핵심 요약. EU AI Act 제10조 제5항은 고위험 AI의 편향 탐지·시정에 엄격히 필요한 범위에서, 여섯 가지 조건을 전제로 특별범주 개인정보의 예외적 처리를 허용합니다. 한국 개인정보 보호법 제23조 제1항에는 이런 예외가 없고, 민감정보 처리는 별도 동의(제1호)나 법령상 요구·허용(제2호)이 있어야만 가능합니다. AI기본법은 채용·대출 심사 AI를 고영향 인공지능으로 분류해 위험관리방안의 수립·운영을 의무화하면서도, 편향 점검을 위한 민감정보 처리를 허용하는 문언은 두지 않았습니다. 점검을 요구하는 법과 점검에 필요한 데이터를 막는 법을 잇는 조항이 없는 것입니다. 이 공백 때문에 본사의 편향 점검 절차서를 한국 법인에 그대로 이식할 수 없습니다. 그리고 동의 없는 민감정보 처리는 전체 매출액의 100분의 3 이내 과징금 사유로 직접 열거되어 있습니다.

EU AI Act는 제113조에 따라 2026년 8월 2일부터 적용됩니다. 일부 조항의 적용 시기는 다르고 제6조 제1항에 대응하는 의무는 2027년 8월 2일로 미루어져 있지만, 본체의 적용은 시작되었습니다. 이 일정에 맞춰 글로벌 본사들이 완성한 고위험 AI 컴플라이언스 패키지가 지금 한국 자회사로 내려오고 있습니다.

그 패키지에는 채용 AI와 신용평가 AI의 편향 점검 절차가 들어 있고, 근거 조문 칸에는 Article 10(5)가 적혀 있습니다. 이 문서를 받은 한국 법무의 질문은 하나입니다. 우리도 같은 점검을 같은 방식으로 하면 되는가. 본사 프라이버시 정책을 한국 법인에 옮길 때 어긋나는 지점은 여럿이지만, 편향 점검은 그중에서도 근거 조문 자체가 비어 있는 영역입니다.

EU는 편향 점검용 민감정보 처리를 어떻게 열어 두었나?

제10조 제5항의 구조는 목적을 한정한 예외입니다. 원칙적으로 막혀 있는 특별범주 개인정보의 처리를, 고위험 AI의 편향 탐지·시정에 엄격히 필요한 범위에서만 엽니다. 문언은 사업자가 “may exceptionally process special categories of personal data, subject to appropriate safeguards for the fundamental rights and freedoms of natural persons"라고 정합니다.

대신 여섯 가지 조건이 모두 붙습니다. 합성데이터나 익명데이터 등 다른 데이터로는 목적을 달성할 수 없어야 하고, 가명처리를 포함한 최신 보안조치와 재사용에 대한 기술적 제한, 엄격한 접근통제와 기록이 필요합니다. 데이터를 다른 당사자에게 이전해서는 안 되고, 편향이 시정되거나 보유기간이 끝나는 시점 중 먼저 오는 때에 삭제해야 하며, 왜 다른 데이터로는 안 되었는지를 처리활동 기록에 남겨야 합니다. 본사 절차서가 민감정보 처리를 전제로 설계된 이유는 이 조문이 그 처리를 조건부로 허용하기 때문입니다.

한국 개인정보 보호법에도 같은 통로가 있나?

없습니다. 개인정보 보호법 제23조 제1항은 사상·신념, 건강, 성생활 등에 관한 민감정보의 처리를 원칙적으로 금지하면서 예외를 둘만 둡니다. 법정 사항을 알리고 다른 개인정보 처리에 대한 동의와 별도로 동의를 받은 경우(제1호), 그리고 법령에서 민감정보의 처리를 요구하거나 허용하는 경우(제2호)입니다. 편향 탐지를 위한 예외는 없습니다.

GDPR에 익숙한 본사는 유연한 처리 근거를 먼저 찾지만, 본사가 legitimate interest로 처리하는 근거가 한국에서 어디까지 통하는지부터가 별도의 검토 대상입니다. 민감정보에 관한 한 위 두 예외 밖의 길은 조문상 존재하지 않습니다.

그러면 한국법은 편향에 관해 무엇을 요구하나?

AI기본법 제2조 제4호 사목은 “채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"에 쓰이는 인공지능을 고영향 인공지능으로 분류합니다. 제34조 제1항 제1호는 이를 제공하는 인공지능사업자에게 위험관리방안의 수립·운영을 요구하고, 시행령 제27조는 주요 내용의 게시와 이행 근거 문서의 5년 보관을 정합니다. 이 조치의무는 AI기본법이 사업자에게 지우는 의무 전체 가운데 고영향 시스템에 붙는 부분입니다.

이 법의 사정거리는 한국 법인에 그치지 않습니다. 제4조 제1항은 국외에서 이루어진 행위라도 국내 시장 또는 이용자에게 영향을 미치면 이 법을 적용한다고 정합니다. 본사가 개발하고 한국 자회사가 이용사업자로서 배치하는 구조라면, 시행령 제27조 제3항·제4항에 따라 자회사는 개발사업자인 본사에 필요한 자료의 제공을 요청할 수 있습니다.

문제는 위험관리의 내용입니다. 채용 AI의 위험을 관리한다는 것은 시스템이 특정 집단을 불리하게 평가하는지 확인하는 일로 이어지는데, 그 확인에는 건강 같은 민감한 속성 데이터가 필요할 수 있습니다. 그러나 AI기본법과 시행령 어디에도 민감정보 처리를 요구하거나 허용한다는 문언이 없습니다. 제34조 제1항 제1호를 개인정보 보호법 제23조 제1항 제2호의 “법령에서 요구하거나 허용하는 경우"로 읽을 수 있는지는 조문만으로는 답이 나오지 않고, 실무에서 다투어질 자리입니다.

