개보위, '2026 개인정보 미래포럼' 제3차 전체회의 개최...AI·데이터 규제 혁신 논의

핵심 요약

- 개인정보보호위원회가 2026년 7월 23일 '2026 개인정보 미래포럼' 제3차 전체회의를 개최하여 AI 시대 개인정보 보호 정책 방향을 논의 - 민관 전문가 30여 명이 참여해 생성형 AI, 데이터 활용 촉진, 글로벌 규제 정합성 등 핵심 의제를 집중 검토 - 2026년 하반기 개인정보보호법 개정안 마련을 위한 중간 점검 및 실무 TF 운영 방안 확정

주요 내용

개인정보보호위원회(위원장 고학수)는 2026년 7월 23일 오후 4시 서울 종로구 개보위 대회의실에서 '2026 개인정보 미래포럼' 제3차 전체회의를 개최했다. 이번 회의는 올해 3월 출범한 미래포럼의 세 번째 전체회의로, 상반기 분과별 논의 성과를 종합하고 하반기 정책 추진 방향을 설정하는 중간 점검의 자리로 마련됐다.

미래포럼은 AI·빅데이터 기술 발전에 따른 개인정보 보호 패러다임 전환을 선제적으로 대응하기 위해 학계, 산업계, 시민단체, 법조계 전문가 30여 명으로 구성된 민관 협의체다. ①생성형 AI 분과 ②데이터 활용 촉진 분과 ③글로벌 정합성 분과 등 3개 분과로 운영되며, 각 분과는 지난 4개월간 총 12회의 집중 회의를 통해 현장 의견을 수렴하고 제도 개선 방안을 도출해왔다.

이번 전체회의에서는 생성형 AI 학습 데이터의 개인정보 해당성 판단 기준, 가명정보 결합 절차 간소화 방안, EU AI Act 및 미국 주(州)별 프라이버시법과의 정합성 확보 전략 등이 핵심 안건으로 다뤄졌다. 특히 ChatGPT, Claude 등 초거대 AI 모델 학습 과정에서 발생하는 개인정보 수집·이용 이슈에 대해 '목적 구속 원칙' 재해석 필요성이 제기됐으며, 합성데이터(Synthetic Data) 생성 시 원본 개인정보 보호 기준 마련이 시급하다는 데 의견이 모아졌다.

고학수 위원장은 "AI 혁신과 개인정보 보호가 상충하지 않고 조화를 이루는 규제 체계를 만들기 위해서는 현장 전문가들의 목소리가 반드시 반영돼야 한다"며 "미래포럼 논의 결과를 바탕으로 2026년 하반기 중 개인정보보호법 개정안을 국회에 제출할 계획"이라고 밝혔다. 개보위는 9월까지 분과별 최종 권고안을 확정하고, 10월 중 공청회를 거쳐 11월 법제처 심사를 거칠 예정이다.

전문가 시각

ISMS-P 심사 현장에서 가장 빈번하게 발견되는 문제 중 하나가 '새로운 기술 도입 시 개인정보 영향평가(PIA) 미실시' 사례다. 특히 2025년 이후 생성형 AI 챗봇, AI 기반 고객 분석 도구를 도입한 기업들이 급증했으나, 이들 중 70% 이상이 개인정보보호법 제33조(개인정보 영향평가) 의무를 이행하지 않았다. 미래포럼에서 논의되는 '생성형 AI 학습 데이터 처리 기준'은 단순한 가이드라인이 아니라, 향후 ISMS-P 인증심사 시 필수 점검 항목으로 자리 잡을 것이다.

기업 입장에서는 법 개정을 기다리기보다 현행 법체계 내에서도 선제적 대응이 가능하다. 가명정보 처리 시 제28조의2(가명정보의 처리 등) 요건 충족 여부를 기술적으로 입증할 수 있는 내부 절차 문서화, AI 모델 학습 과정의 데이터 계보(Data Lineage) 관리, 합성데이터 생성 알고리즘의 역식별 가능성 평가 체계 구축 등이 즉시 착수 가능한 실무 과제다. 특히 ISO/IEC 27701(PIMS) 국제표준과 ISMS-P 인증기준을 동시에 충족하는 통합 관리체계를 구축한다면, 글로벌 진출 시에도 규제 대응 비용을 최소화할 수 있다.

