AI 개인정보 위험은 모델이 아니라 입력창에 있다

「언론과 법」에 실린 생성형 AI 개인정보보호 규제 논문을 읽었다(염규현, 24권 1호). 미디어·저널리즘 환경에서 AI를 쓸 때 표현의 자유와 개인정보 보호를 어떻게 조화시킬 거냐가 주제고, 뒤로 갈수록 형사책임 구성요건 얘기로 들어간다. 고의성 판단, 주의의무 범위, 인과관계 입증 같은 것들.

솔직히 그 부분은 내 영역이 아니다. AI 전문가도 아니고 형법 전공도 아니라 평가할 위치가 못 된다. 다만 컨설팅하면서 클라이언트한테 실제로 설명해야 하는 것들과 겹치는 대목이 두 군데 있었고, 그건 좀 적어둘 만하다.

모델 위험 말고 서비스 위험

논문 2장 3절이 제일 실무적이다. 요지는 이렇다. AI 모델 자체가 만드는 새로운 프라이버시 위험(모델 전도, 멤버십 추론 같은 것)도 있지만, AI를 웹 서비스로 쓰는 순간 전통적인 데이터 관리 문제가 그대로 발생한다는 것.

사용자가 프롬프트에 뭘 입력하면 그 입력값은 그냥 웹 서비스에 저장되는 데이터다. 그 안에 고객 이름이 있으면 개인정보고, 국외 사업자 서비스면 국외이전이다. 모델이 그걸 학습하느냐 마느냐 이전의 문제다.

현장에서 클라이언트가 AI 도입 얘기를 꺼내면 질문이 대개 이쪽으로 간다. "우리 데이터가 학습에 쓰이나요?", "재식별될 수 있나요?" 걱정할 만한 주제이긴 한데, 실제로 결함이 잡히는 건 훨씬 시시한 데서다. 마케팅팀 직원이 고객 명단을 챗봇에 붙여넣고 "이거 세그먼트 나눠줘"라고 하는 것. 상담 이력을 통째로 넣고 요약시키는 것. 이건 최신 AI 이슈가 아니라 그냥 개인정보 국외이전(개보법 §28의8)이고 목적 외 이용이다.

논문이 딥시크 사례를 드는 것도 같은 맥락이다. 서비스 제공 과정에서 개인정보가 광범위하게 수집된다는 게 문제가 된 거지, 모델 아키텍처가 문제가 된 게 아니었다.

언론이라고 개보법이 면제되는 건 아니다

논문은 GDPR 제85조(저널리즘·학술·예술·문학 표현 목적 처리에 대한 특례)를 소개하면서, 국내 개인정보 보호법에도 유사한 특례 조항 도입을 검토하자고 제안한다.

그런데 우리 법에도 비슷한 게 이미 있다. 개보법 제58조제1항제4호. 언론이 취재·보도라는 고유 목적을 달성하기 위해 수집·이용하는 개인정보에는 제3장부터 제8장까지를 적용하지 않는다.

여기서 실무자들이 자주 헷갈리는 게 두 가지 있다.

하나. 적용 제외는 "수집·이용"에만 걸린다. 다른 개인정보처리자가 언론사에 개인정보를 "제공"하는 건 별개 문제다. 지자체가 CCTV 영상을 취재 목적으로 언론사에 준다면 그건 목적 외 제공이라 제18조를 따져야 한다. 개인정보위 질의응답집에도 이게 명시돼 있다.

둘. 제3장~제8장이 빠져도 제58조제4항은 남는다. 이 조항에 따라 목적 범위 내 최소한의 개인정보만, 최소한의 기간만 처리해야 하고, 기술적·관리적·물리적 안전조치와 고충처리 절차는 여전히 마련해야 한다. "언론이니까 개보법 밖"이 아니다. 취재 데이터를 아무렇게나 굴려도 된다는 뜻이 전혀 아니라는 얘기다.

그래서 논문이 말하는 특례 도입 제안은 조문이 없어서라기보다, 지금의 적용 제외 방식이 GDPR처럼 "표현의 자유와 개인정보 보호를 조화시키라"는 적극적 조정 의무가 아니라는 점을 짚는 것으로 읽는 게 맞을 것 같다. 이 이상은 내가 판단할 영역이 아니고.

결국 하던 걸 해야 한다

논문을 덮고 나서 남은 생각은 좀 김빠지는 거였다. AI 규제 논의는 화려하다. 위험 기반 접근, 알고리즘 감사, 회복적 사법, 투명성 의무. 다 필요한 얘기다.

그런데 컨설팅 현장에서 실제로 결함으로 잡히는 건 여전히 접근권한 관리, 국외이전 고지, 위탁 계약서, 처리방침 같은 것들이다. AI를 도입했다고 이게 안 잡히는 게 아니라, AI 때문에 이게 더 자주 잡힌다. AI 서비스는 결국 국외 사업자한테 데이터를 보내는 또 하나의 수탁자거나 이전 대상이니까.

새로운 규제를 기다리기 전에, 지금 있는 조문으로 잡을 수 있는 게 아직 많이 남아 있다.

---

출처

• 염규현(2025), 「생성형 AI 시대의 개인정보보호 규제 연구 — 미디어·저널리즘 분야의 주요 법적 쟁점을 중심으로」, 『언론과 법』 24(1), 1-41. DOI 10.26542/JML.2025.4.24.1.1