AI기본법 시행 한 달, AI소비자권익보호법 제정 필요성 대두

핵심 요약

- 2026년 7월 1일 시행된 인공지능기본법은 기술 혁신에 초점을 맞춘 반면, 소비자 권익 보호 측면에서 공백 존재 - AI 서비스 확산에 따른 개인정보 침해, 알고리즘 편향, 자동화 의사결정 피해 등 소비자 보호 이슈 증가 - AI 특화 소비자권익보호법 제정을 통한 실질적 권리 구제 체계 마련이 시급한 상황

주요 내용

2026년 7월 1일부터 시행 중인 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(AI기본법)」이 시행 1개월을 맞이하면서, 소비자 보호 측면에서의 한계가 드러나고 있다. 이 법은 인공지능 기술의 혁신과 산업 육성에 주안점을 두고 있어, 실제 AI 서비스를 이용하는 소비자의 권익 보호에는 구체적인 규정이 부족하다는 지적이 제기되고 있다.

특히 생성형 AI 서비스의 급속한 확산과 함께 개인정보 무단 학습, 알고리즘 편향으로 인한 차별, 자동화된 의사결정에 따른 불이익 등 새로운 유형의 소비자 피해가 증가하고 있다. 현행 개인정보보호법이나 소비자기본법만으로는 AI 특유의 복잡성과 불투명성으로 인한 문제를 효과적으로 다루기 어렵다는 한계가 있다.

AI기본법은 기본법으로서의 성격상 원칙과 방향성을 제시하는 데 그치고 있으며, 구체적인 권리 구제 절차나 손해배상 기준, 사업자 의무 등을 명시하지 않고 있다. 이에 따라 AI 서비스 이용 과정에서 발생하는 개인정보 침해나 부당한 처우에 대해 소비자가 실질적으로 권리를 행사하기 어려운 구조적 문제가 존재한다.

전문가들은 AI 서비스의 특수성을 고려한 별도의 「AI소비자권익보호법」 제정이 필요하다고 강조하고 있다. 이 법에는 AI 시스템의 투명성 확보, 설명 요구권, 자동화 의사결정 거부권, AI 학습 데이터 삭제 요구권 등 AI 시대에 맞는 새로운 소비자 권리가 포함되어야 한다는 것이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, AI기본법 시행만으로는 AI 서비스 제공 기업의 개인정보 보호 책임을 구체화하기 어렵다. 특히 바이브 코딩(Vibe Coding) 방식으로 AI가 자동 생성한 코드에는 개인정보 처리 로직의 접근 통제 미비, SQL 인젝션 취약점, 암호화 미적용 등 보안 결함이 포함될 수 있다. AI 코드 생성 도구를 활용하는 기업은 ISMS-P 인증 기준에 따라 생성 코드에 대한 보안 검증 절차를 반드시 수립해야 한다.

AI소비자권익보호법 제정 시에는 AI 서비스 제공자의 개인정보 영향평가 의무, 알고리즘 설명 의무, 학습 데이터 출처 공개 의무 등을 명시해야 한다. 또한 AI 자동화 의사결정으로 인한 개인정보 침해 시 입증 책임을 사업자에게 전환하고, 징벌적 손해배상 제도를 도입하여 실질적인 소비자 보호가 가능하도록 해야 한다. 기업은 법 제정에 앞서 자체적으로 AI 윤리 가이드라인과 소비자 보호 정책을 마련하는 선제적 대응이 필요하다.

CPPG·ISMS-P 연계 포인트

1. 자동화된 개인정보 처리 및 프로파일링 규제
AI 기반 자동화 의사결정은 개인정보보호법상 정보주체의 권리를 침해할 수 있으며, ISMS-P 인증 시 자동화 처리에 대한 투명성 확보, 정보주체의 이의제기 절차, 사람의 개입 보장 등이 요구된다. AI 서비스는 프로파일링 수행 시 사전 고지 및 동의 절차를 준수해야 한다.

2. AI 학습 데이터의 개인정보 보호
AI 모델 학습에 사용되는 개인정보는 수집·이용·제공의 전 단계에서 개인정보보호법을 준수해야 하며, ISMS-P 통제 항목 중 개인정보 수집·이용·제공 관리, 개인정보 파기 등이 적용된다. 특히 학습 데이터 내 민감정보 포함 여부, 비식별 조치 적정성, 학습 후 원본 데이터 파기 여부 등이 심사 핵심 사항이다.