를 열거합니다.

불만 처리를 위해 모은 고객 상담 기록을 언어 모델에 넣는 것은 위험이 다른 새로운 목적입니다. 이용자의 사적 메시지로 모델을 만든 이루다 사건이 이 문제를 잘 보여 줍니다.

공개된 데이터는 자유롭게 쓸 수 있습니까?

아닙니다. KVKK 지침은 누구나 접근할 수 있는 데이터가 누구나 처리할 수 있는 데이터는 아니라고 밝힙니다. 지침의 예시 11은 기업이 소셜 미디어에 공개된 소개글, 게시물, 댓글을 웹 스크레이핑으로 모아 언어 모델을 훈련하려는 경우입니다. 이용자가 AI 훈련을 위해 공개한 것이 아니므로 '정보주체가 공개한 데이터' 요건(제5조 제2항 (d))에 기댈 수 없습니다. 다만 공개되어 있다는 사정은 정당한 이익의 균형 심사에서 고려할 수 있습니다.

다른 나라의 결론도 비슷합니다. 캐나다 개인정보 감독기관들은 2026년 5월 6일 ChatGPT 초기 모델 훈련을 위한 공개 웹사이트 정보 수집이 지나치게 광범위했고 유효한 동의도 없었다고 판단했습니다. 한국의 관련 입법 논의는 이 사이트의 글을 참고할 수 있습니다.

익명화하면 법의 적용을 벗어납니까?

진정으로 익명화된 경우에만 그렇고, 그 전 단계의 처리는 여전히 규제됩니다. KVKK 지침은 익명 데이터가 법 적용 밖에 있지만 이를 기술적 방법과 객관적 기준으로 입증해야 한다고 합니다. GDPR 전문 제26항에 따르면 추가 정보로 특정인과 연결할 수 있는 가명 데이터는 GDPR의 적용을 받습니다.

훈련된 모델도 자동으로 익명이 되지는 않습니다. EDPB에 따르면 모델에서 개인정보를 추출할 가능성과 질의로 그런 정보를 얻을 가능성이 모두 미미해야 익명으로 볼 수 있습니다.

민감정보는 별도의 주의가 필요합니다. KVKK 제6조 제3항은 정당한 이익을 포함하지 않는 폐쇄적 목록을 두고, GDPR 제9조도 예외가 없으면 처리를 금지합니다. 2026년 7월 27일부터 EU AI법 제4a조는 고위험 시스템 제공자가 편향 탐지를 위해 엄격한 조건 아래 예외적으로 이를 처리할 수 있게 했습니다. 제4a조 제2항은 정해진 범위 안에서 이를 다른 AI 시스템과 배포자로 넓힙니다. 이 글의 해석으로는 KVKK에 이에 대응하는 규정이 없습니다.

데이터가 튀르키예나 EU 밖으로 나가면 무엇이 필요합니까?

데이터가 나가기 전에 이전 수단을 갖춰야 하며, 해외 AI 서비스를 통해 이전되는 경우도 같습니다. KVKK 지침에 따르면 튀르키예의 개인정보처리자가 해외 제공자의 AI를 사용해 데이터가 국외로 나가면 제9조와 2024년 7월 10일 이전 규정이 적용됩니다. 제9조는 적정성 결정(이전 대상국의 보호 수준이 충분하다는 위원회의 결정)이나 표준계약, 구속력 있는 기업 규칙 같은 보호 조치를 요구합니다. 제9조 제6항의 예외는 일시적 이전에만 쓸 수 있어 지속적인 훈련 과정에는 맞지 않습니다.

표준계약은 서명 후 5영업일 안에 기관에 신고해야 합니다(제9조 제5항). 신고하지 않으면 과태료가 부과됩니다(제18조 제1항 (d)). 법률 조문상 금액은 5만~100만 튀르키예 리라이고, 매년 재평가를 거친 기관의 표에 따르면 2026년 금액은 90,308~1,806,177 튀르키예 리라입니다. GDPR 제5장도 적정성 결정이나 표준계약조항 같은 보호 조치를 요구합니다. 실무는 KVKK 국외 이전 가이드와 KVKK AI 거버넌스 가이드를 참고할 수 있습니다.

