생성형 AI 개인정보 처리 실무 — 개인정보위 안내서로 읽는 적법근거
· AI & 바이브코딩
💡 3줄 요약
- 개인정보보호위원회는 2025년 8월 6일 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」를 공개했고, 2026년 9월 현재 이것이 현행 안내서다.
- 안내서는 학습 데이터의 적법근거를 출처별로 가른다. 공개된 개인정보는 개인정보 보호법 제15조제1항제6호 정당한 이익, 이용자 개인정보는 목적 범위·추가적 이용·가명처리·별도 근거 네 갈래다.
- 실제 의결에서 갈린 지점은 "합리적 관련성"과 "예측 가능성"이었다. 2021년 사건은 목적 외 이용으로, 2025년 사건은 추가적 이용으로 판단이 갈렸다.
■ 1. 무엇을 근거로 삼아야 하는가
생성형 AI 서비스를 만들거나 도입할 때 개인정보 처리의 기준을 어디서 찾아야 하는지부터 정리한다. 한국에서 이 영역의 1차 규범 문서는 개인정보보호위원회가 낸 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」다.
| 항목 | 내용 |
|---|---|
| 발간 주체 | 개인정보보호위원회 |
| 표지 발간 표기 | 2025년 8월 |
| 공개 | 2025년 8월 6일, 「생성형 인공지능과 프라이버시」 오픈 세미나 |
| 확정 절차 | AI 프라이버시 민·관 정책협의회(2025.7.8.) 및 제16회 전체회의(2025.7.23.) |
| 분량 | 본문 44면 |
| 현행 여부 | 개인정보위 안내서 게시판에 "현재 안내서"로 표기 |
https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11410
안내서 본문은 스스로의 성격을 이렇게 밝힌다. "본 안내서는 이러한 정책적 경험을 종합하여, 생성형 AI 수명주기(lifecycle) 각 단계에서 고려해야 할 개인정보 처리 및 보호 이슈를 체계화하고, 그에 따른 법적 기준 및 안전조치 등을 제시하였습니다."
■ 2. 안내서가 나눈 단계
안내서 제3장의 목차는 다음과 같다. 표현은 안내서 원문 그대로다.
| 순번 | 단계 | 핵심 고려사항 |
|---|---|---|
| 1 | 목적 설정 | 처리 목적의 구체화, 수집 출처별 적법근거 확보 |
| 2 | 전략 수립 | 개인정보 안심설계 접근, 개인정보 영향평가, LLM 활용 방식별 유의사항 |
| 3 | AI 학습 및 개발 | 데이터 오염 방지를 위한 출처 검증·전처리, 가명·익명처리, 접근권한 통제, 입출력 필터링 |
| 4 | 시스템 적용 및 관리 | 배포 전 테스트와 문서화, 허용되는 이용방침(AUP) 작성·공개, 침해 신고 기능과 권리 보장 |
| — | AI 프라이버시 거버넌스 구축 | 개인정보 보호책임자(CPO) 중심 내부 관리체계, 유관 부서 협력, 초기부터의 참여 |
■ 유의사항 — 4단계인가 5단계인가
보도자료는 생애주기를 4단계로 분류한다고 기술한다. 거버넌스 구축은 별도의 다섯 번째 단계가 아니라 1단계부터 4단계까지 전 과정을 감싸는 요소다. 안내서 각주도 "거버넌스 구축은 목적 설정부터 시스템 적용 및 관리까지 전 단계에 걸쳐 이루어지는 것이 바람직함"이라고 적고 있다.
■ 3. 공개된 개인정보를 학습에 쓸 때
인터넷에 공개된 데이터를 수집해 학습에 쓰는 경우가 실무에서 가장 흔하고 동시에 가장 다투기 쉽다. 안내서의 입장은 분명하다. 실질적으로 쓸 수 있는 적법근거는 정당한 이익 조항, 곧 개인정보 보호법 제15조제1항제6호다.
안내서 원문은 이렇게 적는다. "이 경우 실질적으로 고려할 수 있는 적법근거로는 정당한 이익 조항(法 제15조제1항제6호)이 있으며, 이를 충족하기 위해서는 목적의 정당성, 공개된 개인정보 처리의 필요성, 이익형량의 3가지 기준을 검토해야 합니다."
