AI규제

회사가 서버가 해외에 있는 생성형 AI에 업무 문서를 넣으면 그 안의 개인정보는 국외로 이전됩니다. 흔히 근거로 적는 개인정보 보호법 제28조의8 제1항 제3호는 「정보주체와의 계약의 체결 및 이행을 위하여」 필요한 처리위탁·보관을 요건으로 합니다. 소송 상대방 회사의 대표·담당자는 회사와 계약한 개인이 아니고, 회사가 자기 영업 분석에 쓰는 고객사의 고객 정보는 연결할 계약 이행을 찾기 어렵습니다. 개인정보위 실무는 계약한 이용자가 있는 서비스에서 제3호를 적용해 왔지만, 계약 당사자가 아닌 사람의 정보에도 이 호가 서는지를 직접 다룬 공식 문서는 확인 범위에서 찾지 못했습니다. 회사가 고객사의 수탁자로서 처리하는 경우는 따로 따져야 합니다.

AI기본법 제4조 제1항은 국외에서 이루어진 행위라도 국내 시장이나 이용자에게 영향을 미치면 법을 적용한다는 확장 규정입니다. 이 조문을 거꾸로 읽어 국내 이용자가 없으면 적용되지 않는다고 결론 내리는 것은 문언이 뒷받침하지 않는 것으로 보입니다. 한국 법인이 국내에서 개발·운영하는 행위는 처음부터 국내 행위이고, 의무 조문의 이용자에도 소재지 제한이 없습니다. 해외 투자자 실사에는 적용 없음 한 줄보다 조문별 판단으로 답하는 편이 안전합니다.

가상 사례입니다. 외부 벤더가 공급한 고객상담 AI 에이전트가 상담 창에 입력된 지시문(프롬프트 인젝션)에 따라 고객 주문 정보를 외부 주소로 보낸 사고를 발견부터 72시간까지 시간순으로 따라갑니다. 인지 시점, 유출 가능성 통지, 시행령 제40조 제1항 제3호의 「외부로부터의 불법적인 접근」 해당 여부, 정보통신망법의 24시간 신고, 벤더의 수탁자 지위, 회수·삭제 단서, 통지 문안과 기록에서 회사가 고를 수 있었던 선택지와 그때 남는 기록을 표로 정리했습니다. 프롬프트 인젝션이 제3호에 해당하는지에 관한 개인정보위의 공개 해석은 2026년 10월 15일 기준 확인하지 못했고, 해당한다고 볼 근거와 아니라고 볼 근거가 함께 있습니다.

올해 말 예고된 「(가칭)에이전틱 인공지능 개인정보 처리 안내서」에서 확인할 지위·책임, 승인, 권한, 로그·메모리 질문을 정리합니다. 스페인·홍콩의 기준과 채택 전 유럽평의회 초안을 한국 조문에 대조하고, 발간일에 실제 답변을 기록할 표를 마련했습니다.

개인정보보호위원회 결정문 게시판의 제재 의결 889건을 전수로 훑어, 인공지능이 쟁점이 된 의결 18건을 골라냈습니다. 그중 과징금이나 과태료가 붙은 것은 7건이고 나머지 11건은 권고와 경고로 끝났습니다. 금전 제재 7건을 보면 AI 자체가 아니라 그 옆의 것이 걸렸습니다. 학습에 쓴 원본 데이터의 수집 근거, 생체정보 동의, 국외이전, 평범한 API 취약점입니다. AI 학습을 이유로 과징금이 부과된 사건은 2021년 이루다 한 건뿐이고, 2024년과 2025년의 AI 사전 실태점검에서 위원회는 제15조 제1항 위반 「소지」를 적으면서도 처분하지 않았습니다.

자세·동작을 분석하는 앱은 이용자가 찍은 영상을 자기 모델 학습에 다시 쓰고 싶어 합니다. 얼굴이 찍힌 영상은 개인정보이지만, 특정 개인을 알아볼 목적의 특징정보로 만들지 않는 한 생체인식정보(민감정보)는 아닙니다. 그러나 '서비스 개선' 목적 기재와 약관의 콘텐츠 라이선스 조항만으로 모델 학습에 쓰면 목적 외 이용이 됩니다. 2021년 이루다 사건에서 개인정보위는 '신규 서비스 개발' 기재만으로는 이용자가 예상할 수 없다고 보아 제18조 제1항 위반으로 제재했고, 2025년 1심 법원도 같은 판단으로 위자료를 인정했습니다. 이 글은 생체정보 판정, 동의 설계, 삭제 요구 처리, 저장소 분리까지 실무 순서로 정리합니다.

「데이터기반행정 활성화에 관한 법률」이 법률 제21392호로 개정되어 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 제명이 바뀌어 2026년 8월 28일 시행됐습니다. 공공기관은 AI를 정책 수립·의사결정에 활용할 때 최종적인 권한과 책임이 해당 기관에 있음을 명확히 하여야 하고(제3조 제5항), 편향성·투명성 고려(제3조 제7항), 학습용데이터 품질 확보(제29조), AI 서비스 현황 제출·공표(제30조), 윤리기준 이행(제31조) 의무를 집니다. 공공분야 인공지능 영향평가(제32조)는 2027년 2월 28일 시행되며, 이미 AI를 운영 중인 기관은 부칙 제5조에 따라 시행일부터 2년 안에 평가를 마쳐야 합니다. 개정 시행령(대통령령 제36604호)이 2026년 8월 25일 공포되어 평가 기준(시행령 제26조), 제외대상과 행정안전부장관 확인(제27조), 실시기관(제28조), 위험관리방안의 내용(제29조)이 정해졌고, 개정 시행규칙(행정안전부령 제637호)은 2026년 8월 28일 공포·시행되어 공공 인공지능·데이터협회 설립인가 절차(시행규칙 제4조, 별지 제7호서식)를 정했습니다. 학습용데이터 품질·현황 공표·윤리기준의 하위규범과 시행령이 위임한 고시 세 건은 2026년 10월 16일 국가법령정보센터 행정규칙 검색 기준으로 제정되지 않았습니다. 행정안전부가 2026년 10월 1일 확정했다고 발표한 「공공부문 인공지능 윤리기준」은 실무 지침으로 소개됐고, 법 제31조와의 관계는 발표 자료에 적혀 있지 않습니다. 이 글은 수범자가 공공기관인 이 법을 납품사 관점에서 역산하여, 편향 검증 자료·학습데이터 품질 입증·현황 공표 대비·윤리기준 준수 확약 등 공공에 AI를 납품하는 회사가 계약에서 받게 될 요구와 컨소시엄 내부의 책임 배분 문제를 정리합니다.

공공조달에서 우선구매 고려 대상이 되려면 과기정통부장관의 'AI 제품·서비스 확인'을 받아야 합니다. 절차는 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호, 2026년 7월 21일 시행)가 정합니다. 확인기관은 한국인공지능진흥협회, 기술 심사는 한국정보통신기술협회가 맡고, 신청 전에 조달청 목록정보시스템에서 물품목록번호를 먼저 받아야 합니다. 심사 기준 일곱 가지, 확인 제외 대상 세 가지, 보완 요청과 결정 기한, 확인 취소까지 조문 단위로 정리합니다.

생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다.

정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 두어 사실조사와 과태료 부과를 유예하고 있습니다. 그런데 계도기간은 법령에 근거한 의무 유예가 아니라 행정 운영 방침입니다. 의무 자체는 2026년 1월 22일부터 발생해 있습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이고 나머지는 사실조사와 시정명령을 거치는데, 사실조사 대상 조문에 사전 고지가 빠져 있는 이유까지 함께 정리합니다.