개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건

핵심 요약: 개인정보보호위원회의 제재 의결 889건에서 인공지능이 쟁점이 된 의결은 적어도 18건입니다. 그중 과징금이나 과태료가 붙은 것은 7건이고, 나머지 11건은 시정권고·개선권고·경고로 끝났습니다. 금전 제재 7건에서 실제로 걸린 것은 AI가 아니라 그 옆의 것이었습니다. 학습에 쓴 원본 데이터의 수집 근거(제18조 제1항), 생체정보 동의, 주민등록번호(제24조의2 제1항), API 취약점(제29조), 유출 신고 지연(제34조·제39조의4)입니다. AI 학습·개발 자체를 이유로 과징금이 부과된 사건은 2021년 이루다(제2021-007-072호) 하나뿐입니다. 2024년 3월과 2025년 4월의 AI 점검에서 위원회는 제15조 제1항·제18조 제1항 위반의 「소지」를 명시하고도 처분하지 않았고, 그 이유를 결정문에 적어 두었습니다.

AI 서비스를 만드는 회사의 법무 담당자가 가장 자주 받는 질문은 이렇습니다.

"우리가 이렇게 학습시키면 과징금이 나오나요?"

이 질문에 답하려면 뉴스가 아니라 의결서를 세어 봐야 합니다. 그래서 개인정보위가 지금까지 낸 제재 의결 전수를 훑고, 인공지능이 실제로 쟁점이 된 사건만 골라 읽었습니다.

어떻게 셌나

개인정보위 제재 의결 전수 889건의 결정문을 텍스트로 모아 두고, 열 개 낱말로 검색했습니다. 인공지능·머신러닝·딥러닝·생성형·학습데이터·안면인식·얼굴인식·프로파일링·챗봇·자동화된입니다.

1차로 29개 문서가 걸렸습니다. 여기서 낱말만 스친 것을 걸러야 했습니다. 자료제출 요구에 "자동화된 프로그램"으로 답변한 사건, 크리덴셜 스터핑의 "자동화된 공격 속도"를 설명한 사건, 업종을 소개하며 "인공지능 음원 분석"이라고 한 줄 적은 사건은 AI 사건이 아닙니다. 문맥을 읽어 걸러내고 남은 것이 18건입니다.

이 수는 「적어도」입니다. 본문이 스캔 이미지여서 텍스트가 열리지 않는 결정문은 이 검색 밖에 있습니다. 그리고 결정문이 공개되지 않은 의결도 있습니다. 세는 방식을 바꾸면 수도 바뀝니다. 예를 들어 맞춤형 광고 사건에서 "프로파일링"이나 "머신러닝"이 한 번씩 나오는 의결 두 건(제2022-014-104호, 제2023-002-003호)은 쟁점이 동의였으므로 제외했는데, 이를 AI 사건으로 넣으면 20건이 됩니다.

처분으로 간 7건은 무엇 때문이었나

일곱 건을 나란히 놓으면 한 가지가 보입니다. AI라서 걸린 것은 맨 위 하나뿐입니다.

AI 개발 자체가 위반이 된 유일한 사건

이루다 사건에서 위원회는 학습 DB에 저장된 카카오톡 대화문장 약 94억 건을 알고리즘에 학습시켜 모델을 만들고, 그중 약 1억 건을 응답 DB로 쓴 행위를 판단했습니다. 결론은 수집 목적 외 이용(제18조 제1항)이었습니다. 과징금 세 항목 중 이루다에 관한 것이 이 항목입니다.

회사는 가명정보 처리(제28조의2)에 해당한다고 다투었지만 받아들여지지 않았습니다.

