규제기관을 믿는다는 것: 동의 없는 AI 학습을 허용하는 한국 개인정보 보호법 개정안

정정 (2026년 10월 19일): 이 글은 당초 개정안이 본회의 표결을 앞두고 있다고 설명했으나, 국회가 2026년 8월 20일 개정안을 가결했으므로 투명성과 정보주체의 반대 문제를 포함해 본문을 통과된 조문에 맞게 수정했습니다.

개정안의 주요 내용

IAPP의 보도에 따르면, 개정안은 개인정보 보호법에 제28조의12부터 제28조의15까지를 신설하여 AI 개발에 개인정보를 이용할 수 있는 별도의 법적 근거를 마련합니다. 핵심 구조는 설명하기는 간단하지만 적용은 복잡합니다. 개인정보처리자는 개인정보보호위원회(개인정보위, PIPC)가 해당 사업을 구체적으로 승인하는 경우, 보유하고 있는 개인정보를 당초 수집 목적의 범위를 넘어, 새로 동의를 받지 않고도 AI 시스템의 개발 및 개선에 이용할 수 있습니다.

승인이 자동으로 나오는 것은 아닙니다. 개인정보위가 다음 네 가지 요건이 충족되었다고 판단해야 합니다.

익명처리 또는 가명처리가 곤란할 것. 익명정보나 가명정보를 이용해서는 AI 개발의 목적을 현실적으로 달성할 수 없어야 합니다.
적절한 안전조치가 마련되어 있을 것. 개인정보처리자가 개인정보와 정보주체의 권리를 보호하기 위한 기술적·관리적·조직적 조치를 갖추고 있어야 합니다.
공익 또는 사회적 편익이 있을 것. 해당 사업이 순수한 사적 이익에 그치지 않고 공익에 기여하거나 사회에 편익을 가져와야 합니다.
부당한 침해의 위험이 현저히 낮을 것. 처리로 인해 정보주체의 권리와 이익이 부당하게 침해될 가능성이 현저히 낮아야 합니다.

개인정보위는 승인된 사업을 감독할 권한도 가지며, 승인의 전제가 된 요건과 안전조치를 제대로 지키는지 점검할 수 있습니다. 개정안은 공포 후 6개월이 경과한 날부터 시행하도록 하여, 위원회가 시행 규정과 절차를 준비할 시간을 두었습니다.

입법 경과

개정안은 2026년 5월 14일 국회 정무위원회를 통과했고, 2026년 7월 29일 여야의 초당적 지지 속에 법제사법위원회를 통과했습니다. 여야 대립이 극심한 국회에서 보기 드문 합의가 이루어졌다는 점에서 주목할 만합니다. 이어 국회는 2026년 8월 20일 본회의에서 개정안을 가결했습니다. 개정안은 공포 후 6개월이 경과한 날부터 시행되며, 개인정보위는 이 경로가 실무에서 어떻게 운영될지를 좌우할 대통령령 등 하위 법령을 준비하고 있습니다.

한국이 이러한 개정을 추진하는 이유

이번 개정의 배경에는 여러 요인이 맞물려 있습니다.

인공지능 기본법. 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(인공지능 기본법)이 2026년 1월 22일 시행되었습니다. 이 법은 AI 발전을 촉진하고 국가 AI 역량을 키울 국가의 책무를 규정하고 있으며, 그 목표를 이루려면 무엇보다 데이터가 확보되어야 합니다.
'소버린 AI'와 한국어. 한국은 한국어 성능이 뛰어나고 한국적 맥락을 반영하는 경쟁력 있는 국산 파운데이션 모델을 확보하려 합니다. 고품질 한국어 데이터는 영어에 비해 부족하고, 가치 있는 데이터의 상당 부분은 다른 목적으로 수집되어 기업과 공공기관 내부에 보관되어 있습니다.
기존 제도의 한계. 개인정보 보호법은 세계적으로도 동의 중심성이 가장 강한 개인정보 보호 법제 가운데 하나로 꼽혀 왔습니다. 2020년 '데이터 3법' 개정으로 통계작성, 과학적 연구, 공익적 기록보존을 위해서는 가명정보를 동의 없이 처리할 수 있게 되었습니다. 그러나 개발자들은 AI 용도에 따라서는 가명처리가 데이터 품질을 떨어뜨리고, 수백만 명에게서 다시 동의를 받는 것도 비현실적이라고 주장합니다.
법적 불확실성. 명확한 법적 근거가 없다 보니 기업들은 데이터를 포기하거나, 제재 위험을 감수하고 이용하거나, 검증되지 않은 해석에 기댈 수밖에 없었습니다. 규제기관 승인이라는 경로는 예측 가능성을 높여 줍니다.

