스피릿항공 직원 데이터 1000만불 거래 논란...AI 학습용 개인정보 보호 쟁점 부각

핵심 요약

- 스피릿항공 파산 절차에서 직원 이메일·업무 메신저 등 내부 데이터가 AI 학습용으로 거래 시도, 구글 750만·머코 1000만 달러 제시 - 직원 개인정보가 당사자 동의 없이 AI 학습 자산으로 전환될 수 있는지 법적 쟁점으로 부상, 2026년 9월 법원 심리 예정 - 기업 파산 시 임직원 개인정보의 자산 가치 인정 여부와 GDPR·개인정보보호법 충돌 가능성 주목

주요 내용

2026년 8월 현재, 파산 절차 중인 스피릿항공의 내부 사업 데이터 매각을 둘러싼 개인정보 보호 논란이 국제적 이슈로 떠올랐다. 구글은 스피릿항공의 내부 데이터 입찰에 750만 달러(약 104억원)를 제시했으나, AI 채용 플랫폼 머코(Mercor)가 1000만 달러(약 139억원)로 상회 입찰하면서 경쟁이 치열해지고 있다. 해당 데이터에는 직원들의 업무 이메일, 내부 메신저 대화, 사업 문서 등이 포함된 것으로 알려졌다.

이번 거래의 핵심 쟁점은 직원 개인정보가 기업 자산으로 인정되어 당사자 동의 없이 제3자에게 양도될 수 있는가 하는 점이다. 특히 AI 학습 데이터로 활용될 경우, 원래 수집 목적(업무 수행)을 벗어난 2차 활용에 해당해 개인정보보호법상 '목적 외 이용' 금지 원칙에 저촉될 가능성이 크다. 유럽의 경우 GDPR 제6조(처리의 적법성)와 제9조(민감정보 처리 제한)에 직접 위반될 소지가 있다.

머코는 "익명화·가명처리를 통해 개인정보 보호 문제를 해결하겠다"는 입장이지만, 업무 메신저와 이메일 특성상 완전한 익명화가 기술적으로 어렵다는 지적이 나온다. 특히 AI 학습 과정에서 재식별(re-identification) 위험이 상존하며, 학습된 모델이 개인정보를 기억(memorization)할 가능성도 배제할 수 없다. 구글 역시 자사 AI 모델 학습용으로 해당 데이터를 활용할 계획으로 보이며, 이는 거대 기술 기업의 AI 경쟁력 강화를 위한 데이터 확보 전략의 일환으로 분석된다.

법원은 2026년 9월 공식 심리를 통해 ①직원 데이터의 자산 가치 인정 여부 ②개인정보 주체(직원)의 권리 보호 방안 ③익명화 조치의 적정성 등을 판단할 예정이다. 이번 사례는 기업 파산 시 직원 개인정보 처리 기준을 확립하는 중요한 선례가 될 전망이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 사례는 개인정보의 '자산화(assetization)' 경향이 AI 시대에 얼마나 위험한지를 보여주는 전형적 사례다. 개인정보보호법 제3조(개인정보 보호 원칙)는 "개인정보의 익명처리가 가능한 경우에는 익명에 의하여 처리될 수 있도록" 규정하지만, AI 학습 데이터의 특성상 통계적 익명화만으로는 불충분하다. 특히 대규모언어모델(LLM)은 학습 데이터를 그대로 출력하는 'training data extraction' 공격에 취약하며, 2025년 발표된 여러 연구에서 ChatGPT, Claude 등이 학습 데이터를 재현하는 사례가 확인된 바 있다.

실무적으로 기업들은 파산·인수합병(M&A) 등 조직 변동 시 개인정보 이전에 관한 명확한 내부 규정을 마련해야 한다. 특히 임직원 대상 개인정보 처리방침에 "회사 자산 매각 시 개인정보 처리 방식"을 명시하고, 사전 동의를 받는 절차가 필수적이다. AI 학습용 데이터 거래가 활성화되는 현 시점에서, 한국 기업들도 직원 데이터의 AI 학습 활용 가능성을 사전에 차단하는 계약 조항을 검토할 필요가 있다.

CPPG·ISMS-P 연계 포인트

1. 목적 외 이용 제한 원칙 (개인정보보호법 제18조)
개인정보는 수집 당시 고지한 목적 범위 내에서만 이용 가능하다. 업무용으로 수집한 이메일·메신저 데이터를 AI 학습용으로 전환하는 것은 명백한 목적 외 이용에 해당하며, 정보주체의 별도 동의 없이는 불가능하다. ISMS-P 인증심사 시 '개인정보 이용 내역 관리' 항목에서 반드시 점검되는 사항이다.

2. 가명·익명정보 처리 기준 (개인정보보호법 제28조의2~7)
가명정보는 추가정보 없이 특정 개인 식별이 불가능하도록 처리한 정보로, 통계·연구 목적으로 제한적 활용이 가능하다. 그러나 AI 학습은 '통계 작성'으로 보기 어려우며, 모델이 개인정보를 기억할 위험이 있어 완전한 익명화가 선행되어야 한다. CPPG 시험에서는 가명정보와 익명정보의 법적 차이, 안전조치 의무를 구분하는 문제가 자주 출제된다.