나머지 여섯 건에서 AI는 배경이었습니다

공장에 설치한 안면인식 카메라는 민감정보 조문으로 가지 않았습니다. 2022년 4월 13일 의결(제2022-006-034호)은 코로나 대응으로 설치한 안면인식 열화상 카메라에 직원 얼굴과 이름을 동의 없이 등록한 사건입니다. 위원회는 열화상 카메라가 필요에 따라 설치 장소를 바꾸거나 목적 달성 후 철거될 수 있어 고정적·항구적 운영을 전제로 하는 영상정보처리기기에 해당하지 않는다고 보았습니다. 그래서 적용 조문은 제25조가 아니라 제15조였고, 지문 근태관리와 함께 제15조 제1항 위반으로 과태료 500만 원과 공표가 결정됐습니다.

출입국 안면정보 사건은 AI 학습을 적법하다고 보았습니다. 언론이 "안면 이미지 1억 7천만 건을 AI 업체에 넘겼다"고 보도한 그 사건입니다. 위원회는 얼굴 사진에서 특징점을 추출한 정보가 민감정보라고 보면서도, 출입국관리법이 생체정보 활용을 규정한 것을 「법령에서 민감정보의 처리를 허용하는 경우」로 인정했습니다. 그리고 안면 데이터를 출입국 관리시스템 고도화, 곧 AI 개발에 쓰는 것은 당초 수집 목적 범위에 포함된다고 판단했습니다.

그래서 남은 위반은 하나였습니다. 위탁하는 업무의 내용과 수탁자를 공개하지 않은 것(제26조 제2항)입니다. 과태료 100만 원이 부과됐습니다.

ChatGPT 사건에서는 안전조치 위반이 부정됐습니다. 2023년 3월 20일 17시부터 이튿날 2시까지 9시간 동안 일부 이용자의 성명·이메일·결제 주소·카드번호 끝 네 자리가 다른 이용자에게 노출된 사건입니다. 위원회는 원인이 된 오픈소스 캐시의 알려지지 않은 버그에 대해 「타사 소프트웨어의 알려지지 않은 오류로 인한 책임을 이를 사용하는 사업자에게 묻는 것은 어렵다」고 보았습니다. 회사가 시큐어 코딩을 이행하고 운영 환경과 거의 같은 환경에서 테스트한 자료를 낸 점도 함께 고려됐습니다.

과태료 360만 원이 붙은 것은 유출 신고를 24시간 안에 하지 않은 것(제39조의4 제1항) 하나입니다. 기준금액 600만 원에서 조사 협력을 이유로 40%가 감경된 금액입니다.

테무 사건에는 안면인식이 그대로 적혀 있지만 판단되지 않았습니다. 결정문은 판매자 입점 절차에서 신분증 사진과 얼굴 동영상을 안면인식으로 대조하는 「자동화된 온라인 얼굴 인증」을 사실관계로 상세히 기술합니다. 그런데 위법성 판단 항목은 하나입니다. 법적 근거 없이 주민등록번호를 처리한 것(제24조의2 제1항)입니다. 과징금 4억 9,000만 원은 전부 이 조문에서 나왔습니다.

AI 학습데이터 회사의 과징금도 AI 때문이 아니었습니다. TELUS International AI 사건은 한국 정보주체를 고용해 AI 학습데이터를 가공·평가하는 플랫폼에서 벌어졌습니다. 채용 지원자 DB를 호출하는 API를 업데이트하면서 취약점 점검과 시큐어 코딩을 하지 않아 13,622명의 정보가 유출됐습니다. 제29조 위반에 과징금 8,200만 원, 통지·신고 지연(제34조 제1항·제3항)에 과태료 720만 원입니다.

다만 이 사건에는 AI가 한 번 결정적으로 등장합니다. 회사는 매출이 계열사로 귀속되므로 관련 매출액이 없다고 주장했는데, 위원회는 기여자가 생성한 데이터를 다른 회사의 AI 학습에 제공하고 있다는 점을 들어 개인정보 처리와 매출 사이에 관련성이 없다고 볼 수 없다고 했습니다. AI 학습데이터 사업이라는 사실이 과징금의 분모를 넓히는 쪽으로 쓰인 셈입니다.

