AI·데이터·플랫폼

반드시 그런 것은 아닙니다. 개인정보 보호법 제15조제1항은 정보주체의 동의 외에도 법률에 특별한 규정이 있거나 법령상 의무를 지키기 위해 불가피한 경우, 정보주체와의 계약을 체결·이행하기 위해 필요한 경우, 개인정보처리자의 정당한 이익을 위해 필요하고 그 이익이 정보주체의 권리보다 명백하게 우선하는 경우 등을 수집 근거로 정하고 있습니다.

다만 어떤 근거에 해당하는지는 서비스 구조와 수집 항목에 따라 달라집니다. 동의를 근거로 하는 경우에는 수집·이용 목적, 항목, 보유·이용 기간, 동의를 거부할 권리와 그 불이익을 알려야 합니다(제15조제2항).

실무에서는 필수 동의에 선택 항목이 섞여 있거나, 계약 이행에 필요한 정보까지 동의로 받는 경우가 많습니다. 항목별로 근거를 나누어 정리해 두는 것이 이후 조사나 분쟁에 대비하는 출발점입니다.

개인정보 보호법 제30조는 처리 목적, 처리 및 보유 기간, 제3자 제공(해당하는 경우), 파기절차와 파기방법, 처리위탁(해당하는 경우), 정보주체와 법정대리인의 권리·의무와 행사방법, 개인정보 보호책임자 또는 담당 부서의 연락처, 자동 수집 장치의 설치·운영과 거부 방법(해당하는 경우) 등을 처리방침에 포함하도록 정하고 있습니다.

가명정보 처리나 민감정보의 공개 가능성처럼 해당하는 경우에만 적는 항목도 있습니다. 국외 이전을 처리방침 공개로 처리하는 경우에는 이전 관련 사항도 함께 공개해야 합니다.

처리방침은 한 번 만들고 끝나는 문서가 아닙니다. 수탁사가 바뀌거나 새 기능이 추가되면 실제 처리와 문서 내용이 어긋나기 쉬우므로, 서비스 변경 때마다 함께 점검하는 것이 좋습니다.

해당할 수 있습니다. 개인정보 보호법 제28조의8은 개인정보를 국외로 제공(조회되는 경우 포함)·처리위탁·보관하는 것을 '이전'으로 보고, 법에서 정한 경우에만 이전할 수 있도록 하고 있습니다.

이전 근거로는 정보주체의 별도 동의, 법률·조약의 특별한 규정, 계약 체결·이행을 위해 처리위탁·보관이 필요한 경우로서 관련 사항을 처리방침에 공개하거나 정보주체에게 알린 경우, 보호위원회가 정한 인증을 받은 경우, 보호위원회가 이전 대상 국가의 보호 수준을 동등하다고 인정한 경우 등이 있습니다.

별도 동의를 받을 때에는 이전되는 항목, 국가·시기·방법, 이전받는 자, 이용 목적과 보유 기간, 거부 방법과 효과를 미리 알려야 합니다. 어느 근거를 택할지는 서비스 구조에 따라 다르므로, 서버 소재지와 수탁사 목록부터 정리해 보시기 바랍니다.

개인정보 보호법 시행령 제39조와 제40조는 개인정보가 유출등이 되었음을 알게 되었을 때 원칙적으로 72시간 이내에 정보주체에게 통지하고, 일정한 경우 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고하도록 정하고 있습니다.

신고 대상은 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우, 민감정보나 고유식별정보가 유출등이 된 경우, 외부로부터의 불법적인 접근으로 유출등이 된 경우입니다. 유출 항목이나 경위를 아직 구체적으로 확인하지 못했다면 확인된 내용부터 우선 통지·신고하고, 추가로 확인되는 내용은 확인되는 즉시 보완해야 합니다.

접속경로 차단이나 회수·삭제 같은 긴급 조치가 필요한 경우 등 예외도 있지만, 예외에 해당하는지는 사안에 따라 판단됩니다. 기한은 '알게 된 때'부터 진행되므로, 인지 시점과 조치 내역을 시간 순서대로 기록해 두시기 바랍니다.

개인정보 보호법 제64조의2제1항은 법에서 정한 위반행위가 있는 경우 전체 매출액의 100분의 3을 넘지 않는 범위에서 과징금을 부과할 수 있도록 정하고 있습니다. 매출액이 없거나 산정이 곤란한 경우에는 20억원이 상한입니다.

2026년 9월 11일 시행된 개정법은 과징금 처분 후 3년 안에 고의·중과실로 같은 위반을 반복한 경우, 고의·중과실 위반으로 피해 정보주체가 1천만명 이상인 경우 등 가중 사유에 대해 전체 매출액의 100분의 10(매출액 산정 곤란 시 50억원)까지 부과할 수 있도록 했습니다.

