개인정보가 담긴 데이터를 생성형 AI로 처리해도 됩니까?

판단은 목적, 근거, 전송, 보관 순서로 합니다

개인정보가 섞인 데이터를 생성형 AI로 처리하는 것 자체가 금지된 것은 아닙니다. 개인정보보호위원회는 2025년 8월 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」를 내고, 개발·활용 과정을 목적 설정, 전략 수립, AI 학습 및 개발, 시스템 적용 및 관리의 네 단계로 나눠 단계별 확인 사항을 제시했습니다. 외부 상용 모델을 API로 붙여 쓰는 기업에 필요한 질문만 추리면 네 가지입니다.

1. 목적이 처리가 개인정보를 수집할 때 밝힌 목적 범위 안인가
2. 근거범위 밖이라면 추가적 이용 요건이나 가명처리로 근거를 갖출 수 있는가
3. 전송외부 모델이 입력을 저장하거나 학습에 쓰지 않도록 계약으로 막았는가
4. 보관서버가 해외에 있다면 국외 이전 요건을 갖췄고, 호출 기록은 언제 지우는가

네 질문은 순서가 중요합니다. 목적과 근거가 서지 않으면 아무리 좋은 계약 조건을 갖춰도 처리 자체가 성립하지 않기 때문입니다.

목적과 적법 근거

안내서에 따르면 동의·계약·정당한 이익 등 적법한 근거로 수집한 개인정보는 수집 목적 범위 안에서 AI 서비스 개선·고도화에 이용할 수 있습니다. 범위를 벗어나면 개인정보 보호법의 추가적 이용(제15조제3항) 요건을 검토해야 합니다. 당초 수집 목적과의 합리적 관련성, 정보주체가 예측할 수 있었는지, 정보주체의 이익을 부당하게 침해하는지, 가명처리·암호화 같은 안전조치를 했는지를 종합해 판단합니다. 추가적 이용이 계속 일어난다면 그 판단 기준을 개인정보 처리방침에 공개하고 개인정보 보호책임자(CPO)가 점검하라고 안내서는 권합니다.

당초 목적과 별개의 새 AI 서비스를 개발하는 데 쓰려면 가명·익명처리나 새로운 적법 근거가 필요하고, 그 없이 쓰면 목적 외 이용으로 판단될 수 있다는 것이 안내서의 설명입니다. 실무에서는 두 경우를 나눠 검토를 시작하는 것이 유용합니다. 고객 문의에 답하려고 그 문의를 AI로 요약하는 것은 원래 업무를 처리하는 수단을 바꾸는 쪽에 가까울 수 있고, 쌓아 둔 상담 기록으로 새 모델을 학습시키는 것은 새로운 목적에 쓰는 쪽에 가깝습니다. 둘은 검토의 무게가 다릅니다. 다만 이 구분은 검토의 출발점일 뿐이고, 실제로 어느 쪽에 해당하는지는 수집 때 알린 목적과 처리 구조에 따라 달라지므로 법률 검토로 확정해야 합니다.

처리하려는 데이터에 건강 정보 같은 민감정보나 주민등록번호 같은 고유식별정보가 섞여 있다면 기준이 더 엄격해집니다. 개인정보 보호법은 민감정보(제23조), 고유식별정보(제24조), 주민등록번호(제24조의2)의 처리를 별도로 제한하므로, 이런 항목은 AI로 보내기 전에 빼는 것을 기본으로 둡니다.

외부 모델로 보낼 때: 기업용 라이선스와 데이터 처리 부속서

안내서는 상용 모델을 서비스 형태로 쓰는 기업에 입력 데이터의 보관과 재이용(학습 포함) 여부, 그리고 국외 이전 여부를 먼저 검토하라고 권합니다. 개인용 라이선스와 기업용 API 라이선스의 차이도 비교해 보여 줍니다.

안내서의 비교는 한 서비스를 중심으로 2025년 8월 3일 기준 조건을 정리한 것이므로, 실제로 쓰는 서비스의 조건은 따로 확인해야 합니다. 안내서는 기업용 약관과 DPA에서 입력 데이터의 소유권, 재이용 제한, 안전조치, 데이터 파기를 명확히 하고, 필요하면 특약을 더하라고 권합니다. 외부 모델 제공사는 처리를 위탁받는 수탁자가 되므로 위탁 관계와 재위탁 제한도 계약에서 확인합니다. 안내서에 소개된 사례에서 한 의료기관은 진료 대화 처리에 관한 사항을 고지하고 기업용 API 라이선스를 써서, 데이터가 의료기관의 목적으로만 처리되게 했습니다.

계약을 확인할 때는 제공사의 「기본값」과 「설정으로 바꿀 수 있는 값」을 구분해야 합니다. 관리자가 켜거나 끌 수 있는 항목이라면 실제 계정에서 어떻게 설정되어 있는지까지 확인해 기록으로 남깁니다.

국외 이전과 보관

모델 서버가 해외에 있으면 국외 이전에 해당하는지 검토해야 합니다. 개인정보 보호법 제28조의8은 개인정보를 국외로 제공(조회 포함)·처리위탁·보관하는 것을 원칙적으로 금지하고, 별도 동의를 받은 경우나 계약 이행에 필요한 처리위탁·보관으로서 처리방침 공개 등의 요건을 갖춘 경우 등에 예외를 둡니다. 안내서는 통화 내용을 요약하는 서비스에서 개인정보가 국외 서버로 이전됐는데 처리방침에 국외 이전 고지 사항이 일부 빠져 있던 사례를 소개합니다.

국내 리전을 고를 수 있는 클라우드 AI 서비스도 모델과 호출 방식에 따라 실제 처리 위치가 달라질 수 있으므로, 리전 이름이 아니라 실제 처리 위치를 확인해야 합니다. 모델 호출 기록을 남긴다면 그 기록에도 원문 개인정보가 쌓이므로 보관 기간과 열람 권한을 함께 정합니다.

안내서는 시스템 적용 및 관리 단계에서 정보주체의 권리 보장을 중점적으로 다룹니다. 고객이 자기 정보의 삭제나 처리 정지를 요구하면 원본 데이터베이스뿐 아니라 AI 처리 과정에서 생긴 요약본·호출 기록·검색 색인에 같은 정보가 남아 있는지도 확인해야 합니다. 사본이 생기는 위치를 처리 흐름도로 그려 두면 이 대응이 빨라집니다.

보내기 전에 줄이는 것이 가장 확실합니다

• 업무에 필요 없는 이름·연락처·식별번호는 모델에 보내기 전에 지우거나 가린다
• 필요한 항목만 골라 보내고 원본 전체를 붙여 넣지 않는다
• 외부 모델의 약관·DPA에서 학습 미활용·보관·파기 조건을 확인했다
• 처리방침에 위탁 사실과 국외 이전 사항이 반영되어 있다
• 호출 기록의 보관 기간과 열람 권한이 정해져 있다
• 대규모·민감 정보를 다룬다면 개인정보 영향평가를 검토했다

안내서는 공공기관이 법령상 요건에 해당하면 개인정보 영향평가를 해야 하고, 민간도 대규모 또는 민감한 개인정보를 처리하는 AI라면 영향평가를 실시하는 것을 권장한다고 설명합니다.

참고 자료

• 개인정보보호위원회 — 생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서(2025.8.)
• 대한민국 정책브리핑 — 개인정보위, 생성형 AI 개발·활용 개인정보 처리 기준 공개(2025.8.)
• 국가법령정보센터 — 개인정보 보호법