핵심 요약. 2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)이 인공지능기술 개발을 위한 개인정보 처리의 특례를 신설했습니다. 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다(제28조의12 제1항). 실무에서 갈리는 지점은 특례를 받으면 무엇이 걷히느냐입니다. 적용 제외 목록을 정한 제28조의15는 민감정보·고유식별정보·주민등록번호 조항까지 넣었지만, 국외 이전 조항인 제28조의8은 "개인정보를 국외로 처리위탁하는 경우에 한정한다"고 괄호로 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 남습니다.
외국계 회사의 한국 법인에서 반복되는 상황이 있습니다. 본사가 글로벌 모델을 학습시키면서 한국 이용자 데이터도 쓰겠다고 통보하고, 한국 법인은 그것이 가능한지 확인해 달라는 요청을 받습니다.
지금까지 답은 대체로 부정적이었습니다. 적법하게 수집한 개인정보라도 다른 목적으로 쓰려면 별도 동의를 받거나 법률상 근거가 있어야 하고, 그렇지 않으면 가명·익명 처리를 거쳐야 했기 때문입니다. 이번 개정으로 세 번째 길이 생겼습니다. 다만 그 길이 어디까지 뚫려 있는지가 이 글의 주제입니다.
무엇이 통과됐나
개정법은 제3장에 제5절을 신설해 제28조의12부터 제28조의15까지 네 개 조문을 넣었습니다. 「인공지능기술」의 뜻은 제2조에 제9호를 신설해 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제2조 제3호를 그대로 가져왔습니다. AI기본법상 사업자 의무는 별도의 글에서 다뤘습니다.
절차는 이렇습니다. 민병덕 의원안(2025년 1월 31일)과 고동진 의원안(2025년 3월 13일)을 정무위원회가 통합·조정해 위원회 대안으로 제안했고(2026년 7월 29일), 법제사법위원회를 거쳐 8월 20일 본회의에서 원안가결됐고, 2026년 9월 8일 법률 제21910호로 공포됐습니다.
⚠️ 공포됐고, 시행은 2027년 3월 9일입니다. 부칙이 「이 법은 공포 후 6개월이 경과한 날부터 시행한다」고 정했습니다. 조문 번호는 의안 원문 그대로 확정됐으므로, 이 글의 제28조의12부터 제28조의15까지는 확정 조문으로 읽으시면 됩니다. 다만 요건과 절차의 상당 부분을 정할 대통령령은 아직 만들어지지 않았습니다. 따라서 시행 전인 지금은 이 조문들을 진행 중인 개인정보 처리의 적법근거로 쓸 수 없습니다.
요건은 세 개이고, 전부 갖춰야 합니다
제28조의12 제1항은 요건을 셋으로 나눴습니다.
첫째, 익명 또는 가명으로는 개발이 어려울 것. 조문은 "영상, 음성, 이미지, 부호 및 문자 등 처리되는 정보의 특성, 인공지능기술 개발과의 관련성 등을 고려하였을 때"라는 판단 기준을 붙였습니다. 정보의 종류와 개발과의 관련성을 함께 본다는 뜻이므로, "가명처리하면 성능이 떨어진다"는 일반론만으로는 부족할 가능성이 큽니다. 어떤 정보의 어떤 특성이 왜 필요한지가 소명 자료의 뼈대가 됩니다.
둘째, 안전장치. 기술적·관리적·물리적 조치가 된 환경에서 처리하거나 클라우드 환경 등 개별 상황에 따른 추가 안전조치를 이행하는 등 대통령령으로 정하는 기준을 따라야 합니다. 기준 자체가 아직 없습니다.
셋째, 목적과 침해 우려. 개발 목적이 ⓐ 공공의 이익 증진이거나 ⓑ 정보주체 또는 제3자의 이익 보호·사회적 이익 증진에 해당하면서, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮아야 합니다.
요건을 갖췄다고 바로 쓸 수 있는 것이 아닙니다. 같은 조 제2항이 보호위원회의 심의·의결을 요구하고, 위원회는 그 과정에서 조건을 붙일 수 있습니다. 조건부 의결이 가능하다는 것은 실무적으로 중요합니다 — 신청한 범위 그대로 나오지 않을 수 있다는 뜻이기 때문입니다.
이 특례의 알맹이는 제28조의15입니다
「목적 외 이용이 가능해졌다」는 문장만 보면 이 제도의 크기를 잘못 잽니다. 실제 효과는 적용 제외 목록에 있습니다.
