사실관계
초거대·생성형 AI 서비스가 빠르게 확산되면서 프라이버시 침해 우려가 커지자, 개인정보보호위원회는 2023년 11월부터 한국인터넷진흥원(KISA)과 함께 대규모 언어모델 기반의 주요 AI 서비스를 대상으로 사전 실태점검을 진행했다. 위원회는 2024년 3월 27일 제6회 전체회의에서 오픈AI, 구글, 마이크로소프트, 메타, 네이버, 뤼튼 등 6개 사업자에 대한 점검 결과를 심의했다. 사업자들은 개인정보 처리방침 공개, 데이터 전처리, 정보주체 권리 보장 등 기본적인 법적 요건을 대체로 갖추고 있었다. 그러나 학습에 쓰이는 공개 웹 데이터에 한국 정보주체의 주민등록번호, 신용카드번호 등이 포함될 수 있는 것으로 확인되었다. 보도에 따르면 2023년 KISA가 주민등록번호, 여권번호 등의 노출을 탐지한 웹페이지는 20,999건이었다.
OpenAI, Google, Microsoft, Meta, Naver and Wrtn (preliminary inspection of AI services) 사건의 쟁점은 무엇이었나요?
이번 점검은 특정 위반에 대한 제재 절차가 아니었다. AI 서비스 단계별로 개인정보가 어떻게 처리되는지, 즉 사전학습 전에 학습데이터에서 식별정보를 제거하는지, 이용자의 질문과 AI의 답변을 어떻게 활용하는지를 살폈다. 사업자들은 검토 인력이 이용자 질문과 AI 답변을 직접 열람·수정해 학습용 데이터셋을 만들고 있었으나, 이용자는 이를 알기 어려운 경우가 많았다. 같은 언어모델을 쓰는 서비스라도 개인정보, 아동 정보, 민감정보에 대한 보호 수준이 서로 달랐고, 오픈소스나 복제 모델의 취약점은 신속히 고치기 어려운 것으로 나타났다.
개인정보보호위원회의 판단은 무엇이었나요?
개인정보위는 6개 사업자에게 개선 권고를 하기로 의결했다. 학습데이터에서 주민등록번호 등 주요 식별정보를 제거하는 노력을 강화하도록 했으며, 최소한 사전학습 단계에서 제거할 수 있도록 국민의 개인정보 노출이 탐지된 URL 정보를 사업자에게 제공하겠다고 밝혔다. 이와 함께 이용자 입력 데이터를 사람이 검토하는 경우 이를 명확히 고지하고 입력 데이터를 쉽게 삭제할 수 있도록 할 것, 개인정보 처리방침에 AI 서비스와 관련한 내용을 더 구체적으로 안내할 것, 부적절한 답변을 신고하는 기능을 갖출 것, 서비스와 모델의 취약점을 신속히 조치하는 절차를 마련할 것을 권고했다. 오픈AI, 구글, 메타는 개인정보가 모인 사이트를 학습에서 제외하고 모델이 개인정보를 답하지 않도록 하는 조치를 갖추었지만, 식별정보의 사전 제거는 충분하지 않은 것으로 확인되었다.
OpenAI, Google, Microsoft, Meta, Naver and Wrtn (preliminary inspection of AI services) 결정은 왜 중요한가요?
이 권고는 일반적인 개인정보 보호 규범을 학습데이터부터 이용자 대화까지 대규모 언어모델 서비스의 각 단계에 맞춘 구체적 요구로 바꾸어 특정 사업자에게 제시했다. 개인정보위는 이번 점검이 「개인정보 보호법」 개정으로 도입된 사전 실태점검 제도를 민간 부문에 처음 적용한 사례라고 밝혔다. 개선 권고는 과징금이 아니므로 실제 효과는 사업자들이 관행을 어떻게 바꾸는지에 달려 있다. 뉴데일리가 2026년 8월 검토한 결과 오픈AI·구글·MS·메타에서는 대화에 대한 인적 검토가 여전히 가능했지만, 이에 관한 고지는 이전보다 구체적으로 바뀌었다.
관련 절차
같은 뉴데일리 보도에 따르면 네이버의 클로바X 서비스는 2026년 4월 9일 종료되었다. 이 검토는 언론사의 자체 검토이며, 개인정보위의 재점검은 확인되지 않았다. 챗GPT 개인정보 유출 신고 지연을 이유로 한 2023년 오픈AI 과태료 처분과 2025년 딥시크 시정권고 등 개별 AI 사업자에 대한 개인정보위 조치는 별도 항목에서 다룬다.