쏘카·에이펙스모빌리티, 하루 110만km 주행데이터 AI 학습용 B2B 사업화…익명화 처리 쟁점은

핵심 요약

- 쏘카·에이펙스모빌리티가 2026년 8월 하루 110만km 규모의 주행 데이터를 AI 학습용으로 B2B 사업화 - 수집된 데이터는 익명화 과정을 거쳐 특정 시나리오별 태깅·패키징 후 자율주행 AI 모델 학습에 활용 - 위치정보·이동경로가 포함된 주행 데이터의 적법한 익명화 처리와 재식별 방지가 핵심 개인정보보호 과제

주요 내용

쏘카와 에이펙스모빌리티가 2026년 8월 인공지능 모델 학습을 위한 B2B 데이터 사업을 공식 출범했다. 양사는 카셰어링 및 모빌리티 서비스 운영 과정에서 수집되는 하루 평균 110만km 규모의 주행 데이터를 자율주행 기술 개발 기업에 제공하는 사업 모델을 구축했다. 이는 국내 모빌리티 기업이 보유한 대규모 실주행 데이터를 AI 산업 생태계에 공급하는 첫 본격 사례로 평가된다.

사업 구조는 차량 센서와 텔레매틱스 장비를 통해 수집된 주행 데이터를 개인정보 보호를 위해 익명화 처리한 후, 자율주행 시나리오별로 태깅(tagging)과 패키징(packaging) 작업을 거쳐 B2B 고객사에 제공하는 방식이다. 특히 도심 주행, 주차 상황, 돌발 상황 대응 등 실제 도로 환경에서 발생하는 다양한 시나리오 데이터가 포함돼 자율주행 AI 모델의 학습 정확도를 높일 수 있다는 것이 업계의 평가다.

그러나 주행 데이터에는 출발지·목적지·이동경로·시간대 등 위치정보가 필수적으로 포함되며, 이는 개인의 생활 패턴과 직결되는 민감한 정보다. 개인정보 보호법 제58조의2(가명정보의 처리 등)와 위치정보의 보호 및 이용 등에 관한 법률에 따라 적법한 익명화·가명화 처리가 필수적이며, 특히 k-익명성, l-다양성 등 재식별 방지 기술 적용 여부가 쟁점이 될 전망이다.

데이터 제공 과정에서 개인정보 보호위원회의 '익명정보 처리 가이드라인(2023)'과 '가명정보 처리 가이드라인'을 준수했는지, 제3자 제공 전 적절한 익명화 수준 평가를 수행했는지가 법적 리스크 관리의 핵심이다. 2026년 8월 현재 AI기본법 시행을 앞두고 AI 학습용 데이터의 개인정보보호 요구사항이 강화되는 추세여서, 데이터 판매 사업자의 책임 범위도 확대될 것으로 예상된다.

전문가 시각

ISMS-P 선임심사원 관점에서 본 사업 모델의 핵심 쟁점은 '적법한 익명화 처리 입증'과 '재식별 위험 통제'다. 주행 데이터는 시공간 정보의 조합으로 구성되어 단순 식별자 삭제만으로는 익명화가 불충분하다. 출퇴근 경로, 자주 방문하는 장소, 주말 이동 패턴 등이 결합되면 개인 재식별 가능성이 높아진다. 따라서 공간적 일반화(spatial generalization), 시간적 집계(temporal aggregation), 궤적 데이터 섭동(trajectory perturbation) 등 고도화된 익명화 기법 적용이 필수적이며, 제3자 재식별 시도에 대한 저항성(resistance to re-identification) 평가를 수행해야 한다.

실무적으로는 데이터 제공 계약 시 수령 기업의 데이터 처리 목적 제한, 재배포 금지, 보안 조치 의무화 등을 명시하고, 정기적인 이행 점검 체계를 구축해야 한다. 또한 익명화 처리 과정과 결과에 대한 문서화(anonymization documentation)를 철저히 하여 규제 대응 근거를 확보하는 것이 중요하다. AI기본법 시행 이후에는 AI 학습 데이터 제공자의 책임이 강화될 것으로 예상되므로, 데이터 품질뿐 아니라 개인정보보호 적법성을 사전 검증하는 프로세스가 경쟁력 요소가 될 것이다.

CPPG·ISMS-P 연계 포인트

익명정보와 가명정보의 구분: 개인정보 보호법 제58조의2는 가명정보(추가 정보 없이 특정 개인 식별 불가)와 익명정보(재식별 불가능)를 구분한다. 주행 데이터를 제3자에게 판매하려면 '익명정보' 수준으로 처리해야 하며, k-익명성(동일 속성 조합을 가진 개체가 k개 이상), l-다양성(민감 속성의 다양성 보장) 등 기술적 기준 충족이 필요하다. ISMS-P 인증 심사 시 익명화 방법론, 재식별 위험 평가 결과, 전문가 검토 의견서 등이 점검 대상이다.

위치정보의 특수성: 위치정보법 제15조는 개인위치정보사업자의 제3자 제공 시 사전 동의를 요구하지만, 적법하게 익명화된 정보는 위치정보에서 제외된다(동법 제2조). 주행 데이터의 공간 해상도를 낮추거나(예: GPS 좌표를 행정구역 단위로 일반화), 시간 정밀도를 줄이는(분 단위→시간 단위) 등의 기법이 필요하다. ISMS-P 통제항목 2.8.3(개인정보 제공 및 위탁 관리)에서는 제3자 제공 시 적법성 검토 절차와 기록 관리를 요구하므로, 익명화 처리 로그와 품질 검증 기록을 체계적으로 관리해야 한다.