[디엘지 law 인사이트] 글로벌AI에 맡긴 고객 개인정보 유출과 기업 대비책

최근 기업들이 고객 상담, 문서 작성, 데이터 분석 등 다양한 업무에 생성형 AI를 도입하면서, 고객 개인정보 처리를 AI사업자에게 위탁하는 경우도 늘고 있다. 글로벌 AI사업자에게 맡긴 고객 개인정보가 유출될 경우에 대비해 기업은 무엇을 해야 할까?

기업이 고객 개인정보를 AI 사업자에게 적법하게 처리 위탁했더라도 고객 개인정보 보호 책임까지 면하는 것은 아니다. 개인정보처리자는 개인정보 보호법에 따라 수탁자의 개인정보 처리 현황을 관리·감독할 의무를 부담한다. 또한 수탁자가 위탁받은 업무와 관련해 개인정보 보호법을 위반하여 손해배상책임을 부담하는 경우에는 수탁자를 개인정보처리자의 소속 직원으로 보기 때문에, 위탁자는 수탁자가 발생시킨 손해에 대해 민법상 사용자책임을 부담할 수 있다.

위탁자의 손해배상책임은 수탁자의 선임 및 감독에 관한 책임이므로, 위탁자가 수탁자의 선임 및 감독에 상당한 주의를 다하였음에도 정보주체에게 손해가 발생한 경우에는 사용자책임을 부담하지 않는다. 그러나 대법원의 상고 기각으로 확정된 서울고등법원 판결(2016나2049021)은 위탁자가 보안프로그램 설치 상태를 직접 확인하지 않고, 수탁자의 작업공간에서 실질적인 보안점검을 실시하지 않은 점 등을 근거로 관리·감독 의무를 다하지 못했다고 판단했다.

이처럼 실제 분쟁에서 위탁자가 수탁자의 선임 및 감독에 상당한 주의를 다했다는 점을 인정받기는 쉽지 않다. 여기에 더해 ChatGPT, Gemini, Claude와 같은 글로벌 AI 서비스를 이용하는 한국 기업이 글로벌 AI 사업자를 어떻게 관리·감독할 것인지도 문제다. 국내 수탁자와 달리 글로벌 AI 사업자의 사업장을 방문하거나, 구체적인 자체 점검표를 작성하게 하고, 임직원 교육자료를 제출받는 것은 현실적으로 어렵다. 따라서 글로벌 AI 사업자에게 고객 개인정보의 처리를 위탁하는 기업은 법률상 관리·감독 의무를 부담하면서도 이를 직접 수행하기 어려운 상황에 놓일 수 있다. 그렇다면 글로벌 AI 서비스를 이용해야 하는 기업이 이러한 현실적 한계 속에서 적어도 취할 수 있는 조치는 무엇일까?

먼저 AI 사업자를 선정할 때에는 DPA, 개인정보 처리 관련 약관 및 보안정책 등 사업자가 제공하는 자료를 확인해 개인정보 이용 목적, 안전성 확보조치 등에 관한 조건을 검토하고, 국내 개인정보 보호법과 정합성이 높고, 개인정보 보호법 제26조 제1항에 따라 개인정보 처리 위탁 시 서면으로 정해야 할 사항을 약관 및 DPA 등으로 규정하고 있는 서비스를 선정할 필요가 있다.

또한 어떠한 기준과 자료를 바탕으로 해당 사업자를 선정했는지 기록을 남겨두는 것이 바람직하다. 글로벌 사업자의 DPA를 살펴보면 국내 개인정보 보호법이 요구하는 안전성 확보조치를 상당 부분 구체적으로 반영하고 있는 경우와 그렇지 않은 경우가 있으므로, 계약 체결 전에 이를 꼼꼼히 확인할 필요가 있다.

이러한 검토가 글로벌 AI 사업자에 대한 관리·감독을 대신할 수는 없지만, 적어도 개인정보 보호를 고려해 수탁자를 선정했다는 점을 뒷받침하는 자료가 될 수 있다. AI 사업자를 선정한 이후에는 원칙적으로 해당 사업자의 개인정보 처리 현황을 지속적으로 관리·감독해야 한다. 글로벌 AI 사업자에 대한 직접적인 관리·감독에는 현실적인 한계가 있으므로, 기업은 적어도 AI 사업자가 공개하는 개인정보 보호정책과 보안정책 변경 여부를 주기적으로 확인하고, 이용자가 직접 선택하거나 설정할 수 있는 개인정보 보호 및 보안 기능을 최대한 활용할 필요가 있다.

참고로 개인정보보호위원회는 2021년 국내 온라인서비스 제공자가 아마존웹서비스(Amazon Web Services, AWS)의 클라우드 서비스를 이용하면서 개인정보처리시스템에 대한 접근권한을 허용된 IP로 제한하지 않아 외부 인터넷 어디서나 접속할 수 있도록 운영하였고, 제3자가 획득한 DB 접근권한을 이용해 개인정보를 유출한 사안에서 국내 온라인서비스 제공자에게 안전성 확보조치 의무 위반을 인정해 과징금을 부과한 바 있다.

이 사례는 AI 사업자에 대한 위탁자의 관리·감독 의무를 직접 판단한 것은 아니지만, 글로벌 서비스를 이용하는 기업 역시 해당 서비스 내에서 직접 설정할 수 있는 개인정보 보호조치를 적극적으로 확인하고 적용해야 한다는 점을 보여준다. 따라서 기업은 기업용 플랜의 보안 기능, 입력 데이터의 모델 학습 이용 여부에 관한 설정, 접근권한 및 계정 관리 등 이용자가 직접 설정할 수 있는 보호조치를 주기적으로 점검하고, 그 검토 및 조치 내역을 기록으로 남겨두는 것이 바람직하다.

그럼에도 글로벌 AI 사업자 귀책사유로 개인정보 유출사고가 발생해 위탁자가 정보주체에게 손해를 배상하게 된다면, 위탁자는 수탁자를 상대로 구상금을 청구할 수 있다. 다만 위탁자가 정보주체에게 손해배상으로 지급한 금액 전부가 구상금으로 인정되는 것은 아니며, 위탁자와 수탁자 각각의 귀책 정도에 따라 최종적인 책임 비율이 정해질 수 있다.