가이드

개인정보 보호법 일부개정법률(법률 제21910호)은 2026년 9월 8일 공포됐고 부칙에 따라 2027년 3월 9일 시행됩니다. 제3장에 제5절(제28조의12부터 제28조의15까지)이 새로 생기면서, 개인정보처리자는 세 요건을 모두 갖추고 개인정보위의 심의·의결을 거치면 적법하게 수집해 둔 개인정보를 인공지능기술 개발에 목적 외로 이용할 수 있게 됩니다. 의결을 받으면 그 범위에서 목적 외 이용 제한, 민감정보·고유식별정보 조항 등의 적용을 배제할 수 있지만, 국외 이전 조항은 처리위탁 유형에만 배제가 열려 있습니다. 승인 뒤에는 주기적 감독과 다섯 가지 처리 제한 사유가 따라오고, 의결 내용은 공개됩니다. 안전장치 기준, 위험요인평가 대상, 심의 절차를 정할 대통령령은 2026년 10월 3일 확인 기준으로 아직 공포되지 않았습니다. 이 면은 날짜표, 조문 지도, 미확정 쟁점표로 그 상태를 한자리에 모읍니다.

AI를 붙인 서비스에 걸리는 규제는 한 법에 모여 있지 않습니다. AI기본법은 사업자 유형 판별(제2조 제7호), 고영향 해당 여부 사전 검토(제33조), 고영향 책무 여섯 가지(제34조), 영향평가(제35조), 투명성 고지(제31조), 국내대리인(제36조)을 걸고, 개인정보 보호법은 자동화 결정 대응과 민감정보 처리를 따로 겁니다. 학습 데이터에는 저작권법이 붙고, 공공기관에 납품하면 조달 쪽 확인 절차가 하나 더 붙습니다. 어느 국면에서 어느 조문이 걸리고 어느 글을 읽어야 하는지를 판별 순서대로 묶은 지도입니다.

본사 DPA가 적어 보낸 processor라는 명칭을 한국법 어느 자리에 놓느냐에서 위탁 관계의 판단이 갈립니다. 우리가 위탁자인지 수탁자인지, 어떤 도구가 '위탁'이고 어떤 것이 '제공'인지, 사고가 났을 때와 계약이 끝난 뒤에 처분이 어느 쪽으로 가는지, 먼저 배상한 쪽은 얼마나 돌려받는지 — 다섯 국면에서 어느 글을 읽어야 하는지를 계약 진행 순서대로 묶은 지도입니다.

유출 사고는 인지·통지·신고·조사·처분·책임 배분 순으로 진행되고, 단계마다 걸리는 조문과 판단 기준이 다릅니다. 각 단계에서 어느 글을 읽어야 하는지를 사고 진행 순서대로 묶은 지도입니다 — 무엇이 '유출등'에 해당하는지, 원인이 직원 실수·퇴사자 반출·수탁사 과실일 때 누가 신고 의무자가 되는지, 처분과 공표는 무엇으로 갈리는지, 배상한 뒤 수탁사에 얼마나 구상할 수 있는지. 인지 후 72시간의 절차 — 규모를 모르는 상태의 우선 통지·우선 신고, 통지와 신고가 다른 유예 사유, 로그 미보전 같은 하면 안 되는 일, 그 기록이 과징금과 배상액에서 다시 쓰이는 경로 — 는 이 페이지 2단계에서 조문 단위로 다룹니다.

법률 제21445호가 2026년 9월 11일 시행됐습니다. 유출등 정의에 위조·변조·훼손이 들어오고, 신고의 근거 조문이 제34조 제3항에서 제4항으로 이동하며, 중대·반복 위반의 과징금 상한이 전체 매출액의 10%가 됐고, 개인정보 보호책임자 지정에 이사회 의결과 신고 의무가 붙었습니다. 후속 시행령도 2026년 9월 10일 대통령령 제36671호로 공포되어 같은 날 함께 시행됐습니다. 시행령은 보호책임자 신고 기한 6개월, 기존 지정자의 시행일부터 6개월 내 신고, 유출 가능성 통지 72시간, 투자감경 40% 이내, 과태료 전 구간 상향을 담았습니다. 같은 날 과징금 부과기준 고시 개정(개인정보보호위원회고시 제2026-12호)과 과태료 부과기준 고시 제정(제2026-14호), 보호책임자 신고서 서식 신설(제2026-11호)도 시행돼 투자감경·가중의 세부 기준이 확정됐습니다. 조문 단위 개정 전후 대조표와 함께, 시행으로 이미 걸린 의무와 2027년까지 아직 남은 일정을 나누어 정리했습니다.