핵심 요약. EU AI Act 제4a조 제1항(종전 제10조 제5항)은 고위험 AI의 편향 탐지·시정에 엄격히 필요한 범위에서, 여섯 가지 조건을 전제로 특별범주 개인정보의 예외적 처리를 허용합니다. 2026년 7월 개정으로 신설된 같은 조 제2항은 제1항의 조건과 안전장치를 모두 적용하는 것을 전제로, 이 예외를 고위험 AI의 배포자와 그 밖의 AI 시스템·모델의 제공자·배포자에게도 넓혔습니다. 한국 개인정보 보호법 제23조 제1항에는 이런 예외가 없고, 민감정보 처리는 별도 동의(제1호)나 법령상 요구·허용(제2호)이 있어야만 가능합니다. AI기본법은 채용·대출 심사 AI를 고영향 인공지능으로 분류해 위험관리방안의 수립·운영을 의무화하면서도, 편향 점검을 위한 민감정보 처리를 허용하는 문언은 두지 않았습니다. 점검을 요구하는 법과 점검에 필요한 데이터를 막는 법을 잇는 조항이 없는 것입니다. 이 공백 때문에 본사의 편향 점검 절차서를 한국 법인에 그대로 이식할 수 없습니다. 그리고 동의 없는 민감정보 처리는 전체 매출액의 100분의 3 이내 과징금 사유로 직접 열거되어 있습니다.

목차

EU AI Act의 고위험 AI 규정(제3장 제1절부터 제3절까지)은 당초 2026년 8월 2일부터 적용될 예정이었습니다. 그런데 2026년 7월 27일 발효된 개정 규정(Regulation (EU) 2026/1744)이 제113조를 고쳐, 채용·신용평가처럼 부속서 III에 따라 고위험으로 분류되는 시스템에는 2027년 12월 2일부터, 부속서 I에 따라 고위험으로 분류되는 시스템에는 2028년 8월 2일부터 적용하도록 미뤘습니다. 적용일은 미뤄졌지만, 당초 일정에 맞춰 글로벌 본사들이 준비한 고위험 AI 컴플라이언스 패키지는 지금 한국 자회사로 내려오고 있습니다.

그 패키지에는 채용 AI와 신용평가 AI의 편향 점검 절차가 들어 있고, 근거 조문 칸에는 Article 10(5)가 적혀 있습니다(2026년 7월 개정으로 제4a조 제1항으로 옮겨진 조항입니다). 이 문서를 받은 한국 법무팀이 확인하려는 것은 한국 법인도 같은 점검을 같은 방식으로 할 수 있는지 여부입니다. 본사 프라이버시 정책을 한국 법인에 옮길 때 어긋나는 지점은 여럿이지만, 편향 점검은 그중에서도 근거 조문 자체가 비어 있는 영역입니다.

EU는 편향 점검용 민감정보 처리를 어떻게 열어 두었나?

제4a조 제1항(종전 제10조 제5항)의 구조는 목적을 한정한 예외입니다. 원칙적으로 막혀 있는 특별범주 개인정보의 처리를, 고위험 AI의 편향 탐지·시정에 엄격히 필요한 범위에서만 엽니다. 문언은 사업자가 "may exceptionally process special categories of personal data, subject to appropriate safeguards for the fundamental rights and freedoms of natural persons"라고 정합니다.

대신 여섯 가지 조건이 모두 붙습니다. 합성데이터나 익명데이터 등 다른 데이터로는 목적을 달성할 수 없어야 하고, 가명처리를 포함한 최신 보안조치와 재사용에 대한 기술적 제한, 엄격한 접근통제와 기록이 필요합니다. 데이터를 다른 당사자에게 이전해서는 안 되고, 편향이 시정되거나 보유기간이 끝나는 시점 중 먼저 오는 때에 삭제해야 하며, 왜 다른 데이터로는 안 되었는지를 처리활동 기록에 남겨야 합니다. 본사 절차서가 민감정보 처리를 전제로 설계된 이유는 이 조문이 그 처리를 조건부로 허용하기 때문입니다.

2026년 7월 27일 발효된 개정(Regulation (EU) 2026/1744)은 이 예외의 범위를 넓혔습니다. 신설된 제4a조 제2항에 따라 고위험 AI의 배포자, 그리고 그 밖의 AI 시스템·모델의 제공자와 배포자도 특별범주 개인정보를 예외적으로 처리할 수 있습니다. 요건은 둘입니다. 사람의 건강·안전에 영향을 미치거나 기본권에 부정적 영향을 주거나 EU법이 금지하는 차별로 이어질 가능성이 있는 편향의 탐지·시정에 엄격히 필요할 것, 그리고 제1항의 조건과 안전장치를 모두 적용할 것입니다. 같은 항은 이 규정이 그런 편향 탐지·시정을 할 의무를 만드는 것은 아니라고 덧붙입니다. 예외의 대상이 넓어졌을 뿐, 한국 쪽에 대응 조문이 없다는 사정은 그대로입니다.

