AI 개발 개인정보 활용 특례 신설 「개인정보 보호법」 개정안 본회의 통과

핵심 요약

- 2026년 8월 20일 국회 본회의에서 안전한 AI 개발을 위한 개인정보 활용 특례 신설 「개인정보 보호법」 개정안 통과 - AI 개발 과정에서 개인정보 활용 시 적용되는 특례 조항 신설로 기술 발전과 개인정보 보호의 조화 도모 - 개인정보처리자의 AI 개발 시 법적 불확실성 해소 및 안전장치 마련

주요 내용

개인정보보호위원회는 2026년 8월 20일 안전한 인공지능 개발을 위한 개인정보 활용 특례를 신설하는 「개인정보 보호법」 개정안이 국회 본회의를 통과했다고 발표했다. 이번 개정안은 글로벌 AI 기술 경쟁이 가속화되는 상황에서 국내 AI 산업의 경쟁력 강화와 개인정보 보호 간 균형점을 찾기 위한 법적 기반을 마련했다는 점에서 의미가 크다.

개정안의 핵심은 AI 개발 목적으로 개인정보를 활용할 경우 일정 요건 하에 특례를 인정하는 조항을 신설한 것이다. 기존 「개인정보 보호법」은 개인정보 처리 시 정보주체의 동의나 법률상 근거를 엄격히 요구해 왔으나, AI 학습 데이터 수집·활용 과정에서는 실무적 어려움이 지적돼 왔다. 특히 대규모 언어모델(LLM) 등 생성형 AI 개발에는 방대한 데이터가 필요한데, 개별 동의 취득이 사실상 불가능한 경우가 많았다.

이번 특례 조항은 ▲AI 개발의 공익적 목적 ▲적절한 안전조치 의무 ▲정보주체 권리 보장 장치 등을 전제로 개인정보 활용 범위를 확대한다. 다만 민감정보나 고유식별정보 처리, 영리 목적의 무분별한 활용 등에 대해서는 여전히 엄격한 제한을 유지하여 개인정보 침해 우려를 최소화했다. 개보위는 향후 시행령 및 가이드라인을 통해 구체적인 적용 기준과 안전장치를 마련할 계획이다.

국내에서는 이미 2020년 「데이터 3법」 개정으로 가명정보 처리 특례가 도입된 바 있으며, 이번 AI 특례는 그 연장선상에서 기술 발전을 뒷받침하는 법제도 개선의 일환으로 평가된다. 다만 EU의 「AI Act」나 미국의 주(州)별 AI 규제 입법 동향과 비교할 때, 개인정보 보호와 AI 윤리를 동시에 고려하는 통합적 접근이 필요하다는 지적도 제기되고 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 개정안은 AI 개발 조직의 정보보호 관리체계에 중대한 영향을 미칠 것으로 예상된다. 특례 적용을 받기 위해서는 단순히 법적 요건 충족을 넘어, AI 학습 데이터의 전 생애주기(수집-저장-이용-파기)에 걸친 체계적인 통제 절차가 필수적이다. 특히 데이터 최소화 원칙, 목적 외 이용 금지, 재식별 방지 조치 등 기존 개인정보 보호 원칙이 AI 개발 프로세스에 어떻게 구현되는지 명확히 문서화하고 실행해야 한다.

실무적으로는 AI 개발 프로젝트 착수 단계부터 개인정보 영향평가(PIA)를 실시하고, 데이터 거버넌스 체계 내에 AI 특례 적용 판단 기준과 승인 절차를 명시해야 한다. 또한 AI 모델 학습에 사용된 개인정보의 출처, 처리 근거, 안전조치 내역을 투명하게 기록·관리하는 것이 ISMS-P 인증 유지 및 개보위 점검 대응의 핵심이 될 것이다. 향후 시행령과 가이드라인 제정 과정을 면밀히 모니터링하면서, 조직 내부의 정책·절차·기술적 통제를 선제적으로 정비할 필요가 있다.

