개인정보 보호법 개정안, 심의 진행 중

1. 이슈 개요

본 개정안은 AI 기술 개발 및 성능 개선 목적의 개인정보 활용에 관한 명시적 규율 체계를 개인정보 보호법에 도입하려는 시도입니다. 원안은 상임위 심의 과정에서 대안에 반영되어 폐기된 상태이나, 연결 의안이 확인되지 않아 현재 법적 효력 여부는 불확실합니다. 다만 개정안에 담긴 규율 방향—AI 학습 데이터의 적법성 요건 강화, 사전 위험 평가, 감독기관 심의 의무화—은 향후 입법 또는 유권해석에 반영될 가능성이 높아 실무적 대비가 필요합니다.

2025년 4월 1일 시행된 개인정보 보호법 개정 내용과의 연계 여부도 현재로서는 명확히 확인되지 않으므로, 기업 및 기관은 해당 시행 법령을 기준으로 우선 대응하되 본 개정안의 내용을 선제적 리스크 관리 기준으로 참고하는 것이 적절합니다.

---

2. 실행 우선순위별 의무 사항 정리

[즉시 점검] 개인정보 수집 적법성 확인

AI 모델 학습, 파인튜닝, 성능 평가 등에 활용 중인 데이터셋 전반에 대해 수집 당시의 법적 근거(동의, 계약 이행, 정당한 이익 등)를 재검토해야 합니다. 적법하게 수집되지 않은 개인정보를 AI 목적으로 전용하는 행위는 명시적으로 금지되며, 이는 현행 개인정보 보호법 원칙과도 일치합니다. 외부 데이터 구매·크롤링·제3자 제공 데이터의 출처 및 수집 경위를 문서화하는 것이 우선 과제입니다.

[단기 조치] 개인정보 처리방침 내 AI 활용 현황 공개

AI 기술 개발 또는 성능 개선을 위해 개인정보를 처리하는 경우, 해당 사실과 처리 목적·방식을 개인정보 처리방침에 사전 공개해야 합니다. 현재 처리방침에 AI 학습 목적의 처리 항목이 누락되어 있다면 즉시 보완이 필요합니다. 특히 이용자 행동 데이터, 음성·영상 데이터 등을 모델 개선에 활용하는 경우 그 내용이 명확히 기재되어야 합니다.

[중기 준비] 고위험 처리에 대한 사전 위험 평가 체계 구축

민감정보(건강, 생체, 신념 등) 또는 고유식별정보(주민등록번호 등)가 일정 규모 이상 포함된 AI 학습 데이터를 처리하는 경우, 처리 전 위험요인을 평가하는 절차를 내부적으로 마련해야 합니다. 현행법상 개인정보 영향평가 제도와 연계하여 AI 특화 위험 평가 항목(모델 편향, 재식별 가능성, 출력 결과의 개인정보 노출 등)을 추가하는 방식으로 체계를 정비하는 것이 실무적으로 유효합니다.

[중기 준비] 강화된 안전조치 및 정보주체 권리 보장 방안 마련

AI 목적의 개인정보 처리에 대해서는 일반적인 안전조치 수준을 넘어 강화된 기술적·관리적 보호조치가 요구됩니다. 구체적으로는 학습 데이터 접근 통제, 익명화·가명화 처리 수준 검토, 정보주체의 처리 정지·삭제 요청에 대한 AI 파이프라인 내 대응 절차 등을 정비해야 합니다. 특히 학습 완료 후 모델에 잔존하는 개인정보 처리 문제는 현재 기술적·법적으로 미해결 영역이므로 내부 정책 수립이 필요합니다.

[지속 대응] 개인정보 보호위원회 심의·의결 및 이행 점검 대비

개정안은 AI 목적의 개인정보 처리에 대해 개인정보 보호위원회의 사전 심의·의결을 요건으로 규정하고 있으며, 주기적 이행 점검도 예정하고 있습니다. 조항이 향후 입법화될 경우 대규모 AI 서비스 운영 기업은 사전 신고·심의 절차를 거쳐야 할 수 있습니다. 현재 시점에서는 내부 거버넌스 문서(AI 개발 목적, 데이터 처리 현황, 안전조치 내역)를 체계적으로 관리하여 향후 점검에 대비하는 것이 적절합니다.

---

3. 불확실성 및 주의사항

법적 효력 불확실: 본 개정안은 대안반영폐기 상태로, 원안의 내용이 어느 의안에 어떤 형태로 반영되었는지 현재 확인되지 않습니다. 따라서 위 의무 사항들이 현행법상 직접적인 법적 구속력을 갖는다고 단정할 수 없으며, 반드시 2025년 4월 1일 시행된 개인정보 보호법 조문 및 개인정보 보호위원회의 공식 가이드라인을 기준으로 법적 의무를 확인해야 합니다.

연결 의안 추적 필요: 대안이 된 의안의 내용에 따라 의무의 범위와 수준이 달라질 수 있습니다. 국회 의안정보시스템을 통해 관련 대안 의안을 직접 확인하고, 필요 시 법률 전문가의 검토를 받는 것을 권장합니다.

"일정 규모" 기준 미확정: 사전 위험 평가 의무가 적용되는 민감정보·고유식별정보의 규모 기준이 개정안에 구체적으로 명시되지 않았습니다. 향후 시행령 또는 고시를 통해 기준이 확정될 예정으로 보이며, 그 전까지는 보수적 기준을 적용하는 것이 안전합니다.

AI 특화 규율의 국제적 정합성: 본 개정안의 방향은 EU AI Act 및 GDPR의 고위험 AI 시스템 규율 체계와 유사한 흐름을 보입니다. 글로벌 서비스를 운영하는 경우 국내 법령 대응과 함께 해외 규제 동향도 병행하여 검토할 필요가 있습니다.