앤트로픽만 신고한 AI 국내대리인…개보법·AI기본법 이중 규제 사각지대

핵심 요약

- 2025년 10월 개정 개인정보보호법 시행 이후 해외 AI 기업 중 앤트로픽만 국내대리인 신고 완료 - 개인정보보호법상 국내대리인 제도와 AI기본법상 책임자 지정 제도는 별개이나 유사한 목적 구조 - 정부는 2026년 연내 해외 AI 기업과 회동을 추진하며 국내 법적 의무 이행 독려 예정

주요 내용

2025년 10월 시행된 개정 개인정보보호법은 해외 사업자의 국내 대리인 제도를 강화했으나, 2026년 8월 현재까지 주요 글로벌 AI 기업 중 앤트로픽만이 국내대리인을 신고한 것으로 확인됐다. OpenAI, Google, Meta 등 국내 이용자가 많은 주요 AI 서비스 제공 기업들은 아직 신고를 완료하지 않은 상태다.

개인정보보호법상 국내 대리인 제도는 국내 정보주체 수가 일정 규모 이상인 해외 사업자에게 국내 연락 창구를 두도록 의무화한 것이다. 한편 AI기본법에서도 유사하게 해외 AI 사업자의 책임자 지정 제도를 규정하고 있어, 두 법률이 별개의 제도임에도 해외 사업자 입장에서는 이중 규제로 인식될 수 있는 구조다. 두 제도 모두 국내 이용자 보호와 신속한 분쟁 해결을 위한 국내 연락 체계 확보라는 공통된 목적을 가지고 있다.

정부는 해외 AI 기업들의 낮은 이행률에 대응하기 위해 2026년 연내 주요 글로벌 AI 기업들과 회동을 추진할 계획이다. 이 자리에서 개인정보보호법과 AI기본법상 의무 사항을 설명하고, 자발적 이행을 독려할 방침이다. 특히 국내 이용자 규모가 큰 기업들을 우선 대상으로 하여 단계적으로 접촉 범위를 확대할 예정이다.

앤트로픽이 선제적으로 국내대리인을 신고한 것은 Claude AI 서비스의 국내 시장 진출 전략과 연계된 것으로 분석된다. 법적 의무 이행을 통해 국내 기업 및 공공기관 대상 B2B 시장 진출의 신뢰성을 확보하려는 전략으로 평가된다. 반면 다른 글로벌 기업들은 규제 불확실성, 법적 책임 범위에 대한 우려 등으로 신고를 유보하고 있는 것으로 보인다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 국내대리인 미지정 상태의 해외 AI 서비스를 활용하는 국내 기업은 개인정보 처리 위탁 관계 명확화에 각별히 유의해야 한다. 개인정보보호법 제26조(업무위탁에 따른 개인정보 처리 제한)에 따라 위탁계약서를 작성해야 하나, 국내대리인이 없는 해외 사업자와는 계약 체결 및 감독이 현실적으로 어려운 상황이다. 특히 ChatGPT, Gemini 등을 업무에 활용 중인 기업은 데이터 처리 위치, 재위탁 여부, 개인정보 국외이전 법적근거 등을 명확히 문서화하지 못할 경우 ISMS-P 심사 시 부적합 판정을 받을 수 있다.

AI기본법과 개인정보보호법의 이중 규제 구조는 기업 실무에 혼란을 야기할 수 있다. 두 법률의 적용 범위, 국내대리인과 책임자의 역할 차이, 각각의 신고·등록 절차가 상이하므로, 기업은 법무·개인정보보호 부서 간 협업을 통해 통합 대응 체계를 마련해야 한다. 특히 AI 서비스를 직접 개발·제공하는 기업이라면 두 법률 모두의 적용 대상이 될 수 있으므로, 법률 전문가와의 사전 검토를 통해 의무 이행 사항을 명확히 파악하는 것이 필요하다.

CPPG·ISMS-P 연계 포인트

개인정보 국외이전 시 고지·동의 (개인정보보호법 제39조의12)
해외 AI 서비스 이용 시 개인정보가 국외로 이전되는 경우, 이전되는 개인정보 항목, 이전 국가·일시·방법, 수탁자 정보, 연락처 등을 정보주체에게 고지하고 동의를 받아야 한다. 국내대리인이 지정되지 않은 경우 연락처 정보 제공 의무 이행이 불가능하므로, 기업은 대체 연락 수단을 명시하거나 서비스 이용을 재검토해야 한다.

위탁업체 관리·감독 의무 (ISMS-P 인증기준 2.6.2)
AI 서비스 제공자를 개인정보 처리 수탁자로 보는 경우, 연 1회 이상 위탁업체 관리·감독 활동을 수행하고 그 결과를 기록·보관해야 한다. 국내대리인 부재 시 감독 활동 수행이 제한되므로, 서비스 약관·개인정보 처리방침 검토, 데이터 처리 로그 확인 등 대체 수단을 마련하고 이를 문서화하여 심사 시 소명할 수 있어야 한다.