권고로 끝난 11건에서 위원회는 무엇을 미뤘나

나머지 11건은 「주요 인공지능(AI) 서비스 사전 실태점검」을 비롯한 점검 사건입니다.

위반 「소지」는 적고 처분은 하지 않았습니다

2024년 3월 점검에서 위원회는 공개된 데이터로 LLM을 학습시키는 행위를 정면으로 검토했습니다. 사업자는 동의 의사가 추단되거나 정당한 이익이 있다고 주장했고, 위원회는 둘 다 받아들이지 않았습니다. 주민등록번호처럼 관리자나 이용자의 부주의로 노출된 정보에는 공개 의도가 추단될 여지가 없다고 보았고(대법원 2016. 8. 17. 선고 2014다235080 판결), 정당한 이익도 대법원 2023. 6. 29. 선고 2018도1917 판결의 고려 요소에 비추어 인정하지 않았습니다.

그러고는 이렇게 정리했습니다. 「보호법 제15조 제1항 위반에 해당할 소지가 있다.」

그다음 문장이 이 글의 핵심입니다. 위원회는 이번 점검이 사전 실태점검 방식으로 진행됐고, 실제 학습데이터에 고유식별정보가 포함됐다는 것까지는 입증하지 않았으며, 학습데이터에서 개인정보를 제거하는 구체적 방안을 처음 제시하는 점을 고려해 개선을 권고한다고 했습니다. 각주에는 이유가 한 줄로 붙어 있습니다. 「사전 실태점검 목적은 과징금·과태료 처분이 아닌 개인정보 보호의 취약점을 사전에 점검·개선하기 위함.」

같은 태도가 2023년과 2025년에도 나옵니다.

ChatGPT 사건의 결정문은 학습 방법에 관한 자료가 「일반적 수준의 언급에 그치고」 세부 설명이 부족했다고 적은 뒤, 「초거대 생성형 인공지능 서비스는 최근 가시화된 서비스로 법 적용 기준 등이 아직 불명확한 상황이므로 즉각적인 조사·처분 또한 어려움이 있다」고 썼습니다. 각주에는 행정조사기본법 제4조 제1항·제4항을 들어 「현시점에서 위법성 입증 및 처분을 위한 조사를 실시하지 않음」이라고 적혀 있습니다.

DeepSeek 사건에서도 위원회는 프롬프트 입력 정보를 학습에 쓴 행위가 제15조 제1항의 범위를 초과해 제18조 제1항을 위반한 소지가 있다고 판단했습니다. 그러면서 서비스 제공 기간이 약 30일에 불과한 점 등을 들어 「위법성을 입증하여 판단하는 것보다」 전년도 AI 점검에서 마련한 보호조치 방안을 적용할 필요가 있다고 했습니다.

권고라고 해서 가벼운 것은 아닙니다

2024년 6월 통화녹음·요약 AI 사건에서는 위반이 확정됐습니다. 번역과 음성인식을 위해 통화 내용을 국외 서버로 보내면서 근거를 마련하지 않은 것(제28조의8 제1항), 통화녹음과 학습용 데이터를 다루는 서버의 접속기록을 보관하지 않은 것(제29조)입니다. 처분은 시정권고와 개선권고였고, 국외이전에 대해서는 경고가 따로 붙었습니다.

반대 방향도 있습니다. 같은 날 의결된 이미지 생성형 AI 사건의 결정문에는 「보호법 위반사항은 확인되지 않았다」고 적혀 있습니다. 그럼에도 외부 SDK가 의도하지 않은 정보를 보내는지 점검하지 않은 점과, 얼굴인식 정보를 서버로 보내는 기능을 처리방침에만 적어 둔 점이 개선권고로 남았습니다.

시정권고를 수락하면 지위가 달라진다는 점은 따로 정리해 두었습니다. 개인정보위가 혐의 없이 점검을 나왔습니다 — 시정권고를 수락하면 그때부터 무엇이 달라지나를 함께 보십시오.

