2026년 8월 20일, 개인정보 보호법 개정안이 국회 본회의를 통과했습니다. 뉴스 제목은 대체로 “동의 없이 개인정보로 AI 학습 가능”이었고, 그 문장만 보면 내 사진과 글이 어느 날부터 아무 AI에나 들어가는 것처럼 읽힙니다. 실제 조문은 그보다 좁고, 조건이 붙어 있고, 시행도 반년 뒤입니다. 다만 시민단체가 “위헌적 개악”이라고 부를 만큼 논쟁적인 것도 사실입니다.
이 글은 개정안이 실제로 무엇을 허용하고 무엇을 요구하는지, 그래서 개인 입장에서 무엇이 달라지는지를 정리합니다. 챗봇에 입력한 내용이 학습에 쓰이는 경로와 끄는 방법은 개인정보 유출 경로 글에서 다뤘고, 이 글은 그 뒤에 있는 제도 이야기입니다.
목차
무엇이 바뀌었나 — ‘AI 학습 특례’의 신설
지금까지 원칙은 단순했습니다. 개인정보를 수집 목적 밖으로 쓰려면 동의를 받거나, 누구인지 알 수 없게 가명·익명 처리를 해야 했습니다. AI 학습도 마찬가지여서, 기업은 가명 처리된 데이터로 학습하거나 동의를 받아야 했습니다.
개정안은 여기에 예외를 하나 만듭니다. 다음 세 조건을 모두 갖추면 별도 동의 없이도 적법하게 수집한 원본 개인정보를 AI 기술 개발에 쓸 수 있습니다.
| 조건 | 뜻 |
|---|---|
| 가명·익명 정보만으로는 개발이 곤란할 것 | 가명 처리하면 성능이 안 나오는 경우에만 |
| 공익적·사회적 필요성이 인정될 것 | 어떤 AI든 되는 게 아님 |
| 강화된 안전조치를 마련할 것 | 접근 통제·암호화 등 평소보다 높은 수준 |
그리고 이 세 조건을 갖췄는지를 기업이 스스로 판단하는 게 아니라 개인정보보호위원회가 심의·의결합니다. 즉 “동의 없이”의 정확한 뜻은 “정보주체의 동의 대신 개인정보위의 승인”입니다. 이미 승인된 것과 실질적으로 같은 AI 기술·서비스는 심의를 간소화할 수 있습니다.
승인받은 기업이 지켜야 하는 것
- 사전 위험 평가. 민감정보(건강·사상 등)나 고유식별정보(주민번호 등)처럼 위험이 큰 정보를 쓰려면 미리 위험요인을 평가하고 개선 방안을 마련해야 합니다.
- 처리방침 공개. 특례를 쓰는 기업·기관은 개인정보 처리방침에 그 주요 내용을 적어 공개해야 합니다.
- 운영 현황 공개. 개인정보위도 특례 운영 현황을 홈페이지에 공개합니다.
그래서 개인이 확인할 수 있는 창구가 두 곳 생깁니다. 내가 쓰는 서비스의 개인정보 처리방침, 그리고 개인정보위 홈페이지의 특례 운영 현황입니다. 어느 회사가 어떤 데이터를 어떤 AI에 썼는지는 이 두 곳에 나타나야 합니다.
언제부터인가
본회의 통과가 곧 시행은 아닙니다. 국무회의 의결과 공포를 거쳐 공포일로부터 6개월 뒤에 시행됩니다. 2027년 초로 예상되며, 그 사이에 개인정보위가 하위 법령과 특례 운영 방안을 만듭니다. 세 조건을 실제로 어떻게 심사할지, “공익적·사회적 필요성”의 기준이 무엇인지는 이 하위 법령에서 정해지므로, 지금 시점에서 “무엇이 허용된다”를 단정하기는 이릅니다.
| 시점 | 내용 |
|---|---|
| 2026년 8월 20일 | 국회 본회의 통과 |
| 이후 | 국무회의 의결 → 공포 |
| 공포 후 6개월 | 시행(2027년 초 예상) |
| 시행 전까지 | 하위 법령·특례 운영 방안 마련 |
왜 논쟁인가 — 찬반의 실제 논점
정부와 업계의 논리는 데이터 품질입니다. 가명 처리를 거치면 얼굴·음성·문맥 같은 정보가 깎여 나가 고품질 AI를 만들기 어렵고, 그 결과 국내 AI가 해외 모델에 뒤처진다는 것입니다. 이미 개인정보위 심의를 거친 유사 사례는 간소화한다는 조항도 “속도”를 위한 장치입니다.
시민단체의 반론은 세 갈래입니다.
- 자기결정권. 헌법이 보장하는 개인정보 자기결정권의 핵심은 “내 정보를 누가 어디에 쓸지 내가 정한다”인데, 그 자리를 위원회 승인이 대신하는 건 원칙의 후퇴라는 지적입니다.
- 요건의 포괄성. “공익적·사회적 필요성”은 해석에 따라 거의 모든 AI 개발에 붙일 수 있는 말이라, 예외가 원칙을 삼킬 수 있다는 우려입니다.
- 되돌릴 수 없는 정보. 얼굴·음성·지문 같은 생체정보는 비밀번호처럼 바꿀 수 없어서, 한 번 학습에 들어가면 피해가 영속된다는 점입니다. 정보주체가 사전·사후 고지를 못 받는 구조라는 비판도 여기에 붙습니다.
양쪽 다 근거가 있고, 실제 결과는 하위 법령이 세 조건을 얼마나 엄격하게 정하느냐에 달려 있습니다.
개인 입장에서 달라지는 것과 안 달라지는 것
| 안 달라지는 것 | 달라지는 것 |
|---|---|
| 챗봇 대화의 학습 활용 여부는 여전히 서비스 설정에서 끌 수 있음 | 일부 기업이 위원회 승인을 받아 원본 개인정보를 학습에 쓸 수 있게 됨 |
| 동의 없이 수집된 정보는 특례 대상이 아님(적법 수집이 전제) | 그 사실이 처리방침과 개인정보위 홈페이지에 공개됨 |
| 가명·익명 처리로 되는 경우엔 특례를 못 씀 | 민감정보·생체정보는 사전 위험 평가가 붙음 |
지금 할 수 있는 일은 두 가지입니다. 쓰는 서비스의 학습 활용 설정을 확인해 두는 것, 그리고 시행 뒤 처리방침이 바뀌었는지 보는 것입니다. 처리방침에 “인공지능 개발 특례”에 해당하는 문구가 새로 들어오면 그 서비스가 승인을 받았다는 뜻입니다.
AI 기본법과는 다른 법입니다
2026년 1월 22일 시행된 AI 기본법은 AI 산업 진흥과 고영향 AI의 책임을 다루는 법이고, 개인정보 보호법 개정은 그 AI를 만들 때 쓰는 데이터의 규칙입니다. 8월 3일에는 AI 기본법 쪽에도 고영향 AI 기업의 학습 데이터 보호·보안 관리를 요구하는 개정안이 발의됐습니다. 두 법이 같은 시기에 움직이면서 “AI를 키우되 데이터 책임을 지운다”는 방향이 한 쌍으로 잡히고 있습니다. 소버린 AI 정책의 배경은 소버린 AI 글에서, AI로 만든 결과물의 권리는 저작권 글에서 이어집니다.
개정 법률의 원문과 하위 법령 입법예고는 개인정보보호위원회에서 확인할 수 있습니다.