AI 개인정보 특례법, EU·기존 데이터3법과 무엇이 다른가

이번 특례법은 AI 학습 데이터 확보 경쟁에서 한국의 포지셔닝을 바꾸는 규제 변수다. 발전과 보호라는 익숙한 이분법보다, 비교 기준을 명확히 놓고 봐야 실질적 영향이 드러난다.

에너지 전환 투자를 볼 때도 규제 프레임워크의 '허용 범위'와 '집행 강도'를 분리해서 본다. 이번 AI 특례법도 같은 틀로 분석할 필요가 있다.

첫째, 활용 범위 기준으로 비교하면 이번 법안은 가명정보를 넘어 특정 조건 하 개인정보 자체의 AI 학습 활용까지 열어준다는 점에서 기존 데이터 3법(2020년 개정)보다 진전된 형태다. 데이터 3법은 가명처리를 전제로 한 통계·연구 목적 활용에 국한됐던 반면, 이번 개정은 AI 개발이라는 명시적 산업 목적을 별도 트랙으로 인정한다. 활용 가능한 데이터 풀의 크기가 달라진다는 의미다.

둘째, 집행 강도 측면에서는 EU AI Act 및 GDPR과 대비된다. EU는 고위험 AI 시스템에 대해 데이터 거버넌스 의무(품질, 편향 점검, 문서화)를 사전 규제로 못박고, 위반 시 매출액 기준 과징금을 부과한다. 반면 이번 국내 특례법은 활용 요건 완화가 먼저 확정됐고, 사후 감독·책임 체계는 상대적으로 후행 논의 중인 것으로 보인다. 즉 '허용은 넓히고 집행은 나중에 설계'하는 순서인데, 이는 산업 측에는 단기 우호적이나 신뢰 비용이라는 후행 리스크를 남긴다.

셋째, 산업 영향 기준으로 보면 데이터 확보 비용 구조가 바뀐다. 지금까지 국내 AI 기업은 데이터 라이선싱·합성데이터·해외 데이터셋 의존으로 학습 비용을 충당해왔다. 특례법이 실제 시행되면 국내 개인정보 기반 데이터 조달 비용이 낮아질 수 있다는 점에서, 이는 원자재 조달 비용 하락이 정유·화학 업종 마진에 미치는 효과와 유사한 구조다. 다만 이 효과가 실현되려면 시행령상 활용 가능 데이터의 구체적 범주와 동의 예외 요건이 확정돼야 하며, 현재까지 공개된 내용만으로는 이를 수치화하기 어렵다.

넷째, 소비자·정보주체 입장에서 비교하면 EU 모델은 '옵트인 원칙 + 예외적 완화'인 반면 이번 특례법은 '산업 목적 예외 신설 + 사후 통제'에 가깝다는 점에서 정보주체의 사전 통제권이 상대적으로 약화되는 구조다. 이 부분이 시민단체·학계에서 제기하는 우려의 핵심이며, 향후 시행 과정에서 손해배상·감독기구 실효성이 관건이 될 것으로 보인다.

결론적으로 이번 법안을 평가할 때는 '허용 범위 확대'라는 헤드라인보다 시행령에 담길 구체적 활용 조건, 동의 예외 요건, 사후 감독 체계 세 가지를 기준으로 후속 자료를 확인하는 것이 실용적이다. 이 세 변수가 확정돼야 AI 기업의 실제 데이터 조달 비용 변화와 정보주체 리스크 수준을 구체적으로 가늠할 수 있다.