ISMS-P 심사원 체크포인트

1. 개인정보 영향평가(PIA) 실시 여부 (ISMS-P 2.8.1) - 생성형 AI 도구 도입 시 개인정보보호법 제33조 및 시행령 제35조에 따른 영향평가 수행 여부 확인 - 특히 "5만 명 이상의 정보주체에 관한 민감정보·고유식별정보 처리" 또는 "대통령령으로 정하는 기준에 해당하는 개인정보파일 운용" 시 필수 - 심사 시 점검사항: 영향평가 보고서 보유 여부, 개보위 등록 여부, 평가 결과 반영된 보호조치 이행 증적

2. 가명정보 처리 적법성 (ISMS-P 2.7.3) - 개인정보보호법 제28조의2 요건 충족 여부: ①통계작성 ②과학적 연구 ③공익적 기록보존 목적 한정 - AI 학습용 데이터셋 구축 시 가명처리 적정성 평가 수행 여부(시행령 제29조의3) - 심사 시 점검사항: 가명처리 방법 문서화, 원본 데이터 분리 보관, 재식별 금지 조치, 결합 시 전문기관 활용 증적

3. 개인정보 처리방침 고지 적정성 (ISMS-P 2.3.1) - 개인정보보호법 제30조에 따른 처리방침 내 'AI 활용 목적·항목·보유기간' 명시 여부 - 생성형 AI 서비스 제공 시 정보주체 권리 고지(열람·정정·삭제 요구 절차) 이행 여부 - 심사 시 점검사항: 홈페이지 게시 처리방침 최신성, AI 학습 데이터 출처 투명성, 제3자 제공(OpenAI 등) 고지 여부

위반 조항

본 보도자료는 정책 논의 단계로 직접적인 법 위반 사례를 다루지 않으나, 미래포럼에서 검토 중인 주요 위반 유형은 다음과 같다:

개인정보보호법 제15조(개인정보의 수집·이용) 위반 - AI 학습 목적으로 개인정보 수집 시 정보주체 동의 없이 당초 수집 목적 외 이용(제1항 위반) - 위반 시 5년 이하 징역 또는 5천만 원 이하 벌금(제71조 제1호)

개인정보보호법 제28조의2(가명정보의 처리) 위반 - 가명정보를 특정 개인을 알아보기 위한 목적으로 처리하거나, 다른 정보와 결합하여 재식별(제3항 위반) - 위반 시 5년 이하 징역 또는 5천만 원 이하 벌금(제71조 제2호의2)

개인정보보호법 제33조(개인정보 영향평가) 위반 - 대규모 개인정보파일 운용 시 영향평가 미실시 또는 형식적 실시 - 위반 시 3천만 원 이하 과태료(제75조 제2항 제6호)

CPPG·ISMS-P 연계 포인트

1. 가명정보와 익명정보의 구별 (CPPG 핵심 개념) - 가명정보(Pseudonymized Data): 추가 정보 없이는 특정 개인을 알아볼 수 없으나, 추가 정보를 결합하면 재식별 가능한 정보 (법 제2조 제1호의2) - 익명정보(Anonymized Data): 더 이상 개인을 식별할 수 없어 개인정보보호법 적용 제외 - AI 학습 데이터 구축 시 가명처리만으로는 법적 의무(목적 제한, 안전조치 등)가 면제되지 않으며, 완전한 익명화 입증 책임은 처리자에게 있음을 유의해야 한다.

2. 개인정보 영향평가(PIA) 실시 대상 (ISMS-P 필수 이해) - 법 제33조 및 시행령 제35조: ①구축·운용 또는 변경 시 5만 명 이상 민감정보·고유식별정보 처리 ②영상정보처리기기 100대 이상 운영(공공기관) ③100만 명 이상 개인정보 처리 시스템 구축·변경 - 생성형 AI 챗봇 도입은 대부분 "개인정보 처리시스템의 중대한 변경"에 해당하므로, 기존 영향평가 대상 기업은 변경 영향평가를 반드시 실시해야 하며, 이를 누락할 경우 ISMS-P 인증 취득·갱신 시 부적합 판정 사유가 된다.