세 요건을 실무 언어로 옮기면 다음과 같다.
1) 목적의 정당성 — 처리자에게 정당한 이익이 존재해야 한다. 영업상 이익만이 아니라 사회적 이익까지 포괄한다. 다만 생성형 AI는 처리 목적을 특정하기 어려우므로, 개발하려는 AI의 유형·기능·성능을 놓고 정당한 이익을 명확히 해 두어야 한다.
2) 처리의 필요성 — 공개된 개인정보를 처리할 필요성과 함께 상당성·합리성이 인정되어야 한다. 안내서가 든 예가 이해를 돕는다. 의료진단 보조 AI를 개발하면서 개인의 소득·재산처럼 목적과 무관한 정보까지 학습에 넣는 것은 이 요건을 충족하기 어렵다.
3) 이익형량 — 처리자의 정당한 이익이 정보주체의 권리보다 "명백하게" 우선해야 한다. 명백성을 충족하려면 권익 침해를 막을 안전성 확보조치와 권리 보장 방안을 함께 갖추어야 한다.
이 3요건은 안내서가 새로 만든 것이 아니라 앞선 「AI 개발·서비스를 위한 공개된 개인정보 처리 안내서」(2024년 7월)에서 구체화된 것을 이어받은 것이다.
■ 4. 이용자 개인정보를 쓸 때 — 네 갈래
이미 보유한 이용자 데이터를 AI 학습에 쓰는 경우는 목적과의 거리에 따라 판단이 갈린다.
| 유형 | 적법근거 | 판단 기준 |
|---|---|---|
| 수집 목적 내 서비스 개선·고도화 | 동의 / 계약 이행 / 정당한 이익 | 동의를 받는다면 법정 고지사항에 AI 학습 목적을 명확히 기재. 계약을 근거로 한다면 서비스에 AI 기능이 포함되고 이용자가 예측 가능해야 함 |
| 수집 목적과 합리적 관련성이 있는 이용 | 추가적 이용, 법 제15조제3항 및 시행령 제14조의2제2항 | 합리적 관련성, 정보주체의 예측 가능성, 이익의 부당한 침해 가능성, 가명처리·암호화 등 안전조치를 종합 고려. 지속적으로 발생한다면 판단 기준을 처리방침에 공개하고 CPO가 점검 |
| 당초 목적과 별개인 신규 서비스 개발 | 가명·익명처리(법 제28조의2, 제58조의2) 또는 새로운 적법근거(법 제18조제2항) | 둘 중 어느 것도 없이 수집 범위를 넘겨 쓰면 목적 외 이용에 해당. 혁신성·공익성이 있으면 규제샌드박스를 통해 강화된 안전조치를 전제로 근거 확보 가능 |
| 민감정보·고유식별정보·개인영상정보 | 별도 동의 또는 법적 근거 | 음성정보는 민감정보 처리(법 제23조제1항제1호)로 다룬다 |
실무에서 두 번째 줄과 세 번째 줄의 경계가 곧 위험선이다. "합리적 관련성"과 "예측 가능성"을 문서로 설명할 수 없다면 세 번째 줄로 내려가서 가명처리를 하거나 별도 근거를 마련해야 한다.
■ 5. 실제 의결이 보여준 경계선
안내서는 익명 처리된 의결 사례를 본문에 싣고 있다. 판단이 갈린 지점을 그대로 옮긴다.
- 제2025-011-031호 — LLM 성능 개선을 위해 이용자 프롬프트 입력 내용을 학습 데이터로 수집·이용한 사안. 학습의 필요성, 예측 가능성 및 옵트아웃 고지, 통계 모형에 미치는 영향, 식별정보 필터링을 고려해 법 제15조제3항의 추가적 이용으로 가능하다고 판단했다.
- 제2025-015-231~2호 — 이용자 통화내역 데이터로 보이스피싱 의심번호 데이터베이스를 구축한 사안. 추가적 이용을 근거로 가능하다고 보았다.
- 제2021-007-072호 — 서비스 품질 개선 목적으로 수집한 이용자 대화 데이터를, 합리적 관련성이 없는 신규 AI 챗봇 개발에 안전조치 없이 사용한 사안. 적법 처리 근거 없는 목적 외 이용으로 판단했다.