그래서 회사는 어디를 먼저 보나

18건에서 반복해 지적된 자리는 다섯입니다. 조문 해설이 아니라, 실제로 권고문에 적혀 나온 문장들입니다.

1. 인적 검토 사실을 고지하고 선택권을 주었는가. 2024년 3월 권고의 첫 항목입니다. 이용자가 입력한 내용을 사람이 직접 검토해 미세조정에 쓰는 경우, 그 사실과 목적을 분명히 알리고 데이터 사용 여부를 고를 수 있게 하라는 내용입니다. 점검 당시 사업자들은 제각각이었습니다. 입력 화면에 바로 안내한 곳이 있었고, 여러 단계 링크를 따라가야 알 수 있는 곳이 있었고, 아예 공개하지 않은 곳도 있었습니다.

2. 학습데이터에서 고유식별정보를 제거했는가. 위원회가 임의추출로 분석한 Common Crawl 데이터에서 개인정보 520건이 나왔습니다. 주소 222건, 전화번호 111건, 이메일 106건, SNS 78건, 그리고 건강보험번호·계좌번호·신용카드번호가 각 1건입니다. 이용자가 AI 서비스에 입력한 데이터에서는 850건이 나왔고, 그중 여권번호가 34건, 주민등록번호가 2건이었습니다. 권고는 한국인터넷진흥원이 제공하는 개인정보 노출 페이지 정보를 학습데이터에서 반영해 제외하라는 데까지 나아갑니다.

3. 모델·번역·음성인식을 외부에 맡기며 개인정보가 국외로 나가는가. 국외이전 근거 부재는 18건 중 세 건에서 지적됐습니다. 외부 API를 호출하는 구조라면 처리위탁이든 제공이든 제28조의8 제1항의 사항을 처리방침에 공개하거나 이용자에게 알려야 합니다. 이 자리의 설계는 생성형 AI 서비스의 개인정보 처리방침 — 프롬프트 입력값은 어디에 적히나에 따로 정리했습니다.

4. 학습용 데이터를 보관하는 서버의 접속기록을 남기는가. 위원회는 AI 학습을 위해 정보를 보관하는 서버도 개인정보처리시스템이라고 보았습니다. 그 서버에서 파일을 열람하거나 전송한 기록을 1년 이상 보관하고 월 1회 이상 점검해야 합니다.

5. 외부 SDK가 무엇을 보내는지 확인했는가. 이미지 생성형 AI 사건과 DeepSeek 사건 모두 여기서 걸렸습니다. DeepSeek에서는 서비스 분석 과정에서 이용자 프롬프트 입력 정보가 제3자 SDK를 통해 전송되는 것이 확인됐고, 회사가 제출한 국외이전 현황에는 그 경로가 없었습니다.

여기에 연령 확인이 하나 더 붙습니다. 2024년 점검에서 위원회는 같은 모델을 쓰면서도 서비스마다 연령 제한이 다르게 적용되는 현상을 지적했고, DeepSeek에서는 가입 시 아동 여부를 확인하는 절차가 없다는 점이 제22조의2 위반으로 이어질 수 있다고 보았습니다.

2027년 3월에 달라지는 것

여기까지가 위원회가 판단을 미뤄 온 자리입니다. 국회는 그 자리에 손을 댔습니다.

2026년 9월 8일 공포된 개정법(법률 제21910호)은 제3장에 제5절 「인공지능기술 개발을 위한 개인정보 처리의 특례」를 통째로 신설했습니다. 부칙은 한 줄입니다. 「이 법은 공포 후 6개월이 경과한 날부터 시행한다.」 2027년 3월 9일입니다.

새 절은 네 조문입니다.

제28조의12는 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있게 합니다. 익명이나 가명으로는 개발이 어려울 것, 대통령령이 정하는 기준에 따른 안전장치를 마련했을 것, 개발 목적이 공공의 이익 증진이거나 정보주체·제3자의 이익 보호 또는 사회적 이익 증진에 해당하면서 부당한 침해 우려가 현저히 낮을 것입니다. 위원회는 심의·의결에 조건을 붙일 수 있고, 일정 기준에 해당하면 심의 전에 위험요인평가를 요구합니다.

