AI 개인정보 처리 기준, 실무에서 지키는 법

Q: 개인정보가 유출된 것을 알게 되면 언제까지, 어떻게 신고해야 하나요?

정당한 사유가 없는 한 유출 사실을 알게 된 시점부터 72시간 이내에 정보주체에게 통지하고 관계 기관에 신고하는 것이 원칙입니다. 특히 1천 명 이상 유출이거나 민감정보·고유식별정보가 포함된 경우 이 의무가 명확히 적용됩니다.

핵심 요약

AI에 개인정보를 입력하는 순간부터 개인정보보호법 적용 대상이 됩니다
가명처리를 해도 목적 제한과 안전조치 의무는 그대로 남습니다
개인정보 유출을 인지하면 원칙적으로 72시간 이내 통지·신고해야 합니다
기업이 AI를 도입할 때는 영향평가와 위탁계약 점검이 먼저입니다

AI 개인정보 처리 기준이란?

스마트폰 화면에 개인정보 정책 동의 체크박스와 회원가입 버튼이 표시된 모습

AI 개인정보 처리 기준은 챗봇, 업무 자동화 도구, 사내 AI 시스템이 이용자의 개인정보(이름·연락처·주민등록번호·건강정보 등 특정 개인을 식별할 수 있는 정보)를 입력·저장·학습에 활용할 때 지켜야 하는 법적 원칙을 말합니다. 기존 개인정보보호법(PIPA)의 원칙이 AI 서비스에도 그대로 적용되고, 여기에 더해 AI 전용법인 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI 기본법, 법률 제20676호)이 2026년 1월 22일부터 시행 중이라는 점이 핵심입니다. AI 기본법은 생성형 AI 산출물 표시(딥페이크는 가시적 워터마크) 의무와 고영향 인공지능 사업자의 위험관리 의무를 새로 부과했습니다. 정부가 시행 초기 최소 1년 이상 과태료·사실조사에 계도기간을 두기로 했을 뿐 의무 자체가 사라진 것은 아닙니다. 즉 AI를 쓴다는 이유로 개인정보보호법이 비켜가지도 않고, 개인정보보호법만 지키면 된다고 볼 수도 없습니다.

어떤 상황에서 문제가 되나

실무에서 가장 흔한 문제는 세 가지입니다. 첫째, 직원이 사내 문서나 고객 리스트를 그대로 복사해 생성형 AI 챗봇에 붙여넣는 경우. 둘째, 회사가 AI 상담봇을 도입하면서 고객 상담 이력을 별도 동의 없이 AI 학습 데이터로 재사용하는 경우. 셋째, AI 서비스 제공업체가 해외 서버에 데이터를 저장·처리하면서 국내 개인정보보호법상 국외 이전 요건을 충족하지 않는 경우입니다.

AI 서비스 이용자가 지켜야 할 기준

챗봇에 입력하면 안 되는 정보

개인 이용자 입장에서 가장 실질적인 기준은 ‘무엇을 AI에 입력하지 않을 것인가’입니다. 다음 정보는 생성형 AI 대화창에 직접 입력하지 않는 것이 안전합니다.

주민등록번호, 여권번호, 운전면허번호 등 고유식별정보
타인의 이름·연락처·주소가 포함된 명단이나 고객 데이터베이스
진료기록·건강검진 결과 등 민감정보
회사 내부 인사자료(급여, 평가 등급 등)
비밀번호, 계좌번호, 카드번호 등 금융 인증 정보

대부분의 AI 서비스 약관에는 입력된 대화 내용이 서비스 개선이나 모델 학습에 활용될 수 있다는 조항이 포함돼 있습니다. 이 조항을 확인하지 않고 습관적으로 정보를 붙여넣으면, 본인이 인지하지 못한 사이 제3자의 개인정보를 유출시키는 결과로 이어질 수 있습니다.

이용자 동의 확인하는 법

AI 서비스에 회원가입하거나 유료 결제를 할 때는 개인정보 처리방침에서 다음 세 가지를 확인하는 것이 좋습니다. 첫째, 수집하는 개인정보 항목과 목적이 서비스 이용 범위를 벗어나지 않는지. 둘째, 대화 내용이 AI 모델 학습에 사용되는지 여부와 학습 활용을 거부(옵트아웃)할 수 있는 설정이 있는지. 셋째, 데이터가 국외 서버로 이전되는지와 이전 국가·업체명이 명시돼 있는지입니다.

기업이 AI 도입 시 지켜야 할 처리 기준

노트북에 데이터 플로우 차트와 준수 체크리스트가 표시된 사무실 회의 장면

가명처리·비식별화 조치

기업이 고객 데이터를 활용해 AI 모델을 학습시키거나 AI 상담봇에 과거 상담 이력을 학습시키려면, 원칙적으로 가명처리 또는 익명처리를 거쳐야 합니다. 가명처리 시에는 처리 목적, 처리 기간, 접근 권한자를 별도로 기록·관리해야 하며, 가명처리 전 원본 데이터와 분리 보관하는 것이 안전조치의 핵심입니다.

개인정보 영향평가(PIA)가 필요한 시점

공공기관이 일정 규모 이상의 개인정보 파일을 구축·운용하는 경우 개인정보 영향평가(PIA, 개인정보 처리가 정보주체의 권리에 미치는 영향을 사전에 분석·개선하는 절차)가 의무화돼 있고, 민간 기업도 대규모 개인정보를 다루는 AI 시스템을 신규 도입할 때는 자율적으로 영향평가에 준하는 사전 점검을 수행하는 것이 권장됩니다. AI 도구를 외부 업체(클라우드 AI, 챗봇 SaaS 등)에서 위탁받아 쓰는 경우에는 위탁계약서에 개인정보 처리 위탁 범위, 재위탁 금지 여부, 안전조치 의무를 명시했는지도 함께 점검해야 합니다.

구분	이용자(개인) 체크리스트	기업(도입 주체) 체크리스트
입력 전 확인	개인 식별정보·민감정보 미입력	학습용 데이터 가명처리 여부
약관·동의	대화 학습 활용 옵트아웃 설정	수집 목적별 동의 문구 분리
보관·이전	국외 서버 이전 여부 확인	위탁계약서 안전조치 조항 명시
사고 대응	이상 징후 시 서비스사 신고	유출 인지 시 72시간 이내 통지

자주 발생하는 위반 사례와 주의점

AI 개인정보 처리 기준 위반은 고의보다 습관적인 실수에서 비롯되는 경우가 많습니다. 대표적인 사례는 다음과 같습니다.

고객 응대 스크립트를 만들려고 실제 고객 상담 로그를 익명화 없이 그대로 AI에 붙여넣는 경우
사내 AI 도입 시 개인정보 처리방침을 개정하지 않고 새 기능(요약, 자동응답 등)만 추가하는 경우
AI가 생성한 결과물에 실존 인물의 이름·연락처가 그대로 포함돼 그대로 배포하는 경우
퇴사자 정보나 오래된 고객 정보를 파기하지 않고 AI 학습 데이터셋에 계속 포함시키는 경우

이런 실수를 막으려면 AI 도입 초기 단계부터 개인정보 처리방침을 함께 개정하고, 담당 부서(개인정보보호책임자)가 AI 프로젝트 검토에 참여하는 절차를 만들어 두는 것이 효과적입니다.

위반 시 불이익과 신고 절차

개인정보보호법을 위반해 개인정보가 유출되거나 목적 외로 이용된 사실이 확인되면 과징금이 부과될 수 있고, 사안에 따라 형사처벌 대상이 될 수 있습니다. 2023년 9월 15일 시행된 개정법은 과징금 상한액 산정기준을 ‘위반행위와 관련된 매출액’에서 ‘전체 매출액’으로 변경했습니다. 현재 기준은 전체 매출액의 100분의 3을 초과하지 않는 범위에서, 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 기준으로 산정하는 구조입니다.

통지와 신고는 발동 요건이 다르므로 구분해야 합니다. 정보주체 통지는 유출 규모·경위와 관계없이 유출 사실을 알게 된 때부터 72시간 이내에 모든 유출 건에 대해 이행해야 합니다. 반면 보호위원회(또는 한국인터넷진흥원)에 대한 신고는 ① 1천 명 이상 유출 ② 민감정보·고유식별정보 유출 ③ 외부로부터의 불법적인 접근에 의한 유출 중 하나에 해당할 때 72시간 이내에 하는 의무입니다. 따라서 1천 명 미만의 소규모 유출이라도 정보주체 통지 의무는 그대로 남습니다.

AI 서비스를 제공하는 사업자뿐 아니라, AI를 업무에 도입해 개인정보를 처리하는 일반 기업도 이 통지·신고 의무의 적용 대상이 될 수 있습니다. 도입 단계에서부터 유출 사고 발생 시 대응 절차(보고 라인, 통지 문안, 신고 창구)를 미리 정해 두는 것이 실무적으로 중요합니다.

AI 도입 목적과 처리할 개인정보 범위를 문서로 정리한다
가명처리·비식별화가 필요한 데이터를 구분하고 처리 절차를 수립한다
개인정보 처리방침에 AI 활용 관련 문구를 반영·개정한다
완전 자동화된 결정을 활용한다면 그 기준·절차와 처리 방식을 공개하고, 거부·설명 요구에 대응할 절차를 마련한다
위탁업체(AI 서비스사)와의 계약서에 안전조치 의무를 명시한다
유출 등 사고 발생 시 대응 매뉴얼과 통지·신고 체계를 마련한다

관련해 사내 AI 리터러시 교육, 4단계로 설계하는 법을 함께 참고하면 직원 대상 교육까지 연결해 준수 체계를 갖추는 데 도움이 됩니다. 또한 AI 도입 시 준수해야 할 원칙을 더 폭넓게 확인하려면 AI 윤리 가이드라인 필수 항목 7가지도 참고할 만합니다.

자주 묻는 질문

Q. 챗봇에 실수로 개인정보를 입력했다면 어떻게 해야 하나요?

먼저 해당 대화를 삭제하고, 서비스가 대화 기록 저장·학습 활용을 옵트아웃할 수 있는 설정을 제공한다면 즉시 반영해야 합니다. 타인의 개인정보를 입력한 경우라면 서비스 제공사의 고객센터에 삭제 요청을 별도로 접수하는 것이 안전합니다.

Q. 회사에서 업무용으로 AI를 도입할 때 별도 절차가 필요한가요?

네. 개인정보를 다루는 AI 도구라면 처리 목적과 범위를 문서화하고 개인정보 처리방침을 개정해야 하며, 외부 AI 서비스를 위탁 형태로 쓴다면 위탁계약서에 안전조치 조항을 명시해야 합니다.

Q. 가명처리만 하면 AI 학습에 개인정보를 자유롭게 써도 되나요?

아닙니다. 가명처리는 원본과 분리 보관해 재식별이 불가능해야 법적으로 인정되며, 처리 목적과 기간, 접근 권한을 별도로 관리해야 하는 의무는 그대로 유지됩니다.

Q. 개인정보가 유출된 것을 알게 되면 언제까지, 어떻게 신고해야 하나요?

정보주체 통지는 유출 규모와 무관하게 유출 사실을 알게 된 때부터 72시간 이내에 해야 합니다. 반면 보호위원회·한국인터넷진흥원 신고는 1천 명 이상 유출, 민감정보·고유식별정보 유출, 외부의 불법적인 접근에 의한 유출 중 하나에 해당할 때 72시간 이내에 하는 별도의 의무입니다. 소규모 유출이라 신고 대상이 아니어도 통지 의무는 면제되지 않습니다.

Q. AI 서비스 이용약관에서 꼭 확인해야 할 항목은?

대화 내용의 학습 활용 여부와 옵트아웃 가능 여부, 데이터 보관 기간, 국외 서버 이전 여부와 이전 국가·업체명을 우선적으로 확인하는 것이 좋습니다.

AI 개인정보 처리 기준, 실무에서 지키는 법