안녕하세요, 법률사무소 완봉입니다.
최근 생성형 AI와 거대언어모델(LLM)을 활용해 기존 서비스를 고도화하거나, 자사 서비스에 쌓인 유저 데이터를 기반으로 자체 AI 솔루션을 개발하려는 테크 스타트업이 급증하고 있습니다.
현장에서는 개발팀과 기획팀이 "우리 데이터베이스에 쌓인 유저들의 채팅 기록이나 이용 패턴을 가공해서 학습 데이터로 쓰면 안 되나요?", "개인정보 처리방침에 서비스 개선 목적이나 제3자 제공에 동의받았으니 문제없겠죠?"라는 질문을 자주 던집니다.
그러나 기존 커머스나 일반 플랫폼 템플릿을 그대로 가져온 개인정보 처리방침만 믿고 유저 데이터를 AI 학습에 활용했다가는, 어느 날 갑자기 수억 원에서 수십억 원에 달하는 개인정보보호위원회(개보위)의 과징금 고지서를 받게 될 수 있습니다.
TL;DR
1. 유저 데이터를 자사 AI 학습용으로 사용하는 것은 단순 '제3자 제공'이나 '서비스 개선' 동의만으로는 개인정보 보호법 위반에 해당합니다.
2. AI 학습용 데이터 활용은 명확한 이용 목적 고지와 별도의 명시적 동의를 취득하거나, 법에서 규정한 엄격한 가명처리 기준을 충족해야 합니다.
3. 2026년 9월부터 시행되는 개정법에 따라 중대·반복 위반 시 전체 매출액의 최대 10%에 달하는 징벌적 과징금이 부과될 수 있습니다.
많은 기업이 개인정보 처리방침의 목적란에 적힌 '신규 서비스 개발 및 개선', '마케팅 활용', '제3자 제공 동의' 조항이 만능이라고 오해합니다. 그러나 개인정보 보호법의 대원칙은 '수집 목적 범위 내에서의 이용'입니다.
유저가 회원가입 시 본인의 정보를 제공한 목적은 통상 '해당 서비스를 원활하게 이용하기 위함'입니다. 유저의 대화 이력, 행동 패턴, 구매 정보 등을 기계학습(Machine Learning)용 데이터셋으로 재가공해 AI 모델의 가중치(Weights)를 조정하는 행위는, 유저가 가입 당시 합리적으로 예상할 수 있었던 수집 목적의 범위를 초과한 것으로 해석됩니다.
명시적인 AI 학습 동의 없이 데이터를 모델 훈련에 활용하면, 개인정보 보호법 제15조(개인정보의 수집·이용) 및 제18조(개인정보의 목적 외 이용·제공 제한) 위반으로 제재를 받을 수 있습니다.
단순한 행정처분으로 끝나지 않습니다. 법원과 개보위의 제재 강도는 갈수록 높아지고 있습니다.
스캐터랩 '이루다' 사건: 자사 앱 '연애의 과학'에서 수집한 유저의 카카오톡 대화 데이터 약 94억 건을 AI 챗봇 '이루다' 학습에 활용한 스캐터랩은 개보위로부터 약 1억 원의 과징금·과태료를 부과받았습니다. 여기서 끝이 아니라, 법원(2025년 7월 판결)은 개인정보 유출 및 동의권 침해 피해자들에게 인당 최대 40만 원의 위자료를 지급하라고 판결했습니다. 가입자 수가 수만 명에 이르는 스타트업에게 수억 원의 손해배상금은 회사 존립을 뒤흔드는 치명타가 됩니다.
2026년 9월 시행, '매출액 최대 10%' 징벌적 과징금: 중대하거나 반복적으로 개인정보 보호법을 위반한 기업에 대해 기존 '매출액 최대 3%'에서 '매출액 최대 10%'로 상향된 징벌적 과징금 제도가 2026년 9월부터 본격 시행됩니다. 이제 개인정보 리스크는 CEO와 최고개인정보책임자(CPO)가 직접 관리해야 하는 최우선 경영 과제입니다.
신규 기능 도입이나 대규모 업데이트 배포 전, 아래 4가지 항목을 반드시 점검하십시오.