한국 개인정보 보호법에도 같은 통로가 있나?

없습니다. 개인정보 보호법 제23조 제1항은 사상·신념, 건강, 성생활 등에 관한 민감정보의 처리를 원칙적으로 금지하면서 예외를 둘만 둡니다. 법정 사항을 알리고 다른 개인정보 처리에 대한 동의와 별도로 동의를 받은 경우(제1호), 그리고 법령에서 민감정보의 처리를 요구하거나 허용하는 경우(제2호)입니다. 편향 탐지를 위한 예외는 없습니다.

GDPR에 익숙한 본사는 유연한 처리 근거를 먼저 찾지만, 본사가 legitimate interest로 처리하는 근거가 한국에서 어디까지 통하는지부터가 별도의 검토 대상입니다. 민감정보에 관한 한 위 두 예외 밖의 길은 조문상 존재하지 않습니다.

그러면 한국법은 편향에 관해 무엇을 요구하나?

AI기본법 제2조 제4호 사목은 "채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"에 쓰이는 인공지능을 고영향 인공지능으로 분류합니다. 제34조 제1항 제1호는 이를 제공하는 인공지능사업자에게 위험관리방안의 수립·운영을 요구하고, 시행령 제27조는 주요 내용의 게시와 이행 근거 문서의 5년 보관을 정합니다. 이 조치의무는 AI기본법이 사업자에게 지우는 의무 전체 가운데 고영향 시스템에 붙는 부분입니다.

채용 AI를 공공기관에 납품할 계획이라면 이 위험관리와 별개로 법 제35조가 걸립니다. 제1항은 고영향 인공지능 제공자에게 기본권 영향평가를 하도록 노력할 의무를 지우는 데 그치지만, 제2항은 국가기관등이 영향평가를 실시한 제품·서비스를 우선적으로 고려하도록 정합니다. 공공시장을 보고 있다면 영향평가는 노력 의무 이상의 의미를 갖는 셈입니다. 이 구조는 AI 스타트업에 열린 공공조달에서 따로 다뤘습니다.

이 법의 적용 범위는 한국 법인에 그치지 않습니다. 제4조 제1항은 국외에서 이루어진 행위라도 국내 시장 또는 이용자에게 영향을 미치면 이 법을 적용한다고 정합니다. 본사가 개발하고 한국 자회사가 이용사업자로서 배치하는 구조라면, 시행령 제27조 제3항·제4항에 따라 자회사는 개발사업자인 본사에 필요한 자료의 제공을 요청할 수 있습니다.

문제는 위험관리의 내용입니다. 채용 AI의 위험을 관리한다는 것은 시스템이 특정 집단을 불리하게 평가하는지 확인하는 일로 이어지는데, 그 확인에는 건강 같은 민감한 속성 데이터가 필요할 수 있습니다. 그러나 AI기본법과 시행령 어디에도 민감정보 처리를 요구하거나 허용한다는 문언이 없습니다. 제34조 제1항 제1호를 개인정보 보호법 제23조 제1항 제2호의 "법령에서 요구하거나 허용하는 경우"로 읽을 수 있는지는 조문만으로는 답이 나오지 않고, 실무에서 다투어질 자리입니다.

지금 한국에서 남는 길은 무엇인가?

첫째는 제23조 제1항 제1호의 별도 동의입니다. 지원자나 신청자에게 편향 점검 목적을 알리고 다른 동의와 구분해 동의를 받는 방식입니다. 다만 채용·심사 국면에서 받는 동의가 실질적으로 자유로운지, 동의를 거부한 사람이 빠진 표본으로 점검이 성립하는지를 설계 단계에서 따져 두어야 합니다.

둘째는 제28조의2 제1항의 가명정보 특례입니다. 개인정보처리자는 통계작성, 과학적 연구 등을 위해 정보주체의 동의 없이 가명정보를 처리할 수 있습니다. 다만 편향 점검이 여기서 말하는 과학적 연구에 해당하는지, 가명처리된 상태에서 점검에 필요한 속성 확인이 성립하는지는 조문만으로는 답이 나오지 않습니다.

어느 길을 고르든 먼저 정해 둘 것은 같습니다. 어떤 데이터로 무엇을 점검하는지, 각 처리 단계의 근거 조항이 무엇인지, 점검이 끝난 데이터를 언제 지우는지입니다. EU 절차서가 Article 4a(1)(종전 Article 10(5))의 조건에 따라 답해 둔 항목들을, 한국에서는 회사가 스스로 설계해 답해야 합니다.

근거 없이 점검부터 시작하면 무엇이 남나?

본사 절차서를 그대로 실행해 민감정보를 처리하기 시작하면, 그 처리는 한 번의 사건이 아니라 계속되는 상태가 됩니다. 점검 주기가 돌아올 때마다 같은 처리가 반복되고 데이터가 쌓입니다.