한국 개인정보보호 체계 안에서의 위치

이번 개정안은 갑자기 등장한 것이 아닙니다. 개인정보위는 수년에 걸쳐 AI를 위한 제도적 수단을 구축해 왔습니다.

가명정보. 개인정보 보호법은 2020년부터 가명정보를 별도로 규율하고 있습니다. 가명정보는 안전조치를 전제로 동의 없이 연구·통계 목적으로 이용할 수 있고, 지정된 전문기관을 통해 결합할 수도 있습니다.
2023년 개정. 2024년부터 시행된 대규모 개정은 동의 규정을 현대화하고, 자동화된 결정과 관련된 권리를 도입했으며, 온라인과 오프라인 개인정보처리자에 대한 기준을 일원화했습니다.
공개된 정보에 관한 안내. 2024년 개인정보위는 「공개된 개인정보 처리 안내서」를 발간하여, 웹 스크래핑으로 수집한 데이터를 정당한 이익과 유사한 논리에 따라 AI 개발에 이용할 수 있는 경우와 이때 갖추어야 할 안전조치를 구체화했습니다.
사전적정성 검토제. 개인정보위는 기업이 새 AI 서비스를 출시하기 전에 개인정보 보호 설계를 규제기관과 협의하고 법 준수 여부에 관한 의견을 받을 수 있는 제도를 도입했습니다.
적극적인 집행. 개인정보위는 대형 AI·플랫폼 기업에도 주저 없이 조치를 취해 왔습니다. 예를 들어 2024년에는 광고 목적의 민감정보 수집을 이유로 메타에 과징금을 부과했고, 2025년에는 개인정보 보호 우려가 해소될 때까지 딥시크(DeepSeek) 앱의 신규 다운로드를 제한했습니다.

이런 흐름에서 보면 새 조항은 단절이라기보다 기존 정책의 연장선에 있습니다. '규제기관이 이끄는 혁신'이라는 논리를 자문 의견 수준에서 구속력 있는 법적 승인으로 넓힌 것입니다.

네 가지 요건 자세히 살펴보기

1. 익명처리 또는 가명처리의 곤란성

이 요건은 데이터 최소화 원칙을 구현한 것입니다. 신청인은 식별성이 더 낮은 데이터로는 왜 목적을 달성할 수 없는지 설명해야 합니다. 까다로운 것은 기술적 판단입니다. 많은 머신러닝 작업에서는 가명정보로도 충분하지만, 자유 서술형 기록의 맥락을 이해해야 하는 모델처럼 식별자를 제거하면 목적 자체가 훼손되는 경우도 있습니다. 개인정보위는 곤란하다는 신청인의 주장을 액면 그대로 받아들이지 말고, 이를 검증할 기술적 역량을 갖추어야 할 것입니다.

2. 적절한 안전조치

안전조치에는 접근통제, 안전한 처리 환경, 출력 제한, 암기(memorisation) 및 데이터 유출 테스트, 보유기간 제한, 감사 기록 등이 포함될 것으로 보입니다. 핵심 쟁점은 안전조치가 학습된 모델 자체에까지 미쳐야 하는지, 예컨대 모델이 개인정보를 그대로 출력하지 않도록 막는 조치까지 요구되는지입니다.

3. 공익 또는 사회적 편익

네 요건 가운데 해석의 폭이 가장 넓습니다. 의료 진단, 공공 안전 분야의 활용, 공공서비스를 위한 한국어 모델 등은 쉽게 인정될 수 있을 것입니다. 그러나 소비자에게도 편익을 주는 상업용 챗봇은 어떨까요? 넓게 해석하면 이 요건은 형식적 절차로 전락할 수 있고, 좁게 해석하면 민간 부문의 혁신 상당 부분이 배제될 수 있습니다. 개인정보위가 '사회적 편익'을 어떻게 정의하느냐가 이 경로의 범위를 크게 좌우할 것입니다.

4. 부당한 침해 위험이 현저히 낮을 것

네 번째 요건은 정보주체에 초점을 맞춘 위험 평가를 요구합니다. 이는 GDPR의 정당한 이익 분석에서 사용되는 이익형량 테스트와 유사하지만, 기준이 훨씬 엄격합니다. 위험이 단지 수용 가능한 수준이 아니라 '현저히 낮아야' 하기 때문입니다. 민감정보, 아동의 개인정보, 프로파일링을 가능하게 하는 데이터는 더욱 엄격한 심사를 받게 될 가능성이 큽니다.

'규제기관을 믿는다는 것': 사전 승인의 논리와 위험

한국 모델의 가장 두드러진 특징은 제도적 설계에 있습니다. GDPR에서는 정당한 이익에 근거하는 개인정보처리자가 스스로 평가를 수행하고, 이후 감독기관이나 법원이 다르게 판단하면 그 위험을 부담합니다. 반면 한국은 규제기관을 절차의 맨 앞에 세웁니다.

장점

법적 확실성. 승인된 사업은 명확한 법적 근거를 확보하므로 소급적 제재의 위험이 줄어듭니다.
일관성. 중앙의 기관이 여러 분야에 걸쳐 일관된 기준을 적용할 수 있습니다.
전문성과 소통. 승인 과정에서 규제기관과 체계적으로 소통하면서 개인정보 보호 설계를 개선할 수 있습니다.
사회적 정당성. 독립적인 기관이 요건을 검토하고 승인한 경우, 동의 없는 데이터 이용을 정당화하기가 더 쉽습니다.

위험

규제 역량. 복잡한 AI 사업을 평가하려면 기술 인력과 시간이 필요합니다. 심사가 지연되면 혁신이 좌절될 수 있고, 서둘러 심사하면 보호가 약해질 수 있습니다.
규제 포획과 정치적 압력. 국가 AI 경쟁력이 정치적 우선순위가 되면 규제기관은 승인하라는 압력을 받을 수 있습니다.
투명성. 국회를 통과한 조문은 개인정보처리자가 이러한 이용의 목적과 유형을 개인정보 처리방침에 포함하도록 하고, 개인정보위가 신청인, 주요 심의 사항, 위험요인 평가 결과의 요지를 공개하도록 정하고 있습니다. 다만 이러한 공개가 정보주체와 시민사회가 데이터 이용 방식을 점검할 수 있을 만큼 충분할지는 실제 운영을 지켜봐야 합니다.
개인 통제권의 약화. 승인은 개인의 동의를 집단적·행정적 판단으로 대체합니다. 그렇다면 처리에 반대할 권리나 자기 데이터가 이용되었는지 알 권리처럼, 개인에게는 어떤 권리가 남는지가 문제입니다.
모델의 문제. 개인정보가 일단 모델 가중치에 반영되면, 그 영향을 지우는 일('머신 언러닝')은 기술적으로 어렵습니다. 정보주체로서는 한번 내려진 승인을 사실상 되돌릴 수 없는 셈입니다.