세 사건을 나란히 놓으면 판단의 축이 보인다. 옵트아웃 고지가 있었는지, 식별정보를 걸러냈는지, 원래 목적과 새 용도 사이에 설명 가능한 연결이 있는지다. 마지막 사건에서 문제가 된 것은 데이터를 썼다는 사실 자체가 아니라, 관련성이 끊긴 용도에 안전조치도 없이 썼다는 조합이었다.
공개된 제재 사례도 두 건 확인된다. 2023년 7월 26일 의결에서 오픈AI는 유출 신고 의무 위반으로 과태료 360만 원과 개선권고를 받았다. 안전조치 의무 위반으로는 처분하지 않았고, 학습 데이터 문제도 아니었다. 2025년 4월 23일 의결에서 딥시크는 사전 실태점검 결과에 따라 시정권고와 개선권고를 받았다. 국외 이전의 합법근거 구비, 이미 이전된 프롬프트 입력 내용의 즉각 파기, 한국어 처리방침 공개가 시정 내용이며 금전 제재는 없었다. https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11145
■ 6. 이용자 가이드를 서비스 쪽에서 뒤집어 읽기
개인정보위는 2026년 5월 19일 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」를 냈다. 22면 분량이며 8개 문답으로 구성된다. https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12084
이용자용 문서이지만 서비스 운영자에게는 점검표로 쓸모가 있다. 이용자에게 확인하라고 권한 항목이 곧 서비스가 제공해야 할 기능이기 때문이다.
- 입력 데이터의 학습 활용 여부를 확인하고 원하지 않으면 제한 설정하기 → 학습 이용 여부의 고지와 옵트아웃 수단이 있는가
- 대화 기록 삭제 기능과 데이터 보관 정책 확인하기 → 삭제 기능이 있고 보관 정책이 문서화되어 있는가
- 처리방침에서 국외 이전 항목, 이전 국가·항목·목적·보유기간·이전받는 자 확인하기 → 이 다섯 가지가 처리방침에 적혀 있는가
- 답변에 개인정보가 포함되면 신고·피드백 기능으로 삭제 요청하기 → 신고 경로가 서비스 안에 있는가
- 플러그인·외부 연동 시 권한 요청 내용 확인하기 → 기능별·권한별 선택이 가능한가
가이드가 짚은 한계도 함께 기억할 만하다. 대화 기록 삭제에 관해 가이드는 "대화 기록을 삭제하더라도, AI 시스템 전반에서 해당 내용이 한 번에 즉시 완전히 제거되기 보다는 서비스 운영 방식에 따라 여러 단계에 걸쳐 관리·삭제될 수 있습니다"라고 적는다. 즉시 완전 삭제를 약속하는 문구는 이 서술과 어긋난다.
여덟 번째 문답은 공개된 정보의 학습 이용을 다루면서 이용자에게 "학습을 원하지 않는 경우, 학습 제외를 신청하거나 AI 크롤러 접근 제한 설정(robots.txt 등)하기"를 권한다. 규제기관 문서가 robots.txt를 이용자 수단으로 명시했다는 점은 기록해 둘 만하다.
■ 7. 자동화된 결정과 2026년 정책 방향
생성형 AI가 판단에 관여하기 시작하면 별도 조항이 걸린다. 개인정보 보호법 제37조의2(자동화된 결정에 대한 정보주체의 권리 등)이며 2023년 3월 14일 신설되었다.
제1항은 완전히 자동화된 시스템으로 개인정보를 처리해 이루어진 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우 그 결정을 거부할 권리를 정한다. 다만 제15조제1항제1호(동의)·제2호(법률 규정)·제4호(계약 이행)에 따라 이루어지는 경우는 제외된다. 제2항의 설명 요구권에는 이런 제외가 없다. 제4항은 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식을 정보주체가 쉽게 확인할 수 있도록 공개하라고 정한다.
실무 함의는 단순하다. 동의나 계약을 근거로 삼았다면 거부권은 제한되지만 설명 요구권과 공개 의무는 그대로 남는다.