지금 한국에서 남는 길은 무엇인가?

첫째는 제23조 제1항 제1호의 별도 동의입니다. 지원자나 신청자에게 편향 점검 목적을 알리고 다른 동의와 구분해 동의를 받는 방식입니다. 다만 채용·심사 국면에서 받는 동의가 실질적으로 자유로운지, 동의를 거부한 사람이 빠진 표본으로 점검이 성립하는지를 설계 단계에서 따져 두어야 합니다.

둘째는 제28조의2 제1항의 가명정보 특례입니다. 개인정보처리자는 통계작성, 과학적 연구 등을 위해 정보주체의 동의 없이 가명정보를 처리할 수 있습니다. 다만 편향 점검이 여기서 말하는 과학적 연구에 해당하는지, 가명처리된 상태에서 점검에 필요한 속성 확인이 성립하는지는 조문만으로는 답이 나오지 않습니다.

어느 길을 고르든 먼저 정해 둘 것은 같습니다. 어떤 데이터로 무엇을 점검하는지, 각 처리 단계의 근거 조항이 무엇인지, 점검이 끝난 데이터를 언제 지우는지입니다. EU 절차서가 Article 10(5)의 조건에 따라 답해 둔 항목들을, 한국에서는 회사가 스스로 설계해 답해야 합니다.

근거 없이 점검부터 시작하면 무엇이 남나?

본사 절차서를 그대로 실행해 민감정보를 처리하기 시작하면, 그 처리는 한 번의 사건이 아니라 계속되는 상태가 됩니다. 점검 주기가 돌아올 때마다 같은 처리가 반복되고 데이터가 쌓입니다.

개인정보 보호법 제64조의2 제1항 제3호는 제23조 제1항 제1호를 위반하여 동의 없이 민감정보를 처리한 경우를 전체 매출액의 100분의 3을 초과하지 않는 범위의 과징금 부과 사유로 직접 열거합니다. 같은 조 제2항은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 산정 기준으로 정합니다. 그리고 그 데이터가 유출 사고에 포함되면, 회사는 유출을 인지한 뒤 72시간의 대응 과정에서 처리 근거까지 함께 설명해야 하는 위치에 서게 됩니다. 편향 점검은 필요한 일이지만, 처리 근거의 설계가 그보다 먼저입니다.

For your headquarters

Korea has no counterpart to Article 10(5) of the EU AI Act. Under Korea’s Personal Information Protection Act (PIPA), Article 23(1) prohibits the processing of sensitive personal data, subject to only two exceptions: separate and specific consent of the data subject, or a statute that requires or permits the processing. There is no exception for bias detection or correction. Korea’s AI Framework Act classifies AI systems used for hiring and credit decisions as high-impact and requires risk management measures, but its text does not itself authorise the processing of sensitive data for that purpose. Whether that risk management duty qualifies as a statutory permission under PIPA Article 23(1)(ii) remains an open question. The AI Framework Act applies extraterritorially where acts performed abroad affect the Korean market or Korean users, so systems built at headquarters fall within its scope once deployed here. Processing sensitive data without consent is expressly listed as a ground for an administrative fine of up to 3% of total turnover, calculated on turnover excluding revenue unrelated to the violation. Before rolling out your EU bias-testing procedure in Korea, the legal basis for each processing step needs to be designed locally rather than mapped over from the GDPR framework.

자주 묻는 질문

본사의 EU AI Act 편향 점검 절차서를 한국 자회사에서 그대로 쓰면 되나요?

그대로 쓰기는 어렵습니다. 본사 절차서는 EU AI Act 제10조 제5항이 편향 탐지·시정 목적의 민감정보 처리를 조건부로 허용한다는 전제 위에 설계되어 있습니다. 한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없어서, 같은 절차를 그대로 실행하면 처리 근거가 없는 민감정보 처리가 될 수 있습니다. 절차의 각 단계마다 한국법상 근거를 별도로 설계해야 합니다.

한국에서는 편향 점검을 아예 하지 않으면 문제가 없나요?

그렇게 정리되지 않습니다. AI기본법 제34조 제1항 제1호는 채용·대출 심사 같은 고영향 인공지능에 대해 위험관리방안의 수립·운영을 의무로 정하고, 시행령 제27조는 이행 근거를 문서로 5년간 보관하도록 합니다. 편향이 이런 시스템의 주요 위험으로 논의되는 이상, 점검을 생략하는 선택은 이 의무와의 관계에서 따로 설명이 필요합니다. 데이터 제약을 이유로 점검 방식을 조정하는 것과 점검 자체를 하지 않는 것은 다른 문제입니다.

민감정보를 가명처리하면 동의 없이 편향 점검을 할 수 있나요?

단정할 수 없습니다. 개인정보 보호법 제28조의2 제1항은 통계작성, 과학적 연구 등을 위한 가명정보 처리를 동의 없이 허용하지만, 편향 점검이 여기의 과학적 연구에 해당하는지는 조문만으로 답이 나오지 않습니다. 가명처리된 상태에서 점검에 필요한 속성 확인이 성립하는지도 점검 설계에 따라 달라집니다. 이 통로를 쓰려면 해당 여부에 대한 판단과 그 근거를 미리 문서로 정리해 두는 작업이 필요합니다.

참고자료

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.