개인정보 보호법 개정안, 심의 진행 중

1. 이슈 개요

본 개정안은 AI 기술 개발 및 성능 개선 목적의 개인정보 활용에 관한 법적 근거와 안전장치를 명확히 하기 위해 발의된 「개인정보 보호법」 일부개정법률안입니다. 현행법상 AI 학습 데이터로서의 개인정보 활용에 대한 명시적 규정이 미비하다는 문제의식에서 출발하며, 개인정보 보호위원회의 사전 심의·의결 절차, 위험 평가 의무, 이행 점검 등 다층적 규제 체계를 도입하는 것을 골자로 합니다.

현재 법안은 상임위 심의 단계에서 대안반영폐기 처리되었으나, 반영된 연결 의안이 확인되지 않아 실제 입법 효력 여부가 불확실한 상태입니다. 따라서 기업 및 기관 실무 담당자는 원안의 의무 사항을 잠재적 규제 기준으로 간주하고 선제적으로 대응 체계를 점검할 필요가 있습니다. 현행 「개인정보 보호법」(2025년 4월 1일 기준 시행본)이 우선 적용 기준임을 전제로 해야 합니다.

---

2. 실행 우선순위별 의무 사항 정리

🔴 즉시 검토 필요 — 적법 수집 여부 확인

적법하게 수집되지 않은 개인정보는 AI 개발·성능 개선 목적으로 활용할 수 없습니다.

이는 개정안의 가장 기본적이면서도 파급력이 큰 조항입니다. AI 학습에 사용 중이거나 사용 예정인 데이터셋 전반에 대해 수집 경위, 동의 여부, 목적 적합성을 즉시 점검해야 합니다. 크롤링, 제3자 제공, 구매 데이터 등 출처가 불분명한 데이터는 우선적으로 법적 적합성 검토 대상에 포함시켜야 합니다.

---

🔴 즉시 검토 필요 — 개인정보 처리방침 공개 의무

AI 목적의 개인정보 처리 현황을 개인정보 처리방침에 사전 공개해야 합니다.

현행 처리방침에 AI 학습 목적의 개인정보 활용 내용이 명시되어 있지 않다면 즉시 보완이 필요합니다. 처리 목적, 항목, 보유 기간, 제3자 제공 여부 등을 구체적으로 기재해야 하며, 정보주체가 이를 명확히 인지할 수 있는 수준의 투명성이 요구됩니다.

---

🟠 단기 내 준비 필요 — 강화된 안전조치 및 정보주체 권리 보장

AI 개발 목적의 개인정보 활용 시 일반적인 안전조치를 넘어선 강화된 보호 조치와 정보주체의 권리 행사 방안을 마련해야 합니다.

열람·정정·삭제·처리정지 요청에 대한 대응 절차를 AI 데이터 파이프라인 내에서 실질적으로 구현할 수 있는지 점검해야 합니다. 특히 학습 완료된 모델에서 특정 개인 데이터의 영향을 제거하는 '잊혀질 권리' 대응 방안은 기술적으로 복잡하므로 사전 설계가 중요합니다.

---

🟠 단기 내 준비 필요 — 사전 위험 평가 의무

민감정보·고유식별정보 등이 일정 규모 이상 포함된 경우, 처리 전 위험요인 사전 평가를 실시해야 합니다.

구체적인 '일정 규모' 기준은 하위 규정에서 정해질 가능성이 높으나, 현 시점에서도 민감정보(건강, 신념, 생체정보 등) 및 고유식별정보(주민등록번호, 여권번호 등)를 포함한 AI 학습 데이터에 대해서는 자체적인 개인정보 영향평가(PIA) 수준의 사전 검토를 진행하는 것이 바람직합니다.

---

🟡 중기 대응 — 개인정보 보호위원회 심의·의결 절차 대비

AI 기술 개발 목적의 개인정보 활용 시 개인정보 보호위원회의 사전 심의·의결을 거쳐야 합니다.

절차가 실제로 도입될 경우, 신규 AI 프로젝트의 기획 단계부터 심의 일정을 고려한 타임라인 설계가 필요합니다. 심의 신청을 위한 내부 문서화 체계(처리 목적, 데이터 범위, 안전조치 계획 등)를 미리 갖추어 두는 것이 실무적으로 유리합니다.

---

🟡 중기 대응 — 이행 점검 대응 체계 구축

개인정보 보호위원회는 AI 목적의 개인정보 처리에 대해 주기적으로 이행 점검 및 관리·감독을 실시합니다.

정기 점검에 대비하여 처리 기록 보관, 안전조치 이행 증빙, 정보주체 권리 처리 이력 등을 체계적으로 관리하는 내부 거버넌스 구조를 마련해야 합니다. 외부 감사 또는 인증 체계와 연계하는 방안도 검토할 수 있습니다.

---

3. 불확실성 및 주의사항

① 입법 효력 불확실: 본 개정안은 대안반영폐기 처리되었으나, 반영된 연결 의안이 공식적으로 확인되지 않았습니다. 따라서 현 시점에서 개정안의 의무 사항이 법적 효력을 갖는지 여부는 불분명합니다. 실무 대응 시 반드시 현행 「개인정보 보호법」(2025년 4월 1일 시행본) 및 관련 고시·가이드라인을 우선 기준으로 삼아야 하며, 연결 의안의 국회 통과 여부를 지속적으로 모니터링해야 합니다.

② 하위 규정 미확정: '일정 규모 이상'의 민감정보 기준, 심의·의결 대상 범위, 강화된 안전조치의 구체적 내용 등 핵심 기준이 시행령·고시 등 하위 규정에 위임될 가능성이 높습니다. 현 단계에서는 보수적 기준을 적용하여 내부 정책을 설계하되, 하위 규정 확정 후 즉시 반영할 수 있는 유연한 체계를 갖추는 것이 권장됩니다.

③ AI 규제 환경의 급변: 국내외 AI 관련 개인정보 규제는 빠르게 변화하고 있으며, 유럽 AI법(EU AI Act), GDPR 집행 사례 등 해외 동향도 국내 규제 방향에 영향을 미칠 수 있습니다. 글로벌 서비스를 운영하거나 해외 데이터를 활용하는 경우 복수의 규제 체계를 동시에 고려해야 합니다.

④ 법률 전문가 확인 권고: 본 분석은 공개된 정책 정보를 바탕으로 한 실무 참고용이며, 구체적인 법적 의무 판단 및 대응 방안 수립 시에는 반드시 개인정보 보호 전문 법률가의 자문을 받으시기 바랍니다.