왜 AI 기본법과 별개로 봐야 하나
AI 기본법이 “AI 자체”를 규율한다면, 개인정보보호법은 “AI가 다루는 데이터”를 규율한다. 실무에서는 이 둘이 겹치는 지점(학습데이터 수집, 챗봇 대화 로그, 자동화된 의사결정)에서 사고가 난다. 면접관이 보안팀 지원자에게 이 조합을 묻는 이유이기도 하다.
2026년 최신 흐름
- 개인정보 처리방침 작성지침 개정(2026.4): 생성형 AI 서비스에 관한 별도 부록이 신설됐다. 생성형 AI를 운영한다면 처리방침에 이 부록 내용을 반영해야 한다.
- 온디바이스(On-device) 처리 기준 명확화: 기기 내부에서만 처리되고 서버로 전송되지 않는 AI 기능에 대한 개인정보 처리 기준이 별도로 정리됐다 — 클라우드 처리와 다르게 취급될 여지가 생긴 것.
- 생성형 AI 이용자를 위한 개인정보 보호 가이드(2026.5 발간): 이용자가 생성형 AI에 개인정보를 입력할 때 어떤 점을 유의해야 하는지, 사업자는 무엇을 안내해야 하는지 실제 민원·상담 사례 기반으로 정리됐다.
실무에서 자주 걸리는 지점
| 이슈 | 설명 |
|---|---|
| 학습데이터 수집의 적법성 | 웹 크롤링으로 수집한 데이터에 개인정보가 섞여 있을 때 수집 근거(동의/공개된 정보 등)가 있는가 |
| 대화 로그 보관 | 챗봇 대화 내용이 그 자체로 개인정보(민감정보 포함 가능)인데, 얼마나 보관하고 누가 접근하는가 |
| 자동화된 결정에 대한 권리 | 신용평가·채용 스크리닝처럼 사람 개입 없이 AI가 결론을 내리는 경우, 정보주체가 설명을 요구하거나 이의를 제기할 권리 — AI 기본법의 “설명 방안” 의무와 사실상 맞닿아 있음 |
| 가명처리 활용 | 학습 데이터를 가명처리해서 활용하면 정보주체 동의 없이도 통계·연구 목적 처리가 가능한 예외 규정 — 다만 재식별 위험 관리가 전제 |
| 국외 이전 | 해외 AI API를 쓰면 프롬프트에 포함된 개인정보가 국외로 이전되는 셈 — 국외 이전 요건(동의, 계약 등) 충족 여부 |
GDPR과의 비교 감각
| 구분 | 한국 개인정보보호법 | GDPR |
|---|---|---|
| 자동화된 결정 대응권 | 개별 규정으로 유사 권리 존재 | 제22조에 명시적 규정 |
| 국외 이전 | 별도 요건(동의/적정성/계약 등) | SCC, 적정성 결정 등 유사 체계 |
| 과징금 수준 | 상대적으로 낮음(다만 매출 연동 조항 강화 추세) | 전세계 매출 최대 4% |
보안팀이 챙길 실무 포인트
- 생성형 AI 도입 시 처리방침에 AI 관련 부록이 반영됐는지 법무팀과 확인
- 프롬프트/응답 로그에 대한 별도 보존기간·접근통제 정책 수립
- 온디바이스 vs 클라우드 처리 여부에 따라 데이터 흐름도(Data Flow Diagram)를 다르게 그려 리스크 평가
면접에서 나올 법한 질문
- 생성형 AI 챗봇의 대화 로그를 개인정보 관점에서 어떻게 관리할 것인가
- AI 기본법의 ‘설명 방안’ 의무와 개인정보보호법의 자동화된 결정 대응권은 어떻게 연결되는가
- 해외 AI API 사용 시 개인정보 국외 이전 이슈를 어떻게 검토할 것인가
Sources: