고객 상담 내역이나 서비스 이용 기록으로 AI의 성능을 높일 수 있다면, 스타트업에는 반가운 일입니다. 그런데 개발을 시작하려니 질문이 생깁니다. 서비스를 제공하려고 받은 데이터를, 우리 AI를 학습시키는 데도 써도 될까요? 고객에게 동의는 받았는데 말입니다.

AI 개발에 개인정보를 활용하는 특례가 생기면서 이 질문은 더 중요해졌습니다. 관련 개정법은 2026년 9월 8일 공포됐고, 2027년 3월 9일부터 시행됩니다. 적법하게 수집한 개인정보를 당초 목적 밖의 AI 개발에 이용할 수 있는 근거가 추가된 것입니다. (개정법 원문)

그렇다면 회사가 쌓아 둔 데이터의 활용 범위도 넓어질까요? 임팩터스가 실제 스타트업 법률자문에서 만난 사례를 통해 그 답을 살펴보겠습니다.

고객이 동의한 데이터라면, AI 학습에도 쓸 수 있지 않나요?

먼저 학습할 데이터에 개인정보가 포함돼 있는지 확인해야 합니다. 개인정보가 있다면, 어떤 목적으로 받은 데이터이고 AI 학습에 이용할 근거가 있는지 살펴봐야 합니다.

임팩터스가 자문한 스타트업의 사례를 통해 차근차근 살펴보겠습니다.

A사는 고객사의 광고 계정을 연동해 성과를 분석하고, AI가 광고 예산을 조정하는 서비스를 준비하고 있었습니다. 이렇게 받은 데이터를 학습에 활용해 모델의 성능을 높이고, 이를 사업의 강점으로 설명하고 싶어 했습니다.

“고객이 직접 허용한 데이터만 가져오거든요. 이 데이터를 AI 학습에도 활용하려고 하는데, 문제가 될까요?”

임팩터스는 먼저 학습에 넣으려는 데이터부터 물었습니다.

“학습하려는 데이터 중 구체적으로 어떤 부분이 개인정보에 해당한다고 보시나요?”

A사가 학습에 활용하려는 데이터는 광고의 효율을 보여주는 데이터였습니다. 어느 매체에 광고를 집행했을 때 유입이 얼마나 발생했는지, 그중 실제 전환으로 이어진 비율은 얼마인지, 광고비 대비 성과는 어땠는지 등을 학습해 광고 예산을 더 효과적으로 배분하려는 것이었습니다.

그런데 찬찬히 살펴보니, 이 광고 효율 데이터에는 개인정보가 포함돼 있지 않았습니다. 따라서 해당 데이터를 학습에 활용하기 위해 개인정보보호법상 AI 활용을 검토할 필요는 없었습니다. ‘고객 데이터로 AI를 학습하려고 한다’는 설명만으로는 개인정보가 포함돼 있는지 알 수 없기 때문에, 실제 데이터의 내용을 확인해야 했던 것입니다.

만약 학습하려는 데이터에 개인정보가 포함돼 있다면, 그때는 데이터를 받은 목적과 학습에 이용할 근거를 살펴봐야 합니다. 예를 들어 고객 상담을 위해 받은 개인정보를 상담 AI의 성능을 높이는 데도 쓰려 한다면, 처음 받은 동의가 그 학습까지 포함하는지, 그 밖에 이용할 적법한 근거가 있는지 확인해야 합니다. 기존 근거로 계획한 학습을 진행하기 어렵다면, 이번 특례의 요건을 갖춰 이용할 수 있는지도 검토할 수 있습니다.

새 특례가 우리 제품에 필요한지 검토할 때도 어떤 근거로 받은 데이터를, 처음 목적과 어떻게 다른 학습에 쓰려는지부터 알아야 합니다. 그 내용을 확인해야 기존에 허용된 활용 범위와 특례를 통해 검토할 부분도 구분할 수 있습니다.

이번 AI 개인정보 특례로 무엇이 달라지나요?

이미 적법하게 수집한 개인정보를, 요건과 심의를 거쳐 원래 목적 밖의 AI 개발에 이용할 수 있게 됩니다. 성능 개선도 포함됩니다.

개인정보를 가명·익명 처리하면 사람을 알아볼 가능성을 줄일 수 있습니다. 하지만 데이터의 특성에 따라 그런 처리로 AI 개발이 어려운 경우가 있습니다. 이번 특례는 이 문제에 대응하기 위한 제도입니다. (개인정보보호위원회 설명)

이용하려면 다음 요건을 갖추고 개인정보보호위원회의 심의·의결을 받아야 합니다.

• 가명·익명 처리로는 AI 개발이 어려워야 합니다. 처리되는 정보의 특성과 개발의 관련성 등을 고려합니다.
• 안전장치를 마련해야 합니다. 법은 안전조치가 된 처리 환경과 클라우드 환경 등의 추가 조치를 제시하고, 세부 기준은 대통령령에 맡겼습니다.
• 공공의 이익이나 정보주체(그 개인정보의 당사자)·제3자의 이익 보호, 사회적 이익 증진을 개발 목적에 포함해야 합니다. 다른 사람의 이익을 부당하게 침해할 우려도 현저히 낮아야 합니다.