정책 방향도 참고할 필요가 있다. 개인정보위는 2025년 12월 12일 4개 부처 합동 업무보고에서 「2026년도 개인정보보호위원회 업무 추진계획」을 발표했다. 부제는 "개인정보 보호 신뢰 기반의 AI융합사회 촉진"이다. https://www.korea.kr/briefing/pressReleaseView.do?newsId=156734852
AI 관련으로 보도자료 본문에 적힌 과제는 다음과 같다. AI 특례 도입과 개인정보 처리 근거 확대, 가명처리 원스톱 지원체계 운영, 개인정보 이노베이션존 연계 허브 구축, 에이전트 AI 등 고도화된 AI 확산에 따른 새로운 데이터 처리 가이드라인 마련, 공공 AX 혁신 지원 헬프데스크 운영, 개인정보 보호 강화 기술(PET) 연구개발, 딥페이크 등 AI 합성콘텐츠 관련 정보주체 권리 신설이다.
가명정보 쪽에서는 2026년 3월 31일 「가명정보 처리 가이드라인」이 전면 개정되었다. 가명처리를 사전 준비, 위험성 검토, 가명처리, 적정성 검토, 안전한 관리의 5단계로 정리하고 위험도 기반 판단 체계를 확립하는 것이 골자다. 안내서(2025년 8월)가 각주에서 참조한 판본은 2024년 2월판이므로 두 판본을 혼동하지 않아야 한다. https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11928
■ 유의사항 — 법률 자문이 아니다
이 글은 개인정보보호위원회의 공개 안내서와 보도자료, 국가법령정보센터의 법령 원문을 정리한 해설이며 법률 자문이 아니다. 개별 서비스의 적법근거 판단은 데이터의 출처·수집 경위·이용 범위에 따라 달라지고, 안내서와 가이드라인은 개정된다. 실제 판단은 반드시 최신 원문을 확인하고 필요하면 전문가의 검토를 거쳐야 한다.
■ 8. 확인하지 못한 것
- 2026년 업무 추진계획의 "10대 핵심과제" 개별 명칭은 첨부 자료에 있어 확인하지 못했다. 위에 옮긴 과제들은 보도자료 본문 서술이며, 몇 번째 과제라는 식으로 번호를 붙일 수 없다.
- "AI 특례"의 구체적 법안 조문 번호, 입법 형태, 발의·입법예고 여부, 시행 시기는 어느 것도 1차 출처에서 확인하지 못했다.
- 생성형 AI 사업자에 대한 과징금 부과 사례는 1차 출처에서 확인되지 않았다. 확인된 것은 오픈AI에 대한 과태료와 딥시크에 대한 시정·개선권고뿐이다. 이 글에서 과징금 사례를 쓰지 않은 이유다.
- 안내서에 인용된 비공개 의결 3건의 의결서 전문과 대상 사업자명은 비공개라 확인할 수 없었다.
- 개인정보 보호법 시행령 제14조의2 제1항 각 호의 정확한 문언은 직접 확인하지 않았다. 본문에서 종합 고려 요소로 적은 네 가지는 안내서가 인용한 범위다.
- KISA 자료실의 안내서 게시물은 접속이 되지 않아 확인하지 못했다. 이 글의 출처는 개인정보위 원본만 쓴다.
■ 참고 자료 및 출처
모두 2026년 9월 1일 확인.
개인정보보호위원회 보도자료, 생성형 AI 개발·활용을 위한 개인정보 처리 안내서 공개(2025-08-06)
https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11410
개인정보보호위원회, 생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드(2026-05-19)
https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12084
개인정보보호위원회 보도자료, 딥시크 사전 실태점검 결과(2025-04-23 의결)
https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11145
개인정보보호위원회 보도자료, 오픈AI 처분(2023-07-26 의결)
https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=9055
개인정보보호위원회 보도자료, 가명정보 처리 가이드라인 전면 개정(2026-03-31)
https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11928
대한민국 정책브리핑, 2026년도 개인정보보호위원회 업무 추진계획
https://www.korea.kr/briefing/pressReleaseView.do?newsId=156734852
국가법령정보센터, 개인정보 보호법 제37조의2
https://law.go.kr/LSW/lsLinkCommonInfo.do?ancYnChk=&chrClsCd=010202&lsJoLnkSeq=1029334889
개인정보보호위원회 안내서 목록
https://www.pipc.go.kr/np/cop/bbs/selectBoardList.do?bbsId=BS217&mCode=G010030000
작성·검수: vibenexus