2026년 11월 2일 업데이트: KVKK 제9조에 따른 이전에는 제5조 또는 제6조의 법적 근거도 필요하다는 점을 밝혔습니다. UAE와 사우디아라비아 부분에 DIFC와 ADGM을 추가했고, 열어 보지 못한 출처는 끝부분에 표시했습니다. 컨트롤러가 전체 체인에 책임을 지고 '제재를 받게 된다'는 서술과 모델 역추론 공격의 설명을 바로잡았습니다. 합성 데이터가 법적 위험을 '완전히 없앤다'는 주장과 '되돌릴 수 없는 암호화 익명화'로 해결된다는 주장은 철회했습니다.

정정 (2026년 10월 19일): KVKK 제9조에 따른 표준 계약에 관한 설명을 정정했습니다. 표준 계약은 건별로 승인받는 것이 아니라 위원회가 공표하며, 수정 없이 사용해야 하고, 서명 후 5영업일 이내에 개인정보보호청에 통지해야 합니다.

AI 모델을 학습시키려면 개인정보를 다른 나라의 서버로 복사하는 경우가 많습니다. 튀르키예에서는 개인정보보호법(KVKK) 제9조가 이를 규율합니다. 걸프 국가들에는 하나의 규칙이 없습니다. UAE만 해도 연방법과 함께 DIFC·ADGM 금융 자유구역의 별도 체계가 있습니다. 이 글은 튀르키예, DIFC, ADGM, UAE 연방법, 사우디아라비아를 다룹니다. 카타르, 바레인, 오만, 쿠웨이트는 검토하지 않았습니다.

KVKK 제9조는 무엇을 요구하나요?

제9조에는 별개의 요건 두 가지가 있으며 둘 다 충족해야 합니다. 제7499호 법률로 개정되어 이 부분이 2024년 6월 1일부터 시행 중인 KVKK(제6698호)는 다음을 요구합니다.

  • 법적 근거. 제5조 또는 제6조의 요건 중 하나가 있어야 합니다. 이전 수단이 이를 대신하지 못합니다. 개인정보로 모델을 학습시키는 데 법적 근거가 있는지는 별개의 문제이며, 대개 더 어려운 문제입니다.
  • 이전 수단. 위원회의 적정성 결정, 또는 정보주체가 이전 대상국에서 권리를 행사하고 실효적인 구제를 받을 수 있는 적절한 보호조치가 필요합니다. 보호조치에는 위원회가 공표한 표준 계약, 위원회가 승인한 구속력 있는 기업 규칙, 위원회의 허가를 받은 서면 확약, 위원회의 허가를 받은 공공기관 간 비조약 합의가 있습니다.

표준 계약은 서명 후 5영업일 이내에 개인정보보호청에 통지해야 합니다(제9조 제5항). 이를 어기면 과태료가 부과되며, 현행 법문 제18조 제1항 (d)호에는 50,000~1,000,000 튀르키예 리라로 되어 있습니다. 절차는 2024년 7월 10일 규정에 있습니다.

이전 수단으로서 명시적 동의는 이제 제9조 제6항의 예외 중 하나일 뿐이고, 이 예외는 일시적(arızi) 이전에만 적용됩니다. 반복되는 학습 과정은 여기에 맞지 않을 가능성이 큽니다. 따라서 '각 정보주체의 동의 없이' 이전할 수 있다는 이전 서술은 이전 수단에 관해서만 맞는 말이었습니다. KVKK 국외 이전 안내에 절차가 있습니다.

외국 AI 서비스를 쓰면 이전에 해당하나요?

그럴 수 있습니다. 개인정보보호청은 튀르키예 변호사협회연합회와 함께 만든 2026년 변호사용 안내서에서 생성형 AI 제공자가 국외에 있거나, 서버가 국외에 있거나, 국외 하위 제공자를 통해 데이터가 처리될 가능성이 있으면 제9조의 이전이 될 수 있다고 밝혔습니다. 이 안내서에 관한 글에서 배경을 볼 수 있습니다. 따라서 학습 장소, 모델이 질의에 응답하는 장소, 공급자의 하위 제공자를 각각 확인해야 합니다.

걸프 지역 법문은 이전에 관해 뭐라고 하나요?

