[기고] 생성형 AI와 개인정보 국외이전

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주]

최근 인기리에 방영된 드라마에서 3분 가량의 액션 시퀀스가 생성형 AI로만 제작됐다는 내용이 알려져 화제가 됐다. 다방면으로 발전하고 있는 기술의 진일보에 새삼 놀랐고 해당 드라마 시청자로서 드라마의 몰입감을 방해하지 않는 자연스러움에 또 한 번 놀랐다.

글로벌 온라인동영상서비스(OTT)를 통해 다양한 국가 시청자를 만나게 될 이 드라마를 보니 생성형 AI에 개인정보가 입력되면 해당 개인정보도 국경을 넘나들 수 있겠다는 생각이 들었다. 이용자가 생성형 AI에 입력한 개인정보가 어느 나라의 서버로 가고 있으며 그곳에서 어떻게 다뤄지고 있을지에 대한 궁금증도 이어졌다.

국내에서 널리 쓰이는 생성형 AI 서비스 중에는 해외에 본사를 둔 글로벌 사업자가 운영하는 경우가 많다. 국내 사업자가 제공하는 서비스의 경우에도 그 기반이 되는 모델과 연산 인프라는 해외 클라우드 위에서 작동하기도 한다. 해외에서 데이터가 처리되면 AI 서비스 이용자가 입력한 질문과 첨부 자료는 국경을 넘어 처리될 수 있으며 그 정보 중에는 이름, 연락처, 거래내역과 같은 개인정보가 포함될 수 있다.

이 같은 개인정보 처리를 개인정보 생애주기로 생각해보면 수집 단계에서부터 시작되는 것으로 볼 수 있다. 이용자가 AI 서비스의 프롬프트 창에 이름, 연락처, 주소와 같은 개인정보를 기재하는 순간 개인정보보호법상 개인정보의 수집·이용에 해당한다. 정보주체 본인이 아니라 제3자의 정보를 별다른 고민 없이 입력하는 이용자가 적지 않다는 점에서 AI 활용은 국외이전 문제 이전에 수집의 적법성 문제부터 안고 출발하는 경우가 많다.

우리 개인정보보호법은 개인정보를 국외로 이전하기 위해 적법 처리 근거를 갖추도록 하고 있다. 개인정보를 국외이전하려는 개인정보처리자는 해당 정보주체의 별도 동의를 받거나, 이전받는 자가 개인정보 보호 인증을 받는 등 일정한 요건을 갖추도록 정하고 있다. 특히 국외이전에 관한 조항은 이전의 목적, 항목, 이전받는 국가, 보유·이용 기간, 이전 거부 방법까지 구체적으로 고지하도록 요구한다.

그러나 생성형 AI 서비스 이용약관과 개인정보 처리방침을 꼼꼼히 읽어본 이용자가 얼마나 될지, 그 약관에 국외이전에 관한 사항이 이용자가 실제로 이해할 수 있는 수준으로 기재됐는지는 의문이다.

올해 초 시행된 AI 기본법은 고위험 AI 안전성과 신뢰성 확보를 명확하게 규정했으나 개인정보의 국외이전이나 처리 위탁에 관한 세부 규율에 대해서는 언급하고 있지 않다. 해당 부분은 개인정보보호법 영역으로 볼 수 있다. 사업자가 AI 도입과 관련된 규율을 준수하려면 개인정보보호법상 규제와 국외이전에 대한 적법 처리 근거를 심도 있게 살펴야 한다.

사내 업무에 생성형 AI를 도입하는 기업들의 경우 재위탁도 잘 살펴봐야 한다. AI 사업자가 다시 하위 클라우드 사업자나 모델 제공사에 데이터를 재이전하는 다단계 구조를 취하고 있다면 개인정보가 재위탁돼 국외로 이전될 여지가 있다. 이런 상황에서 기업이 국외이전에 관한 안전성 확보조치를 제대로 이행했다고 자신 있게 말할 수 있을까.

이용자 개인의 입장에서도 개인정보 흐름에 대해 경각심을 갖기 어려운 환경이다. 생성형 AI에게 계약서를 검토해 달라며 상대방의 개인정보가 담긴 문서를 통째로 업로드하는 일, 상담 챗봇에 가족의 병력을 상세히 입력하는 일은 이제 낯선 풍경이 아니다. 그 정보가 어디로 얼마나 오래 저장되고 이후 모델 학습에 활용될 가능성은 없는지를 확인하는 습관은 아직 우리 사회에 자리 잡지 못했기에 편의성을 우선한 선택을 하는 경우가 많아 보인다.