개인정보 보호법 제64조의2 제1항 제3호는 제23조 제1항 제1호를 위반하여 동의 없이 민감정보를 처리한 경우를 전체 매출액의 100분의 3을 초과하지 않는 범위의 과징금 부과 사유로 직접 열거합니다. 같은 조 제3항은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 산정 기준으로 정합니다. 2026년 9월 11일 시행된 개정으로 신설된 제2항은, 과징금 부과처분을 받은 날부터 3년이 지나기 전에 고의 또는 중대한 과실로 같은 호의 위반행위를 다시 한 경우 등에는 전체 매출액의 100분의 10을 초과하지 않는 범위에서 과징금을 부과할 수 있도록 합니다. 그리고 그 데이터가 유출 사고에 포함되면, 회사는 유출을 인지한 뒤 72시간의 대응 과정에서 처리 근거까지 함께 설명해야 하는 위치에 서게 됩니다. 편향 점검은 필요한 일이지만, 처리 근거의 설계가 그보다 먼저입니다.

For your headquarters

Korea has no counterpart to Article 4a (formerly Article 10(5)) of the EU AI Act. Since the July 2026 amendment, Article 4a(2) extends that exception, subject to all of the conditions and safeguards of paragraph 1, to deployers of high-risk AI systems and to providers and deployers of other AI systems and models. Under Korea's Personal Information Protection Act (PIPA), Article 23(1) prohibits the processing of sensitive personal data, subject to only two exceptions: separate and specific consent of the data subject, or a statute that requires or permits the processing. There is no exception for bias detection or correction. Korea's AI Framework Act classifies AI systems used for hiring and credit decisions as high-impact and requires risk management measures, but its text does not itself authorise the processing of sensitive data for that purpose. Whether that risk management duty qualifies as a statutory permission under PIPA Article 23(1)(ii) remains an open question. The AI Framework Act applies extraterritorially where acts performed abroad affect the Korean market or Korean users, so systems built at headquarters fall within its scope once deployed here. Processing sensitive data without consent is expressly listed as a ground for an administrative fine of up to 3% of total turnover, calculated on turnover excluding revenue unrelated to the violation. Before rolling out your EU bias-testing procedure in Korea, the legal basis for each processing step needs to be designed locally rather than mapped over from the GDPR framework.

More English summaries of Korean data protection law: English index.

자주 묻는 질문

본사의 EU AI Act 편향 점검 절차서를 한국 자회사에서 그대로 쓰면 되나요?

그대로 쓰기는 어렵습니다. 본사 절차서는 EU AI Act 제4a조(종전 제10조 제5항)가 편향 탐지·시정 목적의 민감정보 처리를 조건부로 허용한다는 전제 위에 설계되어 있습니다. 한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없어서, 같은 절차를 그대로 실행하면 처리 근거가 없는 민감정보 처리가 될 수 있습니다. 절차의 각 단계마다 한국법상 근거를 별도로 설계해야 합니다.

한국에서는 편향 점검을 아예 하지 않으면 문제가 없나요?

그렇게 정리되지 않습니다. AI기본법 제34조 제1항 제1호는 채용·대출 심사 같은 고영향 인공지능에 대해 위험관리방안의 수립·운영을 의무로 정하고, 시행령 제27조는 이행 근거를 문서로 5년간 보관하도록 합니다. 편향이 이런 시스템의 주요 위험으로 논의되는 이상, 점검을 생략하는 선택은 이 의무와의 관계에서 따로 설명이 필요합니다. 데이터 제약을 이유로 점검 방식을 조정하는 것과 점검 자체를 하지 않는 것은 다른 문제입니다.

민감정보를 가명처리하면 동의 없이 편향 점검을 할 수 있나요?

단정할 수 없습니다. 개인정보 보호법 제28조의2 제1항은 통계작성, 과학적 연구 등을 위한 가명정보 처리를 동의 없이 허용하지만, 편향 점검이 여기의 과학적 연구에 해당하는지는 조문만으로 답이 나오지 않습니다. 가명처리된 상태에서 점검에 필요한 속성 확인이 성립하는지도 점검 설계에 따라 달라집니다. 이 통로를 쓰려면 해당 여부에 대한 판단과 그 근거를 미리 문서로 정리해 두는 작업이 필요합니다.

참고 자료

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

2026년 10월 2일 수정: EU AI Act 개정 규정(Regulation (EU) 2026/1744, 2026년 7월 27일 발효)을 반영해 고위험 AI 규정의 적용일을 2027년 12월 2일(부속서 III)·2028년 8월 2일(부속서 I)로 바로잡고, 편향 점검 조항의 위치를 제10조 제5항에서 제4a조로 고쳤습니다. 같은 개정이 제4a조 제2항으로 예외의 대상을 고위험 AI의 배포자와 그 밖의 AI 시스템·모델의 제공자·배포자까지 넓힌 점도 반영했습니다. 개인정보 보호법 제64조의2는 2026년 9월 11일 시행된 현행 조문의 항 번호(제2항·제3항)에 맞췄습니다.