  • DIFC. 개인정보 보호법(2020년 DIFC 법률 제5호) 제26조와 제27조에 따르면 DIFC 밖으로 이전하려면 감독관이 판단한 적정 보호 수준, 집행 가능한 권리와 구제 수단을 갖춘 적절한 보호조치, 특정 예외, 또는 제27조 제4항의 좁은 경우(반복되지 않고 제한된 수의 정보주체에 관한 이전)가 필요합니다. 규정 제10조는 자율·반자율 시스템으로 처리되는 개인정보에 관해 고지 등의 의무를 더합니다.
  • ADGM. ADGM의 2021년 개인정보 보호 규정 지침 제6부는 적정성 결정, 감독관의 표준 조항을 포함한 적절한 보호조치, 예외의 세 가지 경로를 설명합니다. UAE 본토도 ADGM 외 관할로 본다고 합니다.
  • UAE 연방법. UAE AI청의 요약에 따르면 2021년 연방 법령 제45호상 이전은 대상국에 유사한 법제가 있는지에 따라 달라집니다. 없다면 UAE 법 준수를 규정한 계약과 함께 동의 또는 계약상 필요성이 요구됩니다. 같은 페이지는 이 법이 2022년 1월 2일 시행되었고, 컨트롤러는 시행규칙 공포 후 6개월 안에 맞추어야 한다고 설명합니다. 시행규칙이 공포되었는지는 확인하지 못했습니다. 정부 포털은 법령을 아랍어로만 제공하며, 문구에 관해서는 이에 의존하지 않았습니다.
  • 사우디아라비아. 개인정보 보호법 제29조는 열거된 목적의 이전만 허용하고, 국가 안보와 핵심 이익을 해치지 않을 것, 적정 보호 수준, 데이터 최소화를 요구합니다. 국외 이전 규정(2.0판, 2024년 8월)은 열거된 목적에 컨트롤러의 활동을 위한 중앙 처리, 정보주체에 대한 서비스·혜택 제공, 과학 연구를 더합니다. 제4조는 열거된 경우에 컨트롤러를 두 번째와 세 번째 요건 또는 그중 하나에서 면제하되, 표준 계약 조항, 구속력 있는 공통 규칙, 인증서 같은 적절한 보호조치를 요구합니다. SDAIA는 표준 계약 조항과 구속력 없는 위험 평가 지침(2025년 2월)도 공개했습니다. 이 규정은 AI 학습을 언급하지 않으므로 어떤 경우가 이에 맞는지는 문언만으로 정해지지 않습니다.

더 넓은 배경은 걸프 지역 AI 거버넌스 글에서 볼 수 있습니다.

하위 처리자에 대한 책임은 누구에게 있나요?

KVKK 제12조 제2항에 따르면 컨트롤러는 제1항의 보안 조치에 관해 처리자와 공동으로 책임을 집니다. 제9조 제8항에 따라 보호조치와 제9조는 재이전에도 적용됩니다. 체인이 중요하기는 하지만, 법이 컨트롤러에게 체인 안의 모든 일에 자동으로 책임을 지우는 것은 아닙니다. 실무적으로는 공급자에게 하위 처리자를 공개하고 같은 조건을 전달하도록 요구할 수 있습니다.

익명 또는 합성 데이터면 문제가 해결되나요?

데이터가 정말 익명일 때만 그렇고, 이를 입증하기는 어렵습니다. KVKK 제3조는 익명화를 다른 데이터와 대조해도 식별되었거나 식별 가능한 사람과 연결할 수 없게 만드는 것으로 정의합니다. 신분증 번호를 남긴 채 이름만 가리는 것은 이 기준에 맞지 않습니다. 식별자를 해시 처리해도 그 값을 다른 데이터와 대조할 수 있다면 마찬가지입니다.

AI에는 위험이 두 가지 더 있습니다. 데이터셋을 연결하면 사람을 다시 식별할 수 있습니다. 또한 모델 역추론 공격은 모델 자체에서 학습 데이터를 복원하려 합니다. 튀르키예나 걸프 지역 당국을 구속하지 않는 유럽 개인정보보호이사회의 의견 28/2024는 개인정보로 학습한 모델을 언제나 익명으로 볼 수는 없으며, 개인정보를 추출할 가능성이 미미해야 한다고 합니다.

합성 데이터는 위험을 줄일 수 있지만 없애지는 못합니다. 실제 기록으로 합성 데이터를 만드는 것 자체가 처리이고, 결과물로 실제 사람을 식별할 수 있는지 시험해야 합니다.

출처: KVKK 제3조, 제5조, 제6조, 제9조, 제12조, 제18조 현행본; 이전 규정, 2024년 7월 10일 관보 제32598호; KVKK 간행물 제115호, 변호사용 안내서(2026년 7월); 2020년 DIFC 법률 제5호(2025년 7월 통합본) 및 개인정보 보호 규정(2023년 9월 1일 시행 통합본); ADGM DPR 2021 지침 제6부(국제 이전); UAE AI청 페이지와 UAE 정부 포털; 사우디아라비아 개인정보 보호법(SDAIA 영문본, 2023), 국외 이전 규정(2024년 8월), SDAIA 조항(2024년 9월), 지침(2025년 2월); EDPB 의견 28/2024. 2026년 11월 2일 열람. 열어 보지 못한 문서: UAE 법령의 공식 영문본(uaelegislation.gov.ae가 자동 접근을 거부함). 과태료 금액은 법문에 표시된 대로이며 재평가될 수 있습니다. 일반 정보이며 법률 자문이 아닙니다.