[디엘지 law 인사이트] 개인정보를 활용한 AI 학습, 반드시 동의가 필요할까?

최근 AI 서비스를 준비하는 고객들에게서 가장 많이 받는 질문은 이용자가 서비스 이용 과정에서 입력한 데이터를 AI 학습에 활용할 수 있는지다. 활용 목적은 기존 서비스의 응답 성능을 개선하는 것부터 새로운 AI 서비스를 개발하는 것까지 다양하다.

그런데 이용자가 입력하는 대화, 문서, 이미지 등에는 이용자 본인이나 제3자의 개인정보가 포함될 수 있다. 따라서 이용자 입력 데이터의 학습 활용 가능성을 검토하려면, 그 안에 포함된 개인정보를 어떠한 근거와 요건에 따라 이용할 수 있는지부터 살펴볼 필요가 있다.

많은 기업은 이용자 입력 데이터에 포함된 개인정보를 AI 학습에 활용하려면 반드시 정보주체의 별도 동의를 받아야 한다고 생각한다. 그러나 개인정보보호위원회가 올해 발간한 '2026 개인정보 처리방침 작성지침'의 생성형 AI 서비스 처리방침 부록은 개인정보를 당초 수집 목적과 합리적으로 관련된 범위에서 AI 학습·개발에 활용하는 경우, 개인정보 보호법 제15조 제3항에 따른 추가적 이용을 검토할 수 있다고 설명하고 있다.

이러한 추가적 이용이 가능한지 판단하려면 당초 수집 목적과의 관련성, 개인정보를 수집한 정황이나 처리 관행에 비추어 본 정보주체의 예측 가능성, 정보주체의 이익을 부당하게 침해하는지 여부, 가명처리·암호화 등 안전성 확보조치 여부를 함께 고려해야 한다. 또한 추가적 이용이 지속적으로 발생하는 경우에는 기업이 이러한 고려사항을 바탕으로 정한 구체적인 판단 기준을 개인정보 처리방침에 공개하여야 한다.

작성지침은 이용자의 대화 데이터를 자사 AI 서비스의 응답 성능 개선에 활용하는 경우를 예시로 제시하고 있다. 이 경우 기업은 해당 서비스의 품질을 높이기 위한 학습이라는 점에서 당초 수집 목적과의 관련성을 설명할 수 있다. 또한 기업은 서비스 내에서 학습 활용 사실과 거부 방법을 명확히 안내해 이용자의 예측 가능성을 높이고, 학습 데이터 활용을 거부할 수 있는 기능(Opt-out)을 제공하는 등 정보주체의 이익을 부당하게 침해하지 않도록 조치할 수 있다.

주민등록번호, 연락처, 계좌번호 등 개인을 식별할 가능성이 높은 정보를 자동으로 탐지해 삭제하거나 가리는 필터링 시스템도 안전조치의 한 예가 될 수 있다. 다만 이러한 예시를 모든 서비스에 그대로 적용할 수 있는 것은 아니므로, 기업은 실제 학습 목적과 데이터의 특성, 정보주체에게 미치는 영향 등을 구체적으로 검토할 필요가 있다.

이와 별도로 이용자 입력 데이터에 포함된 개인정보를 가명처리해 과학적 연구 목적으로 활용하는 방법도 있다. 개인정보 보호법 제28조의2는 과학적 연구 등의 목적을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있도록 하고 있다.

과학적 연구에는 기술 개발과 실증 등이 포함되므로, 과학적 방법을 적용한 AI 개발도 이에 해당할 수 있다. 이 경우에는 앞서 살펴본 추가적 이용과 달리 당초 수집 목적과의 합리적 관련성을 전제로 하지 않으므로, 과학적 연구의 범위에서 기존 서비스의 고도화뿐 아니라 신규 서비스 개발에도 활용할 수 있다는 장점이 있다.

다만 추가정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 가명처리하여야 하며, 가명정보와 추가정보의 분리 보관, 접근권한의 분리, 처리기록 및 접속기록의 보관·점검 등 필요한 안전성 확보조치를 이행해야 한다.

그러나 이용자가 입력한 영상이나 음성 등을 가명·익명처리하는 과정에서 AI 개발에 필요한 특징까지 훼손하는 경우에는 어떻게 해야 할까? 이러한 어려움은 이용자 입력 데이터뿐 아니라 기업이 다른 경로로 적법하게 수집한 개인정보를 AI 개발에 활용하는 경우에도 발생할 수 있다. 이를 보완하기 위해 2026년 9월 8일 공포된 개정 개인정보 보호법은 인공지능기술 개발을 위한 개인정보 처리 특례를 신설했다.

2027년 3월 9일 시행하는 이 특례는 일정한 요건과 개인정보보호위원회의 심의·의결을 거쳐, 적법하게 수집한 개인정보를 AI 개발이나 성능 개선을 위하여 당초 수집 목적 외로 이용할 수 있도록 하는 제도다.

특례를 적용받기 위해서는 우선 정보의 특성과 개발 목적 등을 고려할 때 익명 또는 가명으로 처리해서는 AI 개발이나 성능 개선이 어려워야 하고, 대통령령으로 정하는 기준에 따른 안전장치를 마련해야 한다. 또한 개발 목적에 공공의 이익 증진, 정보주체 또는 제3자의 이익 보호, 사회적 이익 증진 중 어느 하나가 포함돼야 하며, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮아야 한다.

이에 더해, 개인정보보호위원회는 심의·의결 과정에서 정보주체의 권리 보장과 개인정보의 안전한 처리를 위하여 필요한 조건을 붙일 수 있다. 민감정보나 고유식별정보의 처리 여부, 정보주체에게 미치는 영향과 위험의 정도 등을 고려해 대통령령으로 정하는 기준에 해당하면, 기업은 개인정보보호위원회의 요구에 따라 심의·의결 전에 위험요인평가를 실시하고 그 결과를 제출하여야 한다.