제28조의15는 특례를 받으면 무엇이 걷히는지를 정합니다. 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 그리고 제28조의8입니다. 다만 제28조의8에는 괄호가 붙어 있습니다. 「개인정보를 국외로 처리위탁하는 경우에 한정한다」입니다. 이 괄호의 실무적 의미는 본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다 — 새 특례로 걷히는 조문과 그대로 남는 국외이전에 따로 정리했습니다.

제28조의13과 제28조의14는 뒤를 막습니다. 위원회가 이행 여부를 주기적으로 관리·감독하고 자료제출을 요구할 수 있으며, 거짓으로 의결을 받은 경우·요건을 충족하지 못한 경우·조건을 지키지 못한 경우·의결일부터 6개월 안에 특별한 사유 없이 처리를 시작하지 않은 경우에는 개인정보 처리의 전부를 제한합니다.

이 글의 관점에서 가장 큰 변화는 따로 있습니다. 제28조의12 제6항이 심의·의결 내용의 공개를 의무로 정했습니다. 심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과 요약을 인터넷 홈페이지 등에 공개해야 합니다. 지금까지 AI 학습에 관한 위원회의 판단은 「위법성을 입증하기보다」라는 문장으로 접혀 있었는데, 2027년 3월부터는 누가 무엇을 허가받았는지가 기록으로 쌓입니다.

같은 개정법은 제2조 제9호에 「인공지능기술」의 정의도 새로 넣었습니다. 내용은 인공지능기본법 제2조 제3호를 그대로 가져온 것입니다. 두 법이 같은 낱말을 쓰기 시작했다는 뜻입니다.

이 글이 세지 않은 것

세 가지를 남겨 둡니다.

첫째, 스캔본으로만 공개된 결정문은 텍스트 검색 밖에 있어서 세지 못했습니다. 그래서 18건은 하한입니다.

둘째, 비공개 의결이 있습니다. 제재 DB 889건 중에는 본문이 열리지 않는 건이 있고, 그 안에 AI 사건이 더 있을 수 있습니다.

셋째, 맞춤형 광고의 프로파일링을 AI로 볼 것인지에 따라 분모가 달라집니다. 이 글은 쟁점이 동의였던 두 건을 제외했습니다.

자주 묻는 질문

Q. 개인정보위가 AI 서비스에 과징금을 부과한 사례가 있나요?

AI 개발·학습 자체를 이유로 과징금이 부과된 사건은 2021년 4월 28일 의결 제2021-007-072호(㈜스캐터랩) 한 건입니다. 수집 목적 외로 카카오톡 대화문장을 AI 챗봇 이루다의 개발·운영에 이용한 행위(제18조 제1항)에 과징금 5,550만 원과 과태료 4,780만 원이 부과됐습니다. 그 뒤 AI 서비스에 붙은 금전 제재는 AI가 아닌 다른 조문에서 나왔습니다. 2025년 6월 25일 의결 제2025-014-047호는 AI 학습데이터를 가공하는 플랫폼의 사건이지만 처분 사유는 API 취약점 방치(제29조)와 유출 통지·신고 지연(제34조)이었고, 과징금 8,200만 원과 과태료 720만 원이 부과됐습니다.

Q. AI 사전 실태점검을 받으면 과징금이 나오나요?

지금까지의 의결에서는 나오지 않았습니다. 2024년 3월 27일 의결 제2024-006-169호는 각주에서 「사전 실태점검 목적은 과징금·과태료 처분이 아닌 개인정보 보호의 취약점을 사전에 점검·개선하기 위함」이라고 밝혔습니다. 같은 의결은 공개된 데이터의 고유식별정보를 제거하지 않고 학습에 쓰는 것이 제15조 제1항 위반에 해당할 소지가 있다고 적으면서도, 실제 학습데이터에 그 정보가 포함됐다는 것까지는 입증하지 않았다는 이유로 개선권고에 그쳤습니다. 다만 점검에서 확인된 위반이 권고로만 끝난다는 뜻은 아닙니다. 2024년 6월 12일 의결 제2024-010-184호는 국외이전 위반에 경고를 함께 했습니다.

