AI 개인정보 특례법, 규제와 진흥은 어떻게 여기까지 왔나

AI 학습에 개인정보 활용 범위를 넓히는 특례 법안이 국회를 통과하면서, 개인정보 보호 체계가 걸어온 경로와 산업 진흥 요구가 다시 충돌 지점에 섰다. 이번 결정을 이해하려면 개인정보보호법의 개정 흐름과 그 사이 쌓여온 이해관계의 층위를 함께 봐야 한다.

한국의 개인정보보호법은 2011년 제정 이후 몇 차례 큰 개정을 거쳤다. 2020년 데이터 3법 개정은 가명정보 개념을 도입해 통계작성, 연구 목적으로 정보 주체 동의 없이도 개인정보를 활용할 수 있는 길을 열었다. 이는 금융, 의료, 통신 분야의 데이터 결합 수요에 대응한 조치였고, 당시에도 보호 수준 약화에 대한 우려와 산업 활성화 기대가 동시에 제기됐다.

이번 특례 법안은 그 연장선에 있다. 다만 대상이 가명정보 활용 일반이 아니라 AI 학습 및 서비스 개발이라는 특정 목적으로 좁혀져 있다는 점에서 이전 개정과는 결이 다르다. 생성형 AI가 대량의 데이터를 필요로 하면서, 기존 가명정보 처리 규정만으로는 산업계가 필요로 하는 데이터 확보 속도를 따라가기 어렵다는 문제 제기가 계속돼 왔다. 산업계는 해외 AI 기업과의 경쟁에서 데이터 접근성이 뒤처진다는 점을, 시민사회와 개인정보 전문가들은 동의 없는 활용 확대가 정보 주체의 통제권을 잠식할 수 있다는 점을 각각 강조해왔다.

국회 논의 과정에서도 이 긴장은 그대로 반영됐다. 개인정보보호위원회는 감독기구로서 활용 범위와 안전조치 수준을 정하는 역할을 맡아왔는데, 특례 법안이 이 위원회의 심의 권한을 어느 정도로 유지하느냐가 쟁점이 됐다. 유럽연합의 GDPR이 AI 학습 데이터 활용에 비교적 엄격한 기준을 적용해온 것과 달리, 한국은 산업 진흥 부처와 보호 감독기구 사이에서 균형점을 조정해온 역사를 갖고 있다. 이번 법안 역시 그 연장선에서 어떤 조건과 절차를 안전장치로 두었는지가 실질적 의미를 가른다.

주목할 부분은 이 법안이 개인정보 활용의 '범위 확대'와 '보호 장치 설계'를 동시에 다룬다는 점이다. 활용 범위가 넓어진다고 해서 보호 수준이 자동으로 낮아지는 것은 아니며, 반대로 보호 장치가 있다고 해서 실효성이 보장되는 것도 아니다. 과거 가명정보 제도 도입 이후에도 실제 활용 사례와 안전조치 이행 여부를 둘러싼 점검이 이어졌던 사례는, 법 통과 이후의 시행령과 하위 규정, 그리고 개인정보보호위원회의 실제 감독 방식이 이번 법안의 실질적 효과를 결정할 것임을 시사한다.

결국 이번 특례 법안은 개인정보 보호와 산업 진흥이라는 오래된 축을 AI라는 새로운 변수 위에 다시 세운 것에 가깝다. 그 축이 어느 쪽으로 기울지는 법 조문 자체보다, 시행 이후 마련될 세부 기준과 감독 체계의 작동 방식에 더 크게 좌우될 가능성이 크다.