제28조의15는 특례로 개인정보를 이용하는 경우 그 범위 안에서 보호위원회의 심의·의결을 거쳐 다음 조문을 적용하지 않을 수 있도록 했습니다.
| 조문 | 내용 |
|---|---|
| 제18조 ~ 제20조 | 목적 외 이용·제공 제한, 제공받은 자의 이용·제공 제한, 수집 출처 등 통지 |
| 제20조의2 | 이용·제공 내역의 통지 |
| 제23조 | 민감정보의 처리 제한 |
| 제24조 · 제24조의2 | 고유식별정보 · 주민등록번호 처리 제한 |
| 제25조 · 제25조의2 | 고정형 · 이동형 영상정보처리기기 |
| 제28조의8 | 국외 이전 — 단, "개인정보를 국외로 처리위탁하는 경우에 한정한다" |
두 가지를 짚어야 합니다.
하나, 자동으로 걷히지 않습니다. 조문은 "그 범위 안에서 … 적용하지 아니할 수 있다"로 되어 있습니다. 위원회가 심의·의결로 정한 범위가 곧 면제 범위입니다.
둘, 국외이전은 반쪽만 걷힙니다. 이 괄호가 이 글의 출발점이자 결론입니다. 제28조의8이 목록에 있지만 처리위탁 유형에 한정되므로, 국외 이전의 다른 유형은 특례를 받아도 그대로 남습니다.
본사 구조에 그대로 대입해 보면
같은 「본사가 한국 데이터로 학습한다」도 계약 구조에 따라 결론이 갈립니다.
- 본사가 한국 법인의 수탁자 지위에서 처리하는 구조 — 특례 범위 안에서 제28조의8 적용을 배제받을 여지가 있습니다.
- 본사가 데이터를 넘겨받아 자기 목적으로 쓰는 구조 — 처리위탁이 아니므로 특례와 별개로 국외이전 근거를 갖춰야 합니다.
그런데 본사가 보내오는 계약서는 대개 이 구별을 한국법 기준으로 하지 않습니다. 글로벌 DPA가 controller/processor 이분법으로 쓰여 있고 한국법의 자리와 어긋나는 문제는 본사 DPA가 우리를 processor로 적어 왔습니다에서, 계약에 반드시 들어가야 하는 한국법 항목은 본사가 보내온 글로벌 DPA에 서명했습니다에서 다뤘습니다.
📌 실무 순서가 뒤집힙니다. 특례 신청을 먼저 준비하는 것이 아니라, 데이터가 국경을 넘는 구조가 처리위탁인지 먼저 확정한 다음에 특례로 무엇을 덜어낼 수 있는지 따지는 편이 맞습니다.
받은 뒤에 더 조심할 것 — 6개월과 공개
심의·의결을 받았다고 끝이 아닙니다.
제28조의13은 보호위원회가 심의·의결 사항의 이행 여부를 주기적으로 관리·감독하도록 하고, 필요한 범위에서 자료 제출을 요구할 수 있게 했습니다. 요구받은 자는 특별한 사정이 없으면 따라야 합니다.
제28조의14 제1항은 다섯 가지 사유가 있으면 위원회가 개인정보 처리의 전부를 제한하도록 했습니다. 거짓·부정한 방법으로 심의·의결을 받은 경우, 요건을 충족하지 못한 경우, 위원회가 붙인 조건을 충족하지 못한 경우, 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 처리를 시작하지 않은 경우, 중대한 사정 변경으로 목적 달성이 명백히 불가능한 경우입니다.
🔴 네 번째 사유를 일정 관리 항목으로 옮겨 적어야 합니다. 조문이 "제한하여야 한다"로 되어 있어 재량의 폭이 좁습니다. 심의를 미리 받아 두고 개발 착수를 미루는 방식은 이 조항에 걸립니다.
이 다섯 사유를 인수·투자 실사의 확인 항목으로 옮기면 무엇을 받아 보아야 하는지는 대상회사가 AI 학습은 새 특례로 해결된다고 답합니다에서 따로 다뤘습니다.
그리고 공개가 따라옵니다. 제28조의12 제5항은 이용 목적과 유형을 개인정보 처리방침에 포함하도록 했고, 같은 조 제6항은 보호위원회가 심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과 요약을 홈페이지 등에 공개하도록 했습니다. 어떤 회사가 어떤 데이터로 무엇을 개발하려 하는지가 외부에 드러납니다. 처리방침의 기재와 실제 처리가 어긋날 때 어떻게 읽히는지는 자동 생성한 개인정보 처리방침에서 정리했습니다.
지금 준비할 수 있는 것
시행까지 시간이 남았고 대통령령·고시가 아직 없습니다. 그래도 지금 할 수 있는 일이 있습니다.
