AI(인공지능) 대전환 시대에 발맞춰 인터넷 종합 미디어 <더팩트>와 <개인정보보호법학회>가 손잡고 '인공지능 대전환시대 데이터법제의 발전'을 주제로 한 기획 칼럼 시리즈를 연재합니다. 이번 기획은 AI 혁신을 위한 필수 과제인 데이터의 활용과 보호 간 균형을 맞추는 정교한 법제도 정비의 중요성에 주목했습니다. 특히 AI 시대에 맞는 개인정보보호법 재설계의 필요성에 대한 심도 있는 논의를 이끌어낼 예정입니다. 데이터가 어떻게 수집되고, 활용되며, 보호돼야 하는지에 대해 전문가들의 학문적 분석과 사회적 담론을 제공합니다.<편집자 주>
[더팩트 | 방성현 변호사(김앤장 법률사무소, 개인정보보호법학회 부회장)] 인공지능은 이제 우리 삶의 중요한 일부분이 되었다. 사람들은 검색서비스만을 활용하여 자료를 찾지 않으며, 챗GPT 등 다양한 인공지능 서비스를 이용하면서 자료를 검색하고 코딩에 활용하며, 보다 손쉽게 보고서와 발표자료를 만든다.
뿐만 아니라 인공지능 기술은 각 산업별로 다양한 방식으로 광범위한 데이터를 기반으로 활용되고 있고 지속적으로 신규 서비스가 출시되고 있다. 정부도 인공지능 3대 강국을 외치면서 인공지능 기술 및 서비스 개발을 위한 경쟁력 제고 방안에 대해 논의하고 있다. 기존 개인정보보호에 관한 원칙이나 규정들이 데이터 활용을 가로 막는 장애 요소가 되지 않도록 하면서도 정보주체의 개인정보에 관한 권리를 실질적으로 보장하기 위해 개인정보보호원칙에 대한 재검토가 필요한 상황이다.
지금까지 개인정보보호법의 가장 중요한 기본 원칙으로 언급된 것은 ‘최소 수집의 원칙’이다. 개인정보처리자는 개인정보의 처리 목적을 명확하게 해야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다(개인정보보호법 제3조제1항).
‘최소 수집의 원칙’은 OECD의 프라이버시 원칙 중 ‘수집 제한의 원칙’이나 유럽 일반 개인정보보호법(GDPR)의 데이터 최소화 원칙과 유사하다. 개인정보처리자는 정보주체에게 제공하고자 하는 서비스에 필요한 최소한의 개인정보를 수집해야 하고, 서비스에 필요하지 않은 개인정보를 수집하고자 하는 경우 정보주체로부터 선택 동의를 받아야 하며, 정보주체가 동의하지 않는다고 하여 서비스 제공을 거부할 수 없다.
그런데 인공지능은 학습과 추론 과정에 방대한 양의 데이터가 필요하며, 데이터의 양과 질은 인공지능 모델의 성능에 직접적인 영향을 준다. 데이터의 양이 많을수록 인공지능의 성능이 향상될 수 있지만, 데이터가 편향되거나 부정확한 경우 잘못된 결과를 초래할 수 있어 데이터의 질도 중요하다.
인공지능 기술 및 서비스를 개발하거나 제공하고자 하는 사업자가 ‘최소 수집의 원칙’을 지키려면, 개인정보 형태로 수집할 필요가 없으면 비식별 처리된 형태로 수집하여 이용해야 하고, 개인정보를 수집하고자 하는 경우에도 필요 최소한의 정보만 수집하여 반드시 필요한 기간 동안만 보관해야 한다.
그러나 ‘최소 수집의 원칙’을 엄격히 적용하게 되면 학습과 추론 과정에서 방대한 양의 양질의 데이터가 필요한 인공지능 기술 및 서비스를 개발하고 제공하는 것은 사실상 불가능하다. 인공지능 서비스가 아니라고 하더라도 필요 최소한의 개인정보만을 수집하도록 하는 것이 더 이상 정보주체의 권리를 실질적으로 보장하는 것이라고 보기도 어렵다.
