AI 시대 개인정보 보호, 이용자 동의만으로는 한계

김도승 전북대 법학전문대학원 교수가 AI 시대 개인정보 보호를 정보주체의 동의에만 맡겨서는 안 된다고 강조했습니다. AI가 학습 데이터로 개인정보를 쓸 때는 범위를 미리 정하기 어렵고, 정보가 추론되거나 새로 생성되기도 합니다. 동의 중심에서 벗어나 국가와 기업의 책임 있는 역할이 필요하다는 것입니다.

핵심 내용

• 개인정보보호법은 동의 외에도 법률 규정, 공공기관 업무 수행, 계약 체결, 정당한 이익 등 7가지 처리 근거를 규정하고 있습니다. 하나의 서비스에도 여러 처리 근거가 필요해 동의만으로는 온전히 적법해지지 않습니다.
• AI 시대에는 과거처럼 사업자가 쓰임새를 알리고 동의를 받는 것만으로는 부족합니다. AI가 학습 데이터로 개인정보를 쓸 때는 범위를 미리 정하기 어렵고, 개인정보가 추론되거나 새로 생성되기도 합니다.
• 사전 설문에서 개인정보 활용 동의 내용을 다 읽고 결정한다는 응답이 51% 수준이었습니다. 김 교수 본인도 거의 읽어본 적이 없다고 밝혔습니다.
• 안전한 보관과 처리로 국민이 신뢰할 기반을 마련하는 것이 개인정보 활용의 전제입니다. 안전하게 처리하는 역량이 곧 기업의 경쟁력입니다.
• 동의를 받았는지, 그 동의가 실질적으로 보장되는지를 묻는 데서 벗어나야 합니다. 정보주체의 이익과 권한을 보호하기 위해 국가는 어떤 역할을 하고 기업은 어떤 책임을 지는지 물어야 합니다.

써먹을 수 있는 점

• 서비스 개발 시 동의 외에도 법률 근거, 계약 체결, 정당한 이익 등 다양한 처리 근거를 검토할 수 있습니다.
• AI 활용 시 개인정보의 범위를 미리 정하기 어렵다는 점을 고려해, 동의 획득 방식이나 정보 처리 정책을 설계해야 합니다.
• 동의 획득만이 아니라 안전한 보관과 처리 역량을 강화하는 것이 장기적인 경쟁력이 됩니다.
• 개인정보 활용 책임을 이용자에게 전가하지 않고, 기업이나 조직 차원의 책임 체계를 마련해야 합니다.

AI 서비스 개발하면서 개인정보 처리 어떻게 접근하고 계신가요?