헌법적 배경: 개인정보자기결정권

헌법재판소는 인간의 존엄과 사생활의 비밀과 자유를 보장하는 헌법 규정에서 도출되는 개인정보자기결정권을 일찍부터 인정해 왔습니다. 이 권리가 동의를 절대적 요건으로 만드는 것은 아닙니다. 입법자는 정당한 목적을 위해 이를 제한할 수 있으며, 다만 그 제한은 비례의 원칙에 부합해야 합니다. 개정안의 네 가지 요건은 필요성(덜 침해적인 데이터 이용의 곤란성), 적합성과 안전조치, 목적의 정당성(공익), 균형성(낮은 위험)이라는 비례의 원칙을 법률에 담으려는 시도로 읽을 수 있습니다. 이 제도가 위헌 논란을 견뎌 낼 수 있을지는 개인정보위가 실무에서 이 요건들을 얼마나 엄격하게 적용하느냐에 크게 달려 있을 것입니다.

사례로 보는 적용: 두 가지 신청, 두 가지 결과

가상의 신청 두 건에 요건을 적용해 보겠습니다. 한 대학병원이 폐 질환의 초기 징후를 탐지하기 위해 수년간 축적된 영상의학 판독 보고서로 모델을 학습시키려 합니다. 정형화된 항목은 가명처리가 가능하지만, 자유 서술형 보고서에는 임상적 의미를 잃지 않고서는 제거하기 어려운 맥락적 세부 정보가 담겨 있습니다. 접근은 안전한 환경으로 제한되고, 출력에는 환자 정보가 포함되지 않으며, 공중보건상의 편익도 분명합니다. 이런 신청이라면 네 가지 요건을 모두 충족할 가능성이 높아 보입니다.

이번에는 한 이커머스 플랫폼이 고객의 구매 이력과 채팅 기록으로 범용 쇼핑 도우미를 학습시키려 한다고 가정해 보겠습니다. 그 목적의 상당 부분은 가명정보나 집계 데이터로도 달성할 수 있고, 편익은 주로 상업적이며, 데이터는 정교한 프로파일링을 가능하게 합니다. 소비자가 편리함을 얻는다 하더라도, 이 신청은 첫 번째, 세 번째, 네 번째 요건을 충족하기 어려울 것입니다. 두 사례를 비교해 보면, 이 경로는 학습을 일반적으로 허용하는 제도라기보다 공익적 근거가 강한 사업에만 열리는 관문으로 설계되었음을 알 수 있습니다.

비교법적 관점

유럽연합. GDPR에는 AI에 특화된 동의 예외가 없지만, 개인정보처리자는 3단계 테스트를 거쳐 정당한 이익에 근거할 수 있습니다. 유럽정보보호이사회(EDPB)의 의견 28/2024는 이 테스트가 AI 모델에 어떻게 적용되는지, 그리고 어떤 경우에 모델을 익명으로 볼 수 있는지를 제시했습니다. 양립 가능한 추가 처리와 과학적 연구에 관한 GDPR 규정도 활용할 수 있습니다. 유럽연합 집행위원회가 2025년 말 내놓은 '디지털 옴니버스' 제안은 AI 개발에 정당한 이익을 근거로 삼을 수 있음을 명확히 하자는 내용을 담고 있으며, 아직 논의 중입니다. EU AI법은 고위험 시스템에 대한 데이터 거버넌스 의무를 추가하지만, 그 자체로 개인정보 처리의 법적 근거를 제공하지는 않습니다.
이탈리아. 이탈리아 개인정보 감독기구는 2024년 12월 OpenAI에 1,500만 유로의 과징금을 부과하면서, 특히 학습에 필요한 적절한 법적 근거가 없었다는 점을 지적했습니다. 자체 평가 방식이 안고 있는 제재 위험을 잘 보여 주는 사례입니다.
영국. 브렉시트 이후의 개혁은 연구 목적 처리와 정당한 이익에 근거한 처리를 더 예측 가능하게 만들고자 했지만, 영국은 여전히 사전 승인이 아닌 개인정보처리자의 자체 평가에 의존합니다.
일본. 일본의 개인정보보호 체계는 AI 개발에 비교적 유연하며, 논의 중인 개정안은 통계 및 AI 관련 이용에 대한 동의 요건 완화를 검토해 왔습니다.