훈련 데이터가 불법이었다면 어떻게 됩니까?

결과는 규제 당국에 따라 다르며 과징금에 그치지 않을 수 있습니다. 미국 FTC의 2021년 Everalbum 명령은 이용자 사진으로 만든 모델과 알고리즘의 삭제를 요구했습니다. EU 당국은 데이터 삭제와 처리 금지를 명령해 왔습니다. 이탈리아 개인정보 감독기관은 클리어뷰 AI에 2,000만 유로의 과징금을 부과하고 이탈리아 내 정보의 삭제를 명령했습니다. KVKK 제15조 제7항에 따라 위원회도 회복하기 어려운 손해와 명백한 위법이 있으면 처리나 이전의 중단을 결정할 수 있습니다.

EDPB는 모델의 이후 사용에 미치는 영향을 사안별 판단에 맡깁니다. 타사 모델을 쓰는 기업도 데이터 출처와 위반 판정 여부를 확인해야 합니다. 절차도 중요합니다. 로마 법원은 2026년 3월 이탈리아 당국의 오픈AI 과징금 1,500만 유로를 관할 문제로 취소했으며, 훈련의 적법성은 판단하지 않았습니다.

EU 디지털 옴니버스가 이를 바꿀까요?

아직은 아닙니다. 집행위원회는 2025년 11월 GDPR에 AI 개발·운영을 위한 처리에 관한 제88c조를 신설하자고 제안했습니다. 회원국 상주대표들이 2026년 10월 21일 합의한 이사회 협상 권한(mandate)은 이 조항의 번호를 제88 bis조로 바꿉니다. 제6조 제1항 (f)의 정당한 이익에 근거해 처리할 수 있다는 내용은 유지하지만, 집행위원회안의 '무조건적 반대권'은 빼고 제21조의 일반적인 반대권을 언급합니다. 새 전문 제33a항은 AI 개발이나 운영 자체가 정당한 이익이 되는 것은 아니며 사안별로 판단해야 한다고 덧붙입니다. 협상 권한은 의회와의 협상에 쓰는 이사회의 입장일 뿐 법이 아니며 바뀔 수 있습니다. 규칙 (EU) 2026/1744로 채택된 AI 옴니버스와는 별개입니다.

자주 묻는 질문

KVKK상 공개 데이터를 AI 훈련에 쓸 수 있습니까?

공개되었다는 이유만으로는 쓸 수 없습니다. KVKK의 생성형 AI 지침은 공개 소셜 미디어 콘텐츠를 제5조 제2항 (d)의 공개 요건에 기대어 모델 훈련에 쓸 수 없다고 합니다. 정당한 이익 같은 다른 근거가 필요하며, 공개 여부는 균형 심사의 한 요소일 뿐입니다.

AI 도구 사용 동의에 훈련도 포함됩니까?

포함되지 않습니다. KVKK의 생성형 AI 지침에 따르면 도구 사용에 대한 명시적 동의는 도구 개발까지 미치지 않습니다. 기업이 KVKK 제5조의 명시적 동의에 기댄다면 앱 사용, 업로드 데이터 훈련, 출력물 저장, 출력물 훈련에 각각 동의를 받아야 합니다.

개인정보로 훈련한 AI 모델은 익명입니까?

자동으로 익명이 되지는 않습니다. EDPB 의견 28/2024는 모델에서 개인정보를 추출할 가능성과 질의로 얻을 가능성이 미미할 때만 익명이라고 봅니다. GDPR상 감독기관은 이런 주장을 사안별로 심사합니다.

출처: 튀르키예 법률 제6698호(KVKK), KVKK 생성형 AI 지침(2025년 11월), 규칙 (EU) 2016/679, EDPB 의견 28/2024, 이사회 문서 14756/26(협상 권한, 집행위원회안과 대조), FTC와 이탈리아 당국 발표, 이 사이트의 결정 요약(2026년 11월 1일 확인). KVKK 과태료는 법률 조문과 기관의 2026년 표에 따른 금액입니다. 일반 정보이며 법률 자문이 아닙니다.