ISMS-P 심사원 체크포인트

1. 개인정보 처리 방침 및 내부 관리계획 (ISMS-P 2.8.1, 2.8.2)
- AI 개발 목적 개인정보 처리 시 특례 적용 근거, 처리 범위, 안전조치 사항을 개인정보 처리방침에 명시했는지 확인
- 내부 관리계획에 AI 학습 데이터 처리 절차, 책임자, 안전조치 기준이 구체적으로 포함되어 있는지 점검
- 관련 법령: 「개인정보 보호법」 제30조(개인정보 처리방침의 수립 및 공개), 신설 특례 조항

2. 개인정보 영향평가 실시 (ISMS-P 2.8.6)
- AI 개발 프로젝트 시작 전 개인정보 영향평가(PIA)를 실시하고, 특례 적용 타당성 및 위험 분석을 수행했는지 검토
- 대규모 개인정보 처리, 민감정보 포함 여부에 따라 개보위 사전 영향평가 대상 해당 여부 판단
- 관련 법령: 「개인정보 보호법」 제33조(개인정보 영향평가), 시행령 제35조

3. 개인정보 처리 기록 및 접근 통제 (ISMS-P 2.8.7, 2.5.3)
- AI 학습용 개인정보의 수집·이용·제공·파기 이력을 로그로 기록하고, 최소 3년 이상 보관하는지 확인
- AI 개발 담당자 외 불필요한 접근을 차단하는 기술적 통제(접근권한 관리, 암호화 등)가 적용되었는지 점검
- 관련 법령: 「개인정보 보호법」 제34조(개인정보 처리업무 위탁), 제29조(안전조치 의무)

위반 조항

이번 개정안은 특례 신설로 위반 조항을 직접 규정하기보다는, 특례 요건 미충족 시 기존 「개인정보 보호법」상 의무 위반으로 처리된다.

• 제15조(개인정보의 수집·이용): AI 개발 특례 요건을 충족하지 못한 상태에서 동의 없이 개인정보를 수집·이용할 경우 위반
• 제17조(개인정보의 제공): 특례 범위를 벗어나 개인정보를 제3자에게 제공 시 위반
• 제29조(안전조치 의무): AI 학습 데이터에 대한 적절한 기술적·관리적 보호조치를 이행하지 않을 경우 위반
• 제75조(과징금 부과): 위반 시 매출액의 3% 이하 또는 과징금 부과 가능
• 제73조(벌칙): 고의·중과실로 개인정보를 부정하게 이용하거나 제3자에게 제공 시 5년 이하 징역 또는 5천만 원 이하 벌금

CPPG·ISMS-P 연계 포인트

1. 가명정보 vs AI 특례의 구별 (CPPG 핵심 개념)
- 가명정보(제28조의2): 추가 정보 없이는 특정 개인을 알아볼 수 없도록 조치한 정보로, 통계작성·과학적 연구·공익적 기록보존 목적으로 정보주체 동의 없이 처리 가능
- AI 개발 특례(신설): AI 모델 학습·검증 목적에 특화된 특례로, 가명처리 여부와 무관하게 적용 가능하나 안전장치 및 공익성 요건 충족 필수
- 시험 포인트: 두 제도의 적용 요건, 목적, 안전조치 차이를 명확히 구분하고, 사례별 적용 가능 여부 판단

2. 개인정보 영향평가(PIA)의 실무 적용 (ISMS-P 인증기준 2.8.6)
- 대규模 AI 개발 프로젝트는 개인정보 영향평가 대상에 해당할 가능성이 높으며, 평가 결과를 개보위에 제출해야 함
- 평가 항목: 처리 목적의 명확성, 개인정보 최소 수집 원칙 준수, 정보주체 권리 보장 방안, 안전성 확보조치, 위험도 분석 및 개선 계획
- 시험 포인트: PIA 대상 기준(5만 명 이상 민감정보 또는 100만 명 이상 고유식별정보 등), 평가 절차, 평가 기관 요건, 평가 결과 제출 시기 등을 숙지

---

[필자 소개]
백남정 박사는 ISMS-P 선임심사원(30회) 자격을 보유한 정보보호 및 개인정보보호 전문가로, 공학박사 학위를 취득하였으며 다수의 기업 및 공공기관 인증심사·컨설팅 경험을 보유하고 있습니다.