Q. 우리 AI 서비스가 점검을 받는다면 무엇부터 보게 되나요?

지금까지 의결에 반복해서 나온 자리는 다섯입니다. 첫째, 이용자가 입력한 내용을 사람이 직접 검토해 학습에 쓰는지와 그 사실을 고지했는지입니다. 둘째, 학습데이터에서 고유식별정보·계좌정보·신용카드정보를 제거했는지와 한국인터넷진흥원이 제공하는 개인정보 노출 페이지 정보를 반영했는지입니다. 셋째, 모델·번역·음성인식을 외부에 맡기며 개인정보가 국외로 나가는 구조인지와 그 근거를 처리방침에 공개했는지입니다(제28조의8 제1항). 넷째, 학습용 데이터를 보관하는 서버의 접속기록을 보관·점검하는지입니다(제29조). 다섯째, 외부 SDK가 의도하지 않은 정보를 전송하는지 점검했는지입니다.

참고 자료

• 의결 18건은 개인정보보호위원회가 공개한 결정문 전문을 직접 읽고 정리했습니다. 본문의 처분 내용·금액·조문·인용 문장은 모두 해당 결정문에서 가져온 것이고, 보도자료나 언론 보도를 근거로 삼지 않았습니다. 결정문은 개인정보보호위원회 위원회 결정문에서 의결 번호로 찾을 수 있습니다.
• 세는 방식은 이렇습니다. 개인정보위 제재 의결 전수 889건(2026년 9월 11일 수집분)의 결정문 텍스트를 모아 인공지능·머신러닝·딥러닝·생성형·학습데이터·안면인식·얼굴인식·프로파일링·챗봇·자동화된의 열 개 낱말로 검색해 29개 문서를 얻고, 문맥을 읽어 낱말만 스친 사건을 걸렀습니다. 본문이 스캔 이미지여서 텍스트가 열리지 않는 결정문은 검색 밖에 있으므로 18건은 하한입니다.
• 조문은 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 원문을 기준으로 했습니다. 다만 각 의결은 행위 당시 법을 적용하므로, 본문에 적은 조문 번호는 그 결정문이 인용한 것을 그대로 따랐습니다. 정보통신망법이 적용된 2021년 페이스북 사건이 그런 예입니다.
• 2027년 3월 9일 시행되는 인공지능기술 개발 특례는 법률 제21910호 개인정보 보호법 일부개정법률 공포문(2026년 9월 8일 공포) 원문을 기준으로 했습니다. 제3장 제5절(제28조의12부터 제28조의15까지) 신설, 제2조 제9호 「인공지능기술」 정의 신설, 제7조의9 제1항 제6호의3·제6호의4 신설이고, 부칙은 「이 법은 공포 후 6개월이 경과한 날부터 시행한다」 한 줄입니다.
• 사전 실태점검의 절차와 시정권고 수락의 효과는 별도 글(시정권고를 수락하면 그때부터 무엇이 달라지나)에 정리했고, 이 글에서는 다시 다루지 않았습니다.
• 대법원 판결 두 건은 2024년 3월 의결이 인용한 것입니다. 동의가 있었다고 인정되는 범위는 대법원 2016. 8. 17. 선고 2014다235080 판결, 정당한 이익의 고려 요소는 대법원 2023. 6. 29. 선고 2018도1917 판결입니다.

이 글은 일반적인 정보 제공을 위한 것이며, 구체적인 사안에 대한 법률 자문이 아닙니다. 개별 서비스의 구조와 데이터 흐름에 따라 결론이 달라질 수 있으므로 개별 검토가 필요합니다.