[개인정보보호위원회]안전한 인공지능 개발을 위한 개인정보 활용 특례 신설 「개인정보 보호법」 개정안 국회 본회의 통과

개인정보보호위원회는 인공지능 기술 개발을 위한 개인정보 활용 특례를 담은 「개인정보 보호법」 개정안이 2026년 8월 20일 국회 본회의를 통과했다고 밝혔습니다. 가명·익명정보만으로는 인공지능 개발이 곤란하고 공익적·사회적 필요성이 인정되는 경우에 한해, 강화된 안전조치와 개인정보보호위원회의 심의·의결을 전제로 적법하게 수집한 개인정보를 인공지능 기술 개발에 활용할 수 있는 법적 근거가 마련됩니다. 개정안은 국무회의 상정·의결을 거쳐 공포 후 6개월 뒤부터 시행됩니다.

현행 「개인정보 보호법」상 적법하게 수집한 개인정보를 당초 수집 목적과 다른 목적으로 이용하려면 정보주체의 별도 동의를 받거나 법률상 근거가 있어야 하며, 그렇지 않으면 가명·익명정보 형태로만 활용할 수 있어 인공지능 개발 과정에서 어려움이 있었습니다. 기존에는 보이스피싱 예방, 자율주행로봇 개발 등 일부 혁신 서비스에 한해 규제샌드박스 제도를 통해 예외를 인정해 왔으나, 규제샌드박스는 기본 2년·최대 4년의 한시적 제도라는 한계가 있었습니다. 또한 산업진흥을 위한 개별 법률상 규제 특례만으로는 개인정보 보호에 충분한 안전장치를 담보하기 어렵다는 점에서, 개인정보 보호를 총괄하는 전문 감독체계에 기반한 별도의 법적 근거가 필요하다는 지적이 있었습니다.

이번 개정안은 기존 개인정보 처리 근거와는 별도로, 다음 세 가지 요건을 모두 충족하는 경우에 한해 인공지능 기술 개발에 개인정보를 활용할 수 있는 특례를 신설합니다. 첫째, 가명정보나 익명정보만으로는 인공지능 개발이 곤란한 경우여야 합니다. 둘째, 공익적·사회적 필요성이 인정되어야 합니다. 셋째, 강화된 안전조치를 갖추고 개인정보보호위원회의 심의·의결을 거쳐야 합니다. 안전장치로서, 민감정보나 고유식별정보를 처리하는 등 정보주체의 권리 또는 이익에 미치는 영향과 위험이 큰 경우에는 사전에 위험요인을 평가하고 개선방안을 마련해야 합니다. 특례를 이용하는 기업·기관은 그 주요 내용을 개인정보 처리방침을 통해 공개해야 하며, 개인정보보호위원회도 인공지능 특례 운영 현황을 홈페이지에 공개하도록 했습니다. 아울러 개인정보보호위원회의 심의·의결을 거친 특례와 실질적으로 동일하거나 유사한 내용의 인공지능 기술·서비스에 대해서는 심의 절차를 간소화하여 신속한 사업 추진이 가능하도록 할 예정입니다.

이번 개정안 통과로 인공지능 기업과 연구기관은 가명·익명 처리 없이도 원본 개인정보를 인공지능 학습데이터로 활용할 수 있는 법적 통로가 처음으로 열립니다. 특히 의료·금융·교통 등 고품질 실데이터가 필수적인 분야에서 인공지능 모델 개발 역량이 크게 확대될 것으로 예상됩니다. 기업 입장에서는 특례 적용을 받으려면 개인정보보호위원회의 심의·의결이라는 사전 승인 절차를 반드시 거쳐야 합니다. 민감정보·고유식별정보를 처리하는 경우에는 사전 위험평가와 개선방안 마련 의무도 추가됩니다. 개인정보 처리방침 공개 의무도 새로 부과되므로, 특례를 활용하려는 기업은 내부 거버넌스와 문서화 체계를 미리 정비해 두어야 합니다. 한편 개인정보보호위원회가 이미 심의·의결한 특례와 실질적으로 동일하거나 유사한 사업에 대해서는 간소화된 절차가 적용될 예정이어서, 선행 사례를 참고한 후속 사업자는 심사 부담이 줄어들 수 있습니다. 개정안은 공포 후 6개월 뒤 시행되며, 개인정보보호위원회는 그 전까지 하위법령과 특례 운영방안을 마련할 계획입니다. 인공지능 사업을 준비 중인 기업은 하위법령 제정 과정을 모니터링하면서 특례 신청 요건과 절차를 사전에 파악해 두는 것이 중요합니다.