다만 과징금은 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 산정하고, 위반의 내용·기간, 안전성 확보 노력, 피해 회복 조치, 보호위원회와의 협조 등을 고려합니다. 실제 금액은 사안마다 크게 달라지므로 조사 초기부터 관련 매출과 감경 사유를 정리하는 것이 중요합니다.

먼저 요구서에 적힌 조사 대상 행위와 기간, 제출 요구 자료의 범위를 확인해야 합니다. 요구받은 자료가 어떤 쟁점과 연결되는지 파악해야 제출 범위와 설명 방식을 정할 수 있습니다.

제출 자료와 의견서는 이후 처분의 기초가 됩니다. 사실관계와 다른 설명이나 급하게 만든 자료는 오히려 불리하게 작용할 수 있으므로, 실제 처리 현황·안전조치 이행 내역·사고 후 조치 기록을 근거로 정리하는 것이 좋습니다.

과징금이 문제될 수 있는 사안이라면 위반과 관련 없는 매출액, 안전성 확보 노력, 피해 회복 조치 등 법이 정한 고려 요소도 함께 준비해야 합니다. 대응 방향은 사안에 따라 달라지므로 제출 전에 전체 쟁점을 먼저 검토하시기 바랍니다.

「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 2025년 1월 21일 공포되었고, 부칙에 따라 공포 후 1년이 지난 2026년 1월 22일부터 시행되고 있습니다.

이 법은 인공지능산업 진흥과 함께 인공지능사업자의 투명성 확보 의무(제31조), 일정 규모 이상 시스템의 안전성 확보 의무(제32조), 고영향 인공지능의 확인과 사업자 책무(제33조·제34조), 국내대리인 지정(제36조) 등을 정하고 있습니다.

구체적인 고지·표시 방법과 예외, 기준 등은 대통령령과 고시에 위임된 부분이 많습니다. 서비스에 적용할 때에는 법률 조문과 함께 하위 법령과 정부 가이드라인을 확인해야 합니다.

AI 기본법 제31조는 고영향 인공지능이나 생성형 인공지능을 이용한 제품·서비스를 제공하려는 경우 해당 인공지능에 기반해 운용된다는 사실을 이용자에게 사전에 고지하도록 정하고 있습니다.

또한 생성형 인공지능의 결과물에는 생성형 인공지능으로 생성되었다는 사실을 표시해야 하고, 실제와 구분하기 어려운 가상의 음향·이미지·영상 등을 제공하는 경우에는 이용자가 명확하게 인식할 수 있는 방식으로 고지 또는 표시해야 합니다. 예술적·창의적 표현물은 전시나 향유를 저해하지 않는 방식으로 할 수 있습니다.

사전 고지 의무(제31조제1항)를 이행하지 않으면 3천만원 이하의 과태료 대상이 될 수 있습니다(제43조). 구체적인 표시 방법과 예외는 시행령을 함께 확인해야 합니다.

AI 기본법 제2조제4호는 사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서 에너지 공급, 보건의료, 의료기기, 교통, 채용·대출 심사 등 개인의 권리·의무에 중대한 영향을 미치는 판단·평가, 학생 평가 등 법에서 정한 영역에서 활용되는 것을 고영향 인공지능으로 정의합니다.

인공지능사업자는 제공하는 인공지능이 고영향 인공지능에 해당하는지 사전에 검토해야 하고, 필요한 경우 과학기술정보통신부장관에게 확인을 요청할 수 있습니다(제33조).

해당한다면 위험관리방안, 설명 방안, 이용자 보호 방안, 사람의 관리·감독, 관련 문서의 작성·보관 등의 조치가 필요합니다(제34조). 같은 기술이라도 어떤 판단에 쓰이는지에 따라 결론이 달라지므로 활용 영역부터 구체적으로 정리해 보시기 바랍니다.

AI 기본법 제36조는 국내에 주소나 영업소가 없는 인공지능사업자로서 이용자 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 자에게 국내대리인을 서면으로 지정해 과학기술정보통신부장관에게 신고하도록 정하고 있습니다.

국내대리인은 안전성 확보 의무의 이행 결과 제출, 고영향 인공지능 해당 여부 확인 요청, 안전성·신뢰성 확보 조치 이행 지원 등을 대리합니다. 국내대리인이 관련 사항으로 법을 위반하면 지정한 사업자가 그 행위를 한 것으로 봅니다.

