디지털 유산과 생성형 AI, 개인정보보호 새로운 도전 과제로 부상

핵심 요약

- 디지털 유산은 유족의 상속권·추모권, 고인의 프라이버시권, 제3자 개인정보보호권이 복잡하게 충돌하는 영역 - 생성형 AI 기술로 고인의 사진·영상·목소리·글을 재현하면서 개인정보보호 이슈가 한층 심화 - 개인정보보호법상 사자(死者) 정보 보호 범위와 AI 활용 디지털 유산 관리 체계 정립 필요

주요 내용

2026년 현재, 우리는 평생 동안 수십만 장의 사진, 수천 시간의 영상, 수백만 건의 메시지를 디지털 공간에 남기며 살아간다. 이러한 디지털 유산은 과거 물리적 유산과 달리 클라우드 서버에 반영구적으로 보존되며, 고인이 사망한 후에도 계속 존재한다. 문제는 이 데이터에 대한 권리가 명확하지 않다는 점이다. 유족은 추모와 상속의 권리를 주장하지만, 고인은 생전에 프라이버시 보호를 원했을 수 있으며, 디지털 유산 속에는 제3자의 개인정보도 포함되어 있다.

생성형 AI의 등장은 이 문제를 새로운 차원으로 끌어올렸다. 2026년 현재 다수의 스타트업과 빅테크 기업들이 고인의 디지털 데이터를 학습하여 그의 말투, 사고방식, 외모를 재현하는 'AI 추모 서비스'를 제공하고 있다. 유족은 AI 챗봇을 통해 고인과 대화하고, 딥페이크 기술로 고인의 영상 메시지를 생성할 수 있다. 하지만 이는 고인이 생전에 동의하지 않은 개인정보 처리이며, 고인의 디지털 페르소나가 무단으로 재현될 위험을 내포한다.

현행 개인정보보호법은 사자의 정보에 대해 제한적 보호만을 제공한다. 법 제2조는 살아있는 개인의 정보만을 개인정보로 정의하며, 사자 정보는 유족 등 생존 개인과 관련된 경우에만 간접적으로 보호된다. 그러나 디지털 유산을 AI 학습에 활용하는 경우, 고인의 인격권과 유족의 감정, 제3자 프라이버시가 모두 침해될 수 있다. 특히 고인의 SNS에는 친구·동료·가족의 사진과 메시지가 포함되어 있어, 유족이 일방적으로 AI 학습에 동의할 수 없는 구조다.

EU는 2024년 디지털 유산 지침(Digital Legacy Directive) 초안을 통해 고인의 디지털 자산에 대한 유족의 접근권과 고인의 사전 의사표시 존중 원칙을 명시했다. 미국 일부 주에서는 디지털 자산 접근법(UFADAA)을 도입하여 유족의 계정 접근권을 법제화했다. 한국도 디지털 유산의 법적 지위, AI 재현 서비스의 윤리 가이드라인, 사자 정보 보호 범위 확대 등을 종합적으로 검토해야 할 시점이다.

전문가 시각

ISMS-P 심사 현장에서 최근 주목받는 영역이 바로 '사후 개인정보 처리 절차'다. 특히 AI 기반 서비스를 제공하는 기업은 ① 이용자 사망 시 계정 처리 정책, ② 유족의 데이터 접근 요청 처리 절차, ③ 사자 데이터의 AI 학습 제외 조치, ④ 제3자 개인정보 보호 방안을 명확히 수립해야 한다. 개인정보 처리방침에 사망 후 데이터 처리 방침을 명시하지 않거나, 유족 요청에 대한 대응 프로세스가 부재한 경우 ISMS-P 인증 심사에서 지적 사항으로 분류될 수 있다.

생성형 AI 서비스 제공자는 특히 주의가 필요하다. 고인의 디지털 유산을 AI 학습 데이터로 활용할 경우, 생전 동의 여부 확인, 유족의 명시적 동의 확보, 제3자 정보 필터링, AI 생성 콘텐츠의 윤리적 활용 원칙 수립이 필수다. 개인정보보호위원회는 2025년부터 AI 학습 데이터의 적법성 검증을 강화하고 있으며, 사자 정보 무단 활용 사례에 대해서도 유족의 인격권 침해를 근거로 제재할 수 있다는 유권해석을 제시한 바 있다. 기업은 디지털 유산 정책을 선제적으로 수립하여 법적·윤리적 리스크를 최소화해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 처리의 시간적 범위: 개인정보보호법상 개인정보는 생존하는 개인에 관한 정보로 한정되지만, 사자 정보가 유족 등 생존 개인과 결합되거나 유족의 권리를 침해하는 경우 간접적 보호 대상이 된다. ISMS-P 인증 시 서비스 종료·회원 탈퇴·사망 등 개인정보 처리 종료 사유와 처리 절차를 명확히 문서화해야 한다.

AI 학습 데이터의 적법성 요건: AI 모델 학습에 활용되는 개인정보는 정보주체의 명시적 동의 또는 적법한 법적 근거가 필요하다. 특히 민감정보, 고유식별정보, 사자 관련 정보는 엄격한 적법성 심사 대상이며, CPPG 시험에서는 AI 학습 데이터의 수집·이용·제공 단계별 법적 근거 검토가 출제될 수 있다.