전체 약관 동의(필수) 절차에 AI 학습 항목을 끼워 넣어서는 안 됩니다.
정보주체의 개별 동의 없이 데이터를 학습에 활용하려면, 법 제28조의2에 따른 가명처리를 완벽히 수행해야 합니다.
처음에 동의했더라도 유저는 언제든지 '내 데이터를 학습 데이터셋에서 제외해 달라'고 요구할 수 있어야 합니다.
외부 API를 연동해 AI 기능을 제공하는 경우, 유저의 입력값(프롬프트)이 해외 서버로 전송되면서 불법 제3자 제공 또는 국외 이전 문제가 발생할 수 있습니다.
Q1. 유저가 전체 공개로 작성한 게시판 글은 동의 없이 AI 학습에 써도 되나요?
개보위 가이드라인에 따르면, 공개된 개인정보라 하더라도 수집·이용 시에는 정보주체의 '합리적 기대 범위' 안에 있어야 합니다. 게시판 이용자가 자신의 글이 AI 학습 데이터로 수집되리라 예상하지 못했거나 명확히 거부 의사를 표시(예: robots.txt 설정)했다면 법적 분쟁이 발생할 수 있습니다. 옵트아웃 기능을 제공하거나 사전 가명처리를 거치는 것이 안전합니다.
Q2. AI 학습 동의를 하지 않은 유저에게는 서비스 가입을 제한해도 되나요?
안 됩니다. 개인정보 보호법 제16조 제3항에 따라, 서비스 제공에 필수적이지 않은 정보의 수집에 동의하지 않는다는 이유로 서비스 제공을 거부하는 것은 위법입니다. AI 학습 동의는 반드시 선택 사항으로 설계해야 합니다.
Q3. 개발팀에서 이미 해싱 처리를 했으니 법적으로 문제없다고 하는데, 그대로 써도 될까요?
개발 관점의 비식별화와 법률상 '가명·익명처리'는 엄연히 다릅니다. 솔트(Salt) 값을 적용한 해시 파일이라 하더라도, 다른 데이터와 결합해 특정 유저를 재식별할 수 있다면 여전히 개인정보로 분류됩니다. 법률 전문가의 검토를 통해 개인정보 보호법 제28조의4에서 규정한 안전조치 기준을 충족했는지 확인하고 관련 문서를 갖춰두어야 과징금 리스크를 피할 수 있습니다.
Q4. 과거에 받아둔 '서비스 개선 및 신규 서비스 개발' 동의를 근거로 기존 데이터를 AI 학습에 써도 되나요?
매우 위험합니다. 과거 수집 시점의 '서비스 개선'이라는 추상적 목적이 당시 기술 수준에서 '생성형 AI 모델 학습'까지 정보주체가 예상할 수 있었던 범위라고 보기 어렵기 때문입니다. 소급 적용보다는 철저한 가명처리를 거치거나, 기존 유저로부터 새롭게 명시적 동의를 취득하는 것이 안전합니다.
AI 기술을 활용한 비즈니스 혁신은 강력한 경쟁력이지만, 규제 당국의 감시 또한 그 어느 때보다 날카롭습니다. 임시방편식 개인정보 처리방침은 기업의 존폐를 결정짓는 위기 요인이 될 수 있습니다.
법률사무소 완봉은 테크 스타트업의 데이터 수집 파이프라인 적법성 검토, 개인정보 처리방침 설계, AI 학습 동의 프로세스 구축에 대한 전문 상담을 제공하고 있습니다. 서비스 출시나 배포 전 점검이 필요하시다면 언제든지 문의해 주십시오.
본 글은 일반적인 정보 제공을 목적으로 작성되었으며, 개별 사안에 대한 구체적인 법률 자문을 대신할 수 없습니다. 개별 비즈니스 모델에 따른 상세한 검토는 반드시 전문가와의 상담을 통해 진행하시기 바랍니다.
법률사무소 완봉 상담 안내
- 대표 전화: 02-6263-9093
- 사무실 주소: 서울 용산구 서빙고로 17 센트럴파크타워 12층 1202호
