AI 개인정보 활용 특례 시행 앞두고 기업 과잉수집 관행 개선 시급

핵심 요약

- 개인정보보호법 개정안에 공익적 AI 개발 시 개인정보 활용 특례 규정 신설 - 기업들의 과잉수집 관행으로 수집 목적과 AI 활용 목적 불일치 문제 심각 - 최소수집 원칙 위반 데이터는 AI 학습 활용 불가, 기업의 근본적 개인정보 처리 체계 개선 필요

주요 내용

2026년 8월 현재, 국회를 통과한 개인정보보호법 개정안에는 공익적·사회적 필요성이 있는 AI 기술 개발 시 일정 요건을 충족하면 개인정보를 활용할 수 있는 'AI 개인정보 활용 특례' 조항이 포함되었다. 이는 글로벌 AI 경쟁에서 한국 기업들이 데이터 부족 문제를 해소하고 혁신적인 AI 서비스를 개발할 수 있는 법적 기반을 마련한 것으로 평가된다.

그러나 실무 현장에서는 기업들의 고질적인 '과잉수집' 관행이 이러한 특례 활용의 발목을 잡고 있다. 개인정보보호법의 핵심 원칙인 '목적 명확화 및 최소수집'을 위반하여 수집된 개인정보는 당초 고지한 목적 범위를 벗어나 AI 학습에 활용할 수 없기 때문이다. 예를 들어 회원가입 시 "서비스 제공 목적"으로만 명시하고 과도한 개인정보를 수집한 경우, 이를 AI 모델 학습에 활용하는 것은 목적 외 이용에 해당한다.

특히 많은 기업들이 '혹시 몰라서' 또는 '나중에 쓸 수도 있어서'라는 이유로 주민등록번호, 상세 주소, 가족정보 등 서비스 제공에 필수적이지 않은 정보까지 수집해왔다. 이러한 관행은 ISMS-P 인증 심사에서도 지속적으로 지적되는 사항이지만, 여전히 많은 조직에서 개선되지 않고 있다. AI 특례 규정이 시행되더라도 이런 방식으로 수집된 데이터는 법적으로 활용이 불가능하다.

개인정보보호위원회와 전문가들은 기업들이 데이터 수집 단계부터 AI 활용 가능성을 고려한 목적 명시와 동의 절차를 설계해야 한다고 강조한다. 동시에 기존에 과잉 수집된 개인정보는 파기하거나 가명·익명 처리하여 AI 학습에 활용할 수 있는 형태로 전환하는 작업이 시급하다.

전문가 시각

ISMS-P 심사 현장에서 가장 많이 발견되는 부적합 사항 중 하나가 바로 '수집 목적과 실제 이용 목적의 불일치'이다. AI 개인정보 활용 특례는 분명 혁신적인 제도이지만, 기업들이 개인정보 생애주기 관리의 기본 원칙을 준수하지 않는다면 그림의 떡이 될 수밖에 없다. 특히 AI 학습 데이터로 활용하려면 수집 단계에서부터 "AI 서비스 개발 및 개선"을 명확히 고지하고 동의를 받아야 하며, 이 과정에서 개인정보 영향평가(PIA)를 통해 위험을 사전에 식별해야 한다.

실무 담당자들은 당장 두 가지 작업을 병행해야 한다. 첫째, 현재 보유 중인 개인정보의 수집 목적을 전수 점검하고 AI 활용이 불가능한 데이터는 가명처리 또는 파기 계획을 수립할 것. 둘째, 신규 서비스 기획 시 개인정보보호 책임자(CPO)와 DPO(데이터보호책임자)가 초기 단계부터 참여하여 적법한 데이터 활용 설계를 구현할 것. 바이브 코딩(Vibe Coding) 등 AI 기반 개발 도구를 활용할 때도 자동 생성된 개인정보 처리 코드가 최소수집 원칙을 준수하는지 반드시 검증해야 한다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 수집 시 최소수집 원칙 (개인정보보호법 제16조)
개인정보처리자는 서비스 제공에 필요한 최소한의 개인정보만 수집해야 하며, 필수정보와 선택정보를 구분하여 고지해야 한다. ISMS-P 인증기준 2.8.1항(개인정보 수집 시 동의)에서는 수집 목적, 항목, 보유기간을 명확히 고지하도록 요구하며, 목적 달성 후 지체 없이 파기해야 한다.

2. 목적 외 이용·제공 제한 및 특례 (개인정보보호법 제18조, 제28조의2)
수집 당시 고지한 목적 범위를 벗어나 개인정보를 이용하거나 제3자에게 제공할 수 없다. AI 개인정보 활용 특례는 공익적 AI 개발 시 예외를 인정하지만, 안전장치 마련, 영향평가 실시, 보호위원회 신고 등 엄격한 요건을 충족해야 한다. ISMS-P 2.8.6항(목적 외 이용 및 제공)에서 이를 통제하도록 규정하고 있다.