- 국경을 넘는 구조부터 확정한다. 처리위탁인지 아닌지가 특례의 실익을 가릅니다.
- 「가명처리로는 안 되는 이유」를 데이터 종류별로 적어 둔다. 나중에 소명 자료의 초안이 됩니다.
- 개발 착수 시점을 심의 신청 시점과 붙여서 잡는다. 6개월 조항 때문입니다.
- 공개될 것을 전제로 신청 범위를 설계한다. 요청자와 주요 내용이 공개됩니다.
- 하위법령을 기다린다. 안전장치 기준, 위험요인평가 대상, 간소화 대상이 전부 대통령령·고시에 걸려 있습니다.
9월 11일 시행된 개정법의 나머지 일정은 2026년 개정 개인정보 보호법 가이드에 날짜별로 정리해 두었습니다.
자주 묻는 질문
Q. AI 학습 특례를 받으면 정보주체 동의 없이 개인정보를 쓸 수 있나요?
심의·의결을 거친 범위에서 당초 수집 목적 외로 이용할 수 있습니다. 다만 요건 세 가지를 모두 갖춰야 합니다. 익명 또는 가명으로 처리해서는 개발이 어려울 것, 대통령령으로 정하는 기준에 따른 안전장치를 마련했을 것, 개발 목적이 공공의 이익 증진이거나 정보주체·제3자의 이익 보호 또는 사회적 이익 증진에 해당하면서 정보주체나 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것입니다(제28조의12 제1항). 요건을 갖췄다고 곧바로 쓸 수 있는 것이 아니라 보호위원회의 심의·의결이 별도로 필요합니다.
Q. 특례를 받으면 민감정보나 주민등록번호도 학습에 쓸 수 있나요?
제28조의15는 심의·의결을 거쳐 그 범위 안에서 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2를 적용하지 않을 수 있도록 했습니다. 민감정보(제23조)·고유식별정보(제24조)·주민등록번호(제24조의2) 조항이 목록에 들어 있습니다. 다만 자동으로 걷히는 것이 아니라 위원회가 심의·의결로 정한 범위 안에서만이고, 민감정보나 고유식별정보를 처리하는 경우에는 심의 전에 위험요인평가를 받게 될 수 있습니다(제28조의12 제3항).
Q. 국외이전 규율도 특례로 면제되나요?
일부만입니다. 제28조의15는 제28조의8을 목록에 넣으면서 '개인정보를 국외로 처리위탁하는 경우에 한정한다’는 괄호를 달았습니다. 국외 이전 중 처리위탁 유형만 적용 제외 대상이고, 그 밖의 유형은 특례를 받아도 제28조의8이 그대로 적용됩니다. 본사가 데이터를 넘겨받아 자기 목적으로 쓰는 구조라면 특례와 별개로 국외이전 근거를 따로 갖춰야 합니다.
Q. 심의·의결을 받아두고 나중에 시작해도 되나요?
안 됩니다. 제28조의14 제1항 제4호는 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 개인정보 처리를 시작하지 않으면 보호위원회가 처리의 전부를 제한하도록 정했습니다. 조문이 '제한하여야 한다’로 되어 있어 재량의 여지가 좁습니다. 심의를 미리 받아 두고 개발 착수를 미루는 전략은 이 조항에 걸립니다.
Q. 특례를 쓰면 우리가 무슨 AI를 개발하는지 공개되나요?
네. 제28조의12 제6항은 보호위원회가 심의·의결한 때에 심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과를 요약한 내용을 인터넷 홈페이지 등에 공개하도록 했습니다. 같은 조 제5항에 따라 개인정보처리자 자신도 이용 목적과 유형을 개인정보 처리방침에 포함해야 합니다. 개발 계획의 공개 범위를 사업 판단에 미리 반영해야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
이 글은 2026년 9월 8일 공포된 법률 제21910호의 조문을 기준으로 작성했습니다. 시행일은 2027년 3월 9일이고, 실제 적용은 대통령령과 고시가 정해진 뒤에야 윤곽이 잡힙니다. 구체적인 사안에 대해서는 개별적인 검토가 필요합니다.
참고 자료
- 개인정보 보호법 일부개정법률(법률 제21910호) — 2026. 8. 20. 국회 본회의 통과(정무위원장 대안, 의안번호 2220246), 2026. 9. 8. 공포, 2027. 3. 9. 시행. 제28조의12부터 제28조의15까지를 공포된 법률 원문으로 대조
- 개인정보 보호법 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제28조의8 — 적용 제외 목록이 가리키는 현행 조문 — 국가법령정보센터