인공지능 시대에 데이터 활용만을 강조할 수 없고 정보주체의 권리를 실질적으로 보장하기 위한 방안을 마련해야 한다. 그러나 대량의 데이터를 다양하게 활용해야 하는 서비스가 증가하고 있는 인공지능 시대에서 ‘최소 수집의 원칙’만을 강조할 수 없으며, 이를 엄격하게 적용한다면, 오히려 국내에서 인공지능 기술 및 서비스를 개발하는데 개인정보보호법의 규제가 장애가 될 수밖에 없다.
인공지능 시대에 맞춰 개인정보보호원칙 및 규정을 재편하지 않으면, 정보주체의 개인정보에 관한 권리를 실질적으로 보장하지도 못하면서, 오히려 인공지능 기술로 정보주체가 얻을 수 있는 혜택을 빼앗게 되며 이로 인해 궁극적으로 정보주체의 이익을 해하는 결과가 초래될 수 있다.
개인정보보호법은 또한 ‘목적 제한의 원칙’을 두고 있다. 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다(개인정보보호법 제3조제2항). 개인정보보호법은 위 원칙에 근거하여, 개인정보처리자가 개인정보의 수집 및 이용을 할 때 정보주체에게 수집 및 이용 목적을 알리고 동의를 받도록 요구하고 있으며, 목적이 변경된 경우 정보주체의 동의를 다시 받도록 요구하고 있다.
그런데 인공지능은 학습 및 서비스 개발 과정에서 당초 예상한 목적과 다른 목적으로 데이터를 활용해야 하는 경우가 발생할 수 있다. 또한 위 원칙을 엄격하게 적용 및 해석하면, 개인정보처리자가 종전에 적법하게 정보주체의 동의를 받고 수집한 정보를 인공지능 기술 및 서비스 개발 목적으로 이용하려면 정보주체의 동의를 모두 다시 받아야 한다. 결국 사업자가 대규모의 양질의 데이터를 이미 보유하고 있더라도, 정보주체로부터 다시 동의를 받는 것은 사실상 불가능하므로, 인공지능 기술 및 서비스 개발을 위해 사용할 수 없게 된다.
인공지능 시대라는 이유로 데이터의 활용만을 강조하고 정보주체의 개인정보에 관한 권리보호에 소홀히 하자는 이야기가 전혀 아니다. 인공지능 시대에 맞지 않는 종전의 개인정보보호원칙을 형식적으로 적용 및 집행함으로써, 개인정보보호 원칙이 인공지능 산업 발전에 장애가 되고 정보주체에게 제공될 수 있는 혜택을 빼앗게 되는 불상사를 막자는 것이다.
전세계적으로 인공지능 기술 및 서비스 개발을 위한 치열한 경쟁이 이루어지고 있는 상황에서 개인정보보호원칙 및 법제 개편에 관한 논의를 신속하게 하지 않으면, 수년 후에는 더 이상 이런 논의를 하는 것이 무의미해질 수 있다. 인공지능 시대에 데이터의 활용을 보장하면서도 정보주체의 권리를 실질적으로 보장하기 위한 개인정보보호원칙에 대한 전면 재검토가 시급히 이루어져야 하는 이유이다.
▶AI 대전환시대 공동 기획 칼럼 관련 시리즈
[기획 칼럼⑫] 인공지능 대전환에 따른 '개인정보 보호법'의 변화 필요성
[기획 칼럼⑪] AI 시대를 사는 정보주체의 개인정보 자기결정권
[기획 칼럼⑩] 아동·청소년의 권리 보호, 잊힐 권리의 보장으로부터
[기획 칼럼⑨] 고인의 사생활 vs 유족의 추억...법의 공백에 방치된 ‘디지털 유산’
[기획 칼럼⑧] AI 대전환과 개인정보 국외 이전, ‘신뢰 기반 체계 구축으로’
[기획 칼럼⑥] 개인정보를 마주하는 우리의 자세, 변화가 필요하다
[기획 칼럼⑤] 인공지능 시대, 정보보호와 개인정보보호의 균형 있는 발전 전략
[기획 칼럼④] 인공지능 시대에서의 ‘정당한 이익’ 가치
[기획 칼럼③] 공개된 정보 활용 패러다임 전환을 통해 AI 학습데이터 물꼬를 터야