한국의 접근은 말 그대로 제3의 길입니다. 엄격한 동의 체제보다는 유연하고, 자체 평가 방식보다는 통제가 강합니다. 각국의 AI 규제 현황 전반은 글로벌 AI 법률 인덱스를 참고하시기 바랍니다.

튀르키예에 주는 의미

한국의 논의는 튀르키예에 시사하는 바가 큽니다. KVKK는 한국 개인정보 보호법처럼 동의 중심의 전통을 지니면서도 GDPR과의 정합성을 높여 가고 있기 때문입니다.

AI 전용 경로의 부재. KVKK에는 규제기관의 승인을 받아 동의 없이 개인정보를 AI 학습에 이용할 수 있도록 허용하는 조항이 없습니다. 개인정보처리자는 제5조(민감정보는 제6조)에 규정된 처리 요건 가운데서 법적 근거를 찾아야 합니다.
정당한 이익. 제5조 제2항 (f)호는 정보주체의 기본적 권리와 자유를 침해하지 않는 한, 개인정보처리자의 정당한 이익을 위해 필요한 처리를 허용합니다. 일부 AI 학습에는 가장 유력한 근거이지만, 신중한 이익형량과 문서화가 필요하고 대규모 학습에 어디까지 적용될 수 있는지는 아직 검증되지 않았습니다.
목적 제한. KVKK는 특정되고 명시적이며 정당한 목적을 위해, 관련성 있고 제한적이며 비례적인 방식으로 처리할 것을 요구합니다. 따라서 고객 데이터를 모델 학습에 돌려쓰는 순간 적법성 문제가 제기됩니다.
익명화된 통계. 제28조는 공식 통계를 통해 익명화하여 연구·계획·통계 목적으로 처리하는 경우를 법의 적용 범위에서 제외합니다. 이는 대부분의 상업적 AI 개발을 포괄하지 못하는 좁은 예외입니다.
가명정보 제도의 부재. 한국 개인정보 보호법이나 GDPR과 달리, KVKK에는 가명정보를 더 유연하게 취급하는 별도의 제도가 없습니다.
민감정보. 2024년 개정 이후 민감정보는 제한적으로 열거된 근거에 따라서만 처리할 수 있으며, AI나 연구를 위한 일반적인 근거는 없습니다.

이러한 문제는 학습 데이터: 먼저 해결해야 할 KVKK와 GDPR 쟁점, KVKK와 AI 거버넌스 가이드, 그리고 국경을 넘는 상황에 관해서는 국경을 넘는 AI 학습에서 깊이 있게 다루었습니다. 「국가의 스마트 경로」에서 검토한 2026–2030 튀르키예 AI 실행계획은 데이터 확보를 강조하고 있어, 학습의 법적 근거는 튀르키예가 피할 수 없는 정책 과제가 되었습니다.

튀르키예는 한국을 따라 해야 할까요? 제도를 통째로 이식하는 것은 시기상조입니다. 그러나 몇 가지 요소는 검토해 볼 만합니다. 튀르키예 개인정보보호청에 AI 사업을 위한 규제 샌드박스나 사전 협의 제도를 두고, 학습에 정당한 이익을 근거로 삼기 위한 기준을 공표하며, 가명처리 제도를 도입하고, 승인된 사업의 투명성을 의무화하는 방안입니다. 이러한 개혁에는 규제 역량 강화와 실효적인 권리구제 수단이 함께 뒤따라야 합니다.

