[기고] 알고리즘과 개인정보 처리

[AI 컨택] 이강혜 변호사 "AI 모델, 개인정보일까 아닐까…법과 기술의 경계 다시 그릴 때"

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주]

오늘날 '알고리즘(Algorithm)'이라는 용어는 인공지능(AI)과 함께 매우 빈번하게 사용된다. 이 용어는 새롭게 만들어진 말이 아니라 9세기 페르시아 수학자 '알-콰리즈미(Al-Khwarizmi)'의 라틴어식 이름인 알고리스무스(Algorismus)에서 유래한 것으로, 본래 '문제를 해결하는 절차와 방법'을 의미했다.

이처럼 오래된 개념이 오늘날 AI 영역에서 뜨거운 법적 쟁점이 되고 있다. 전통적인 알고리즘은 사람이 모든 규칙을 직접 만들고 입력했지만 현대의 AI 알고리즘은 스스로 학습을 통해 규칙을 만들어 내기 때문이다.

그런데 이 학습의 재료는 방대한 양의 데이터다. 이 데이터에는 개인의 신상, 취향, 생체 정보와 같은 개인정보도 포함된다. 개인정보를 학습해 고도화된 예측 모델인 AI 알고리즘이 그 자체로 개인정보를 처리한 결과물로 봐야 하는지는 어렵지만 답해야 하는 문제다.

이강혜 법무법인 태평양 변호사 (사진=태평양)

AI 모델 자체는 개인정보 처리에 해당하지 않는다는 측은 학습의 '과정'과 '결과물'을 구분한다. AI를 트레이닝하는 단계에서는 개인정보의 수집과 분석이 이뤄지므로 개인정보 처리에 해당하지만 학습이 끝나 하나의 모델이 완성되면 그 모델, 즉 알고리즘은 원본 개인정보와 분리된 수학적·통계적 규칙의 집합에 불과하다. 이에 따라 모델을 활용하는 행위는 개인정보 처리가 아니라는 논리다.

반대로 학습이 완료된 AI 모델도 개인정보 처리의 연장선에 있거나 그 자체로 개인정보의 성격을 가진다고 보는 입장도 있다. 이 견해에 따르면 AI 모델은 단순히 원본 데이터를 요약한 것이 아니라 그 안에 데이터의 본질적 패턴과 특성을 내재하고 있다. 이에 따라 AI가 특정 개인을 식별하거나 민감한 정보를 추론할 수 있다면 이는 심각한 문제이므로 별도의 보호가 필요하다는 주장으로 이어진다.

미국의 경쟁당국인 연방거래위원회(FTC)는 과거 안면인식 AI기업인 파라비전 사가 사용자 동의 없이 수집한 개인정보로 AI 모델을 개발한 행위에 대해 원본 데이터를 파기할 뿐만 아니라 그 데이터로 학습한 알고리즘까지 삭제(disgorgement)하라는 명령을 내린 바 있다. 이같은 사례는 여러 건이 확인된다.

이러한 규제 당국의 입장은 AI 모델을 불법 수집된 정보의 파생물로 본다는 점에서 의미가 있다. 개인정보를 위법하게 수집했다면 그 데이터를 이용해 개발한 알고리즘으로 이익을 얻는 것 역시 허용되지 않는다는 것이다. 이는 알고리즘이 원재료인 개인정보와 동일한 수준으로 취급될 수 있음을 보여주는 사례다.

국내에서도 AI 개발 과정을 개인정보 처리로 본 사례가 있다. 지난 2022년 법무부가 1억7천만 건의 출입국 심사 정보를 민간 기업에 제공해 AI 식별 시스템을 개발하게 한 사안에서 개인정보보호위원회는 해당 AI 개발을 개인정보 처리를 위탁한 것으로 간주했다.

다만 이 사안에서는 당초 수집 목적 범위 내의 적법한 이용으로 인정됐기에 알고리즘 삭제까지 이어지진 않았다. AI 학습과 그 결과물인 모델을 '개인정보 처리'의 영역으로 볼 경우 그 파급력은 막대하다. 정보주체가 개인정보보호법상 '삭제 요구권'을 행사하며 "내 정보가 학습된 모델을 삭제해달라"고 요구할 수 있게 되기 때문이다.

개인정보로 만들어진 알고리즘을 법적으로 어떻게 바라볼 것인지, 정보주체를 보호하면서도 기업의 기술발전 진흥을 위해서는 어떠한 규제를 만들어 나가야 할지에 대한 사회적, 법적 논의가 필요한 시점이다.