국내대리인을 지정하지 않으면 과태료 대상이 될 수 있습니다(제43조). 해외 AI 서비스를 국내에 제공하거나 도입하는 경우, 개인정보 보호법상 국외 이전 문제도 함께 검토해야 합니다.

가장 먼저 이용 목적과 범위를 확인해야 합니다. 학습에만 쓸 수 있는지, 상용 서비스와 파생 모델에도 쓸 수 있는지, 제3자 제공이나 재판매가 가능한지에 따라 데이터의 가치와 위험이 달라집니다.

다음으로 데이터의 출처와 권리 보증을 봐야 합니다. 개인정보나 가명정보가 포함되어 있는지, 저작물이나 제3자의 권리가 포함되어 있는지, 이를 누가 확인하고 책임지는지를 계약에 명시하는 것이 좋습니다.

그 밖에 보안 사고 시 책임 분담, 손해배상 한도, 계약 종료 후 데이터 반환·파기와 학습된 모델·산출물의 귀속도 분쟁이 자주 생기는 부분입니다. 표준 문구를 그대로 쓰기보다 실제 데이터 흐름에 맞춰 조정하는 것이 필요합니다.

그럴 수 있습니다. 약관의 규제에 관한 법률 제6조는 신의성실의 원칙을 위반해 공정성을 잃은 약관 조항을 무효로 하고, 고객에게 부당하게 불리한 조항이나 고객이 예상하기 어려운 조항, 계약의 본질적 권리를 제한하는 조항은 공정성을 잃은 것으로 추정합니다.

또한 사업자는 약관의 중요한 내용을 알아보기 쉽게 표시하고 고객이 이해할 수 있도록 설명해야 하며, 이를 위반해 계약을 체결하면 해당 약관을 계약 내용으로 주장할 수 없습니다(제3조).

면책·손해배상 제한, 일방적 서비스 변경·해지, 게시물 이용 권한 같은 조항은 특히 분쟁이 잦습니다. 약관을 개정할 때에는 조항의 효력과 함께 고지 방식도 점검하시기 바랍니다.

전자상거래법은 통신판매중개자에게 별도의 의무를 두고 있습니다. 제20조는 통신판매중개자가 자신이 통신판매의 당사자가 아니라는 사실을 소비자가 쉽게 알 수 있도록 미리 고지하고, 판매자가 사업자인 경우 그 신원정보를 확인해 청약 전까지 소비자에게 제공하도록 정하고 있습니다.

또한 사이버몰 이용으로 생기는 불만이나 분쟁 해결을 위해 원인과 피해 파악 등 필요한 조치를 신속히 해야 합니다. 이러한 의무를 어떻게 이행했는지에 따라 플랫폼의 책임 범위가 달라질 수 있습니다.

플랫폼이 결제·배송·환불까지 직접 관여하는 구조라면 중개자를 넘어 판매 당사자로 평가될 여지도 있습니다. 서비스 구조에 따라 판단이 달라지므로 거래 흐름을 기준으로 검토해야 합니다.

정보통신망법 제44조의2는 사생활 침해나 명예훼손 등 권리침해를 이유로 삭제 요청을 받은 정보통신서비스 제공자가 지체 없이 삭제·임시조치 등 필요한 조치를 하고 신청인과 게시자에게 알리도록 정하고 있습니다.

권리침해 여부를 판단하기 어렵거나 이해당사자 사이에 다툼이 예상되는 경우에는 해당 정보에 대한 접근을 임시로 차단하는 임시조치를 할 수 있고, 그 기간은 30일 이내입니다.

이러한 조치의 내용과 절차는 약관에 미리 구체적으로 밝혀야 합니다. 요청이 반복되는 플랫폼이라면 접수·판단·통지·이의 처리 기준을 내부 절차로 정리해 두는 것이 좋습니다.

정해진 시점은 없지만, 되돌리기 어려운 결정을 앞둔 때가 중요합니다. 공동창업자 간 지분과 역할을 정할 때, 투자계약과 주주간계약에 서명하기 전, 서비스를 출시하기 전이 대표적입니다.

출시 전에는 개인정보 처리방침과 동의 구조, 이용약관, AI 기능이 있다면 사전 고지와 결과물 표시 방식을 함께 점검하는 것이 좋습니다. 출시 후에 바꾸려면 기존 이용자 재동의나 약관 개정 고지 같은 추가 절차가 필요해질 수 있습니다.

해외 진출이나 데이터 제휴, 인수합병을 앞두고 있다면 국외 이전과 데이터 계약, 실사에서 문제될 수 있는 사항을 미리 정리해 두는 것이 도움이 됩니다. 필요한 검토 범위는 사업 단계와 구조에 따라 다릅니다.