심의에는 조건이 붙을 수 있고, 승인 후에도 이행 여부를 관리·감독받습니다. 세부 심의 기준과 절차 등은 대통령령에 위임돼 있습니다. (개정법 제28조의12·13)

이 특례가 출발점으로 삼는 것은 앞서 언급한 ‘적법하게 수집한 개인정보’입니다. 회사가 데이터를 가지고 있다는 사실만으로 그 전제가 충족되지는 않습니다. 수집 근거가 불분명하다면, 시행을 기다리는 동안 그 근거부터 확인해야 합니다.

유료 AI 서비스도 특례를 검토할 수 있나요?

유료 서비스라는 사실만으로 판단할 수는 없습니다. 개발 목적과 다른 사람의 이익에 미칠 영향을 함께 봐야 합니다.

법에 적힌 목적은 ‘공공의 이익’에만 한정돼 있지 않습니다. 정보주체나 제3자의 이익 보호, 사회적 이익 증진도 포함합니다. 그렇다고 서비스의 편리함이나 성능 향상을 설명하는 것만으로 요건을 충족한다고 단정할 수도 없습니다. 구체적인 개발 목적이 법정 요건에 해당하는지는 심의에서 판단받아야 합니다. (개정법 제28조의12)

스타트업 입장에서는 ‘AI의 성능이 좋아진다’는 설명에서 한 걸음 더 들어가야 합니다. 그 기능이 누구의 어떤 문제를 해결하는지, 개발에 왜 개인정보가 필요한지, 그 과정에서 생길 위험은 무엇인지를 구체적으로 설명해 보는 것입니다.

임팩터스는 다음 세 질문부터 답해볼 것을 권합니다.

• 사람을 알아볼 수 있는 정보를 가리면, 어떤 기능의 개발이 왜 어려워지는가?
• 개발하려는 기능은 누구의 어떤 이익을 보호하거나 사회적 이익을 높이는가?
• 그 과정에서 데이터에 담긴 사람에게 생길 수 있는 불이익을 어떻게 줄일 것인가?

이 질문들은 확정된 심의 제출 항목은 아닙니다. 그러나 특례 시행 전 미리 개발팀과 함께 답을 정리하면, 우리 제품에 특례가 필요한 이유와 추가로 준비할 내용을 구체화할 수 있습니다.

📍지금 우리 회사는 무엇부터 준비하면 좋을까요?

다음에 출시할 AI 기능 하나를 골라, 필요한 데이터와 그 데이터를 쓸 근거를 함께 확인해 보시기 바랍니다.

앞선 자문에서도 고객의 동의, 데이터 전달 관계, 제공 플랫폼의 이용 조건이 검토 대상이었습니다. 특례를 검토하는 회사라면 여기에 가명·익명 처리로 개발하기 어려운 이유와 나머지 법정 요건을 더해야 합니다. 준비 순서는 다음처럼 잡을 수 있습니다.

1. 이미 가진 데이터는 수집 당시의 동의 화면과 약관·계약부터 확인합니다. 어떤 목적으로 받았고 어디까지 사용하기로 했는지 살펴봅니다. 다른 회사나 플랫폼에서 전달받았다면, 그 과정과 사용 조건도 확인합니다.
2. 앞으로 받을 데이터는 새 AI 기능에 어떻게 활용할지 용도를 먼저 정합니다. 어떤 정보를 어떤 학습에 활용하려는지 정리한 뒤, 고객에게 설명할 내용과 수집 화면·약관·계약이 그 계획에 맞는지 검토합니다.
3. 특례가 필요한 이유를 개발 과정에서 정리합니다. 어떤 정보를 가리거나 바꾸면 어떤 기능의 개발이 왜 어려워지는지 기록합니다. 개발하려는 기능이 누구에게 어떤 이익을 주는지, 개인정보를 어떻게 보호할지도 함께 정리한 후 앞으로 공개될 세부 기준에 맞춰 보완합니다.

동의서 문구를 정비하는 일도 이 과정에 포함됩니다. 그 문구가 실제 수집 방식과 앞으로의 활용 계획에 맞아야 합니다.

앞서 소개한 임팩터스의 데이터 자문 사례에서 얻을 수 있는 시사점도 동일합니다. AI 기능을 기획할 때 ‘어떤 데이터가 필요한가’와 ‘그 용도로 쓸 근거가 있는가’를 함께 검토해야 한다는 것입니다. 데이터를 어디까지, 어떻게 활용할 수 있는지 미리 설계한다면, 법무는 규제를 검토하는 역할을 넘어 새로운 제품과 사업을 움직이는 동력이 될 수 있습니다.

📍 참고한 글

• 국가법령정보센터, 「개인정보 보호법」 제정·개정문(법률 제21910호, 2026. 9. 8. 공포 / 2027. 3. 9. 시행). https://law.go.kr/LSW/lsRvsDocListP.do?chrClsCd=010102&lsId=011357
• 개인정보보호위원회, 「안전한 인공지능 개발을 위한 개인정보 활용 특례 신설」, 2026. 8. 20. https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12391

AI 특례는 2027년 3월에 시행되지만, 개인정보보호법 개정 자체는 이미 지난 9월 11일부터 적용되고 있습니다. 대표자의 최종 책임과 유출 통지 기준이 어떻게 달라졌는지는 이 글을 확인해 보세요.

법무법인 임팩터스는 서비스의 데이터 수집·활용 방식과 약관·계약을 함께 검토합니다. 고객 데이터로 AI 기능을 개발하고 있다면, 어떤 데이터를 어디에 쓰려는지부터 임팩터스에게 들려주세요.