개인정보 보호법 개정안, 심의 진행 중

1. 이슈 개요

본 개정안은 인공지능(AI) 기술 개발 및 성능 개선 목적의 개인정보 활용에 관한 명시적 규율 체계를 개인정보 보호법에 도입하려는 시도입니다. 원안은 상임위 심의 과정에서 대안에 반영되어 폐기된 상태이나, 연결 의안이 확인되지 않아 현재 법적 효력 여부는 불확실합니다. 다만 개정안이 담고 있는 규율 방향—AI 목적 개인정보 처리에 대한 사전 심의, 위험 평가, 투명성 공개, 이행 점검—은 향후 입법 또는 고시·가이드라인 형태로 구체화될 가능성이 높아 선제적 대응이 필요합니다.

특히 AI 서비스를 개발·운영하는 기업, 대규모 민감정보를 처리하는 플랫폼, 공공기관 등은 현행 개인정보 보호법(2025년 4월 1일 기준 시행 중인 법령) 테두리 안에서도 이미 상당 부분 유사한 의무를 부담하고 있으므로, 본 개정안의 취지를 실무 준비의 기준선으로 활용할 수 있습니다.

---

2. 실행 우선순위별 의무 사항 정리

[즉시 검토] 적법 수집 범위 내 AI 활용 여부 확인

AI 기술 개발·성능 개선 목적으로 활용 중인 개인정보가 적법하게 수집된 정보인지 즉시 점검해야 합니다. 개정안은 적법하게 수집된 개인정보 외의 정보를 AI 개발 목적으로 활용하는 것을 명시적으로 금지하고 있습니다. 현행법상 목적 외 이용 제한 규정과 결합하면, 수집 당시 고지된 목적 범위를 벗어난 AI 학습 데이터 활용은 즉각적인 법적 리스크로 이어질 수 있습니다. 데이터 파이프라인 전반에 걸쳐 수집 근거와 활용 목적의 정합성을 재검토하십시오.

[단기 준비] 개인정보 처리방침 내 AI 활용 현황 투명 공개

AI 기술 개발 또는 서비스 운영에 개인정보를 활용하는 경우, 해당 처리 현황을 개인정보 처리방침에 사전에 명확히 기재해야 합니다. 현재 처리방침에 AI 관련 개인정보 활용 항목이 누락되어 있다면 조속히 보완이 필요합니다. 정보주체가 자신의 데이터가 AI 학습에 활용된다는 사실을 인지할 수 있도록 구체적이고 이해하기 쉬운 언어로 기술하는 것이 중요합니다.

[단기 준비] 강화된 안전조치 및 정보주체 권리 보장 방안 수립

AI 목적 개인정보 활용 시에는 일반적인 안전조치 수준을 넘어서는 강화된 기술적·관리적 보호조치가 요구됩니다. 가명처리, 접근 통제 강화, 데이터 최소화 원칙 적용 등을 검토하고, 정보주체의 열람·정정·삭제·처리정지 요청에 대응할 수 있는 내부 절차를 정비해야 합니다. 특히 AI 모델에 학습된 데이터에 대한 삭제 요청 처리 방식은 기술적으로 복잡한 문제이므로 사전에 대응 방침을 마련해 두어야 합니다.

[중기 준비] 민감정보·고유식별정보 포함 시 사전 위험 평가 체계 구축

일정 규모 이상의 민감정보(건강, 신념, 생체정보 등) 또는 고유식별정보(주민등록번호 등)가 AI 학습 데이터에 포함되는 경우, 처리 전 위험요인을 사전에 평가하는 절차를 내부적으로 제도화해야 합니다. 현행 개인정보 영향평가(PIA) 제도와 연계하여 AI 특화 위험 평가 항목을 추가하는 방식으로 기존 체계를 확장하는 것이 효율적입니다.

[중기 준비] 개인정보 보호위원회 심의·의결 대응 체계 마련

개정안은 AI 기술 개발 등을 위한 개인정보 활용 시 개인정보 보호위원회의 심의·의결을 거치도록 규정하고 있습니다. 연결 의안 확인 및 최종 입법 내용이 확정되는 시점에 맞추어, 심의 신청 요건·절차·소요 기간 등을 파악하고 사업 일정에 반영할 필요가 있습니다. 심의 지연이 AI 서비스 출시 일정에 영향을 미칠 수 있으므로 충분한 선행 준비가 요구됩니다.

[지속 관리] 개인정보 보호위원회의 주기적 이행 점검 대비

개정안은 위원회가 AI 관련 개인정보 처리에 대해 주기적으로 이행 점검 및 관리·감독을 실시하도록 규정합니다. 이는 일회성 신고·승인으로 끝나지 않고 지속적인 컴플라이언스 유지가 요구됨을 의미합니다. 내부 감사 주기와 연계하여 AI 개인정보 처리 현황을 정기적으로 점검하는 체계를 구축하십시오.

---

3. 불확실성 및 주의사항

입법 상태의 불확실성: 원안은 대안에 반영되어 폐기되었으나 연결 의안이 확인되지 않습니다. 따라서 현재 시점에서 본 개정안의 내용이 법적 효력을 갖는지 여부는 명확하지 않습니다. 개인정보 보호위원회 공식 발표 및 국회 의안정보시스템을 통해 연결 의안의 최종 처리 결과를 반드시 확인하십시오.

현행법과의 관계: 2025년 4월 1일 기준 시행 중인 개인정보 보호법 및 하위 고시·가이드라인이 이미 일부 유사한 의무를 규정하고 있을 수 있습니다. 본 개정안의 의무 사항이 현행법 체계에서 어느 범위까지 이미 적용되는지는 법률 전문가의 검토가 필요합니다.

심의·의결 요건의 구체적 기준 미확정: 어떤 규모·유형의 AI 개인정보 처리가 위원회 심의 대상이 되는지, 사전 위험 평가의 구체적 기준은 무엇인지 등 세부 요건은 하위 법령 또는 고시를 통해 확정될 것으로 예상됩니다. 현 단계에서는 최대한 보수적으로 해석하여 준비하되, 세부 기준 확정 후 즉시 내부 절차를 업데이트할 수 있는 유연한 체계를 갖추는 것이 바람직합니다.

AI 모델 내 개인정보 삭제 요청 처리의 기술적 한계: 정보주체의 삭제 요청에 대응하는 것이 AI 학습 완료 모델에서는 기술적으로 매우 어렵습니다. 부분에 대한 규제 해석이 아직 명확히 정립되지 않았으므로, 관련 동향을 지속적으로 모니터링하고 법적 리스크를 사전에 관리하는 전략이 필요합니다.