기업을 위한 컴플라이언스 로드맵

학습 데이터를 파악하세요. AI 개발에 이용되는 개인정보의 출처, 당초 수집 목적, 처리의 법적 근거를 확인하세요.
덜 침해적인 대안부터 검토하세요. 익명정보, 가명정보 또는 합성 데이터로 목적을 달성할 수 있는지 문서화하세요. 한국에서는 이것이 법적 요건이며, 다른 곳에서는 비례성을 입증하는 증거가 됩니다.
편익을 구체적으로 제시하세요. AI 시스템으로 누가 어떤 편익을 얻는지 밝히세요. 막연한 주장으로는 규제기관을 설득할 수 없습니다.
개인에 대한 위험을 평가하세요. 학습, 암기, 출력, 그리고 후속 이용까지 포괄하는 개인정보 영향평가를 수행하세요.
모델 수준의 안전조치를 설계하세요. 개인정보의 재현 여부를 테스트하고, 출력을 필터링하며, 모델 가중치에 대한 접근을 통제하세요.
투명하게 운영하세요. 개인정보 처리방침을 개정하여 AI 이용을 설명하고, 가능한 경우 승인받았거나 정당한 이익에 근거한 학습에 관한 정보를 공개하세요.
규제의 차이에 대비하세요. 글로벌 기업은 한국, EU, 튀르키예마다 데이터 전략을 달리해야 할 수 있습니다. 관할별 허용 범위를 추적할 수 있는 데이터 거버넌스를 구축하세요.

학습 데이터 거버넌스는 개인정보에서 끝나지 않습니다. 앤트로픽의 15억 달러 저작권 합의에 관한 보도가 보여 주듯, 저작권으로 보호되는 콘텐츠를 적법하게 확보했는지도 그만큼 중요합니다.

앞으로 지켜볼 사항

한국 모델의 성패는 다음 몇 가지를 보면 가늠할 수 있습니다. 첫째, 대통령령과 개인정보위의 시행 규정입니다. 신청은 어떻게 하는지, 심사에는 얼마나 걸리는지, 어떤 증빙이 요구되는지가 관건입니다. 둘째, 첫 승인 사례입니다. 어떤 분야가 승인을 받는지, '사회적 편익'이 어떻게 해석되는지, 결정이 공개되는지를 지켜봐야 합니다. 셋째, 개인에게 남는 권리, 특히 처리정지 요구권과 투명성입니다. 넷째, 위헌 논란이나 시민사회의 문제 제기가 있을지입니다. 마지막으로, 튀르키예를 비롯한 다른 나라들이 AI 학습에 대한 규제기관 승인 제도를 시도할지도 지켜볼 대목입니다.

자주 묻는 질문

개정안이 시행되면 어떤 기업이든 동의 없이 개인정보로 AI를 학습시킬 수 있나요?

아닙니다. 개정안은 개인정보위로부터 사안별 승인을 받아야 하는 경로를 마련할 뿐이며, 승인 여부는 익명처리나 가명처리가 곤란하고 개인에 대한 위험이 현저히 낮아야 한다는 요건을 포함한 네 가지 요건을 충족하는지에 달려 있습니다.

언제 시행되나요?

개정안은 공포 후 6개월이 경과한 날부터 시행되도록 설계되어 있습니다. 실제 운영은 개인정보위의 시행 규정에 따라 달라질 것입니다.

민감정보에도 적용되나요?

적용될 수 있습니다. 제28조의15에 따라 개인정보위는 승인된 사업에 민감정보, 고유식별정보, 영상정보의 처리 제한(제23조부터 제25조까지 및 제25조의2)을 적용하지 않기로 결정할 수 있고, 개인정보처리자는 대통령령으로 정하는 기준에 따라 심의 전에 위험요인 평가 결과를 제출해야 할 수 있습니다. 민감정보는 안전조치와 위험 요건 심사에서 훨씬 엄격하게 다뤄질 것이 거의 확실합니다.

GDPR의 정당한 이익과는 어떻게 다른가요?

GDPR에서는 개인정보처리자가 정당한 이익을 스스로 평가하고, 판단이 틀렸을 경우 그 위험을 부담합니다. 한국 모델에서는 규제기관이 법정 요건에 근거하여 구체적인 사업을 사전에 승인합니다.

개인이 반대할 수 있나요?

