AI 시대 개인정보 정의 재검토 필요...빅데이터·AI 추론으로 결합 가능성 확대

핵심 요약

- 2011년 제정된 개인정보보호법이 2026년 현재 AI 추론·빅데이터 분석 환경을 충분히 반영하지 못하고 있음 - 과거 결합 불가능했던 정보가 AI 기술로 개인 식별 가능해지면서 개인정보 정의 범위 확대 필요 - 위치정보, 행동 패턴 등 간접식별자의 결합을 통한 재식별 위험이 급증하며 기업의 개인정보 판단 기준 재정립 시급

주요 내용

데일리시큐가 2026년 8월 2일 보도한 'CISO의 현장 보안 인사이트' 시리즈에 따르면, 2011년 제정·시행된 개인정보보호법의 개인정보 정의가 현재의 기술 환경을 제대로 반영하지 못하고 있다는 분석이 제기됐다. 당시 법 제정 시점에는 공공과 민간에 흩어져 있던 개인정보 관련 규정을 통합하는 데 초점이 맞춰졌으나, 15년이 지난 지금 기술 환경은 완전히 달라졌다.

특히 과거에는 현실적으로 결합이 어렵던 정보들이 2026년 현재 빅데이터 분석, AI 추론, 위치정보 결합 기술을 통해 손쉽게 개인을 식별할 수 있게 됐다. 예를 들어 익명화된 이동 패턴 데이터와 공개된 SNS 정보, 상업지역 CCTV 데이터를 AI가 교차 분석하면 특정 개인을 90% 이상 확률로 재식별할 수 있다는 연구 결과들이 속속 발표되고 있다.

가명정보의 경우도 마찬가지다. 2020년 데이터 3법 개정으로 가명정보 활용이 확대됐지만, 생성형 AI와 대규모 언어모델(LLM)이 다양한 데이터셋을 학습하면서 가명처리된 정보에서도 원본 개인을 추론해내는 사례가 증가하고 있다. 특히 AI 모델이 학습 데이터에서 패턴을 발견해 직접 식별자 없이도 개인을 특정하는 '추론 공격(Inference Attack)' 위험성이 학계와 산업계에서 동시에 경고되고 있다.

이에 따라 개인정보의 정의를 '현재 시점에서 결합 가능한 정보'가 아닌 '합리적으로 예상 가능한 미래 기술로 결합될 수 있는 정보'로 확장해야 한다는 주장이 힘을 얻고 있다. 유럽연합의 GDPR이 이미 2018년부터 '합리적으로 이용 가능한 수단(reasonably likely means)'을 기준으로 개인정보를 판단하도록 규정한 것과 대조적이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 현장에서 가장 큰 혼란은 '어디까지가 개인정보인가'에 대한 판단 기준이 기업마다 다르다는 점이다. 2026년 현재 대부분의 기업이 여전히 2011년 법 제정 당시의 기술 수준을 기준으로 개인정보 여부를 판단하고 있어, AI 시대의 재식별 위험을 과소평가하는 경향이 있다. 특히 AI 개발 스타트업들이 '개인정보가 아니다'라고 판단해 수집·활용하는 데이터가 실제로는 AI 추론을 통해 충분히 개인식별이 가능한 경우가 많다.

실무적으로는 개인정보영향평가(PIA) 단계에서부터 AI 재식별 가능성을 반드시 검토해야 한다. 단순히 현재 보유한 데이터셋 내에서의 결합 가능성만 평가할 것이 아니라, 외부 공개 데이터나 상용 AI 모델과의 결합 시나리오까지 고려한 위험 평가가 필요하다. 또한 가명정보 처리 시에도 k-익명성, l-다양성 등 전통적 기법만으로는 부족하며, AI 추론 공격에 대한 차등 프라이버시(Differential Privacy) 적용을 검토해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보의 판단 기준 (개인정보보호법 제2조): 개인정보는 살아 있는 개인에 관한 정보로서 ①성명, 주민등록번호 등으로 개인을 알아볼 수 있는 정보 ②해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보를 포함한다. AI 시대에는 '쉽게 결합'의 기준이 기술 발전에 따라 지속적으로 확대되므로, 보수적 판단이 필요하다.

가명정보의 안전조치 (개인정보보호법 제28조의2~5): 가명정보는 추가 정보 사용 없이 특정 개인을 알아볼 수 없도록 처리된 정보이나, AI 추론 공격 등으로 재식별 위험이 상존한다. ISMS-P 심사 시 가명정보 처리 시스템은 ①추가정보의 분리 보관 ②결합 시 전문기관 활용 ③AI 기반 재식별 시도에 대한 모니터링 체계를 갖춰야 인정점수를 받을 수 있다.