아직 풀리지 않은 핵심 쟁점 가운데 하나입니다. 제28조의15에 따라 개인정보위는 사안의 특성과 위험을 고려하여 승인된 사업에 적용하지 않을 개인정보 보호법 조항을 정하며, 여기에는 목적 외 이용·제공 제한(제18조, 제19조)과 수집 출처 등의 통지(제20조, 제20조의2)가 포함될 수 있습니다. 승인된 AI 사업에서, 특히 데이터가 이미 모델에 반영된 뒤에 정보주체의 나머지 권리를 어떻게 행사할 수 있는지는 정리가 필요합니다.

튀르키예도 비슷한 모델을 도입할 수 있나요?

그러려면 KVKK를 개정해야 합니다. 제도를 이식하기에 앞서 튀르키예는 규제 역량, 투명성, 구제수단, 그리고 GDPR에 맞추려는 전반적인 개혁 방향과의 정합성을 고려해야 할 것입니다.

외국 기업에도 영향이 있나요?

한국에 있는 사람의 개인정보를 처리하는 외국 기업은 개인정보 보호법의 적용을 받습니다. 새로운 경로를 이용하려는 외국 기업은 국내 개인정보처리자와 마찬가지로 요건을 충족하고 승인을 받아야 합니다.

부르한 도우쉬 아이파를라르의 견해

이 섹션은 본 사이트의 설립자이자 튀르키예 변호사인 필자의 개인적 견해입니다.

제가 보기에 한국의 개정안은 대부분의 국가가 외면하고 있는 질문에 대한 정직한 답변입니다. AI 학습 사업마다 수백만 명에게서 동의를 받는 것은 현실적으로 불가능하고, 이미 상당수 학습이 불확실한 법적 기반 위에서 이루어지고 있다는 사실은 누구나 압니다. GDPR 체제는 자체 평가와 사후 집행으로 그 불확실성을 용인합니다. 한국은 이 절충을 드러내 놓고 제도화하는 길을 택했습니다. 일부 데이터는 동의 없이 이용될 수 있음을 공개적으로 인정하고, 그것이 언제 허용되는지는 법정 요건에 구속되는 공공기관이 결정하도록 한 것입니다. 저는 동의가 여전히 모든 것을 규율한다고 가장하는 것보다 이 편이 지적으로 더 정직하다고 생각합니다.

그러나 이 모델은 결국 그것을 운용하는 규제기관 이상으로 튼튼할 수 없습니다. '규제기관을 믿는다는 것'은 규제기관이 독립적이고, 기술적 역량을 갖추고, 투명하며, 거절할 줄 알 때 비로소 작동합니다. 승인 절차가 국가 AI 목표를 뒷받침하는 요식행위로 전락한다면, 이 법은 기본권을 행정적 형식 절차로 바꾸어 놓은 셈이 될 것입니다. 네 가지 요건은 잘 짜여 있고, 특히 식별성이 낮은 데이터로는 목적을 달성하기 어렵다는 점을 입증하도록 한 요건이 돋보입니다. 하지만 '공익 또는 사회적 편익' 요건은 위험할 만큼 신축적입니다. 모든 승인 결정이 조건과 안전조치와 함께 공개되고, 개인에게 반대할 권리와 알 권리가 실질적으로 보장되기를 바랍니다.

튀르키예는 한국의 조문을 그대로 베끼기보다 그 구조에서 배워야 한다고 봅니다. 튀르키예 개인정보보호청은 AI 사업을 위한 사전 협의 및 샌드박스 제도에서 출발하여, 정당한 이익에 근거한 학습에 관한 명확한 기준을 공표하고, 향후 개혁에서 가명처리 체계를 도입할 수 있을 것입니다. 지향점은 한국과 같아야 합니다. 사람들에게 믿음 하나로 자기 데이터에 대한 통제권을 내려놓으라고 요구하지 않으면서, 책임 있는 혁신에 필요한 법적 확실성을 주는 것입니다.

이 글은 정보 제공 목적이며 법률 자문에 해당하지 않습니다. 개정안에 관한 사실관계는 주로 IAPP의 보도와 개정안 통과에 관한 개인정보위의 발표 등 공개된 자료에 근거하며, 시행 규정은 별도로 확인하시기 바랍니다. 분석과 평가는 필자의 견해입니다.