개인정보 보호법 개정 시행, AI 학습데이터는 무엇이 달라질까?

개인정보 보호법 개정 시행은 2026년 9월 11일부터입니다. 그런데 해외 매체가 "세계 최초로 집행 가능한 AI 학습데이터 법"이라고 소개한 내용과 이날 시행된 내용은 서로 다른 개정이에요.

결론부터 말하면 이렇습니다. 9월 11일 시행분은 징벌적 과징금과 유출 대응 강화이고, AI 학습데이터 특례는 2027년 3월 9일 시행입니다. 둘을 나눠서 보면 지금 당장 할 일과 6개월 뒤에 할 일이 분명해집니다.

왜 헷갈리는가

Tech Times는 9월 10일 기사에서 한국의 개정 개인정보 보호법을 AI 학습데이터 규율과 매출액 10% 과징금을 묶은 하나의 법으로 설명했습니다. 여기에는 확인이 필요한 지점이 두 가지 있어요.

첫째, 9월 11일 시행된 개정법의 본문은 유출 사고 제재와 책임 체계입니다. AI 학습데이터 조항이 아닙니다. 둘째, AI 특례 개정안은 "국회 표결 대기 중"이 아니라 2026년 8월 20일 본회의를 통과해 9월 8일 법률 제21910호로 공포됐습니다.

쉽게 말하면 개인정보 보호법 개정이 지금 두 갈래로 나란히 굴러가고 있는 셈입니다. 하나는 사고 책임을 무겁게 하는 쪽, 다른 하나는 AI 개발에 개인정보를 쓸 수 있는 길을 여는 쪽이에요.

9월 11일부터 달라진 것

개인정보보호위원회는 9월 10일 보도자료에서 지난 3월 개정된 개인정보 보호법과 개정 시행령, 개정 고시가 9월 11일 함께 시행된다고 밝혔습니다. 핵심은 네 가지입니다.

전체 매출액 최대 10% 과징금 특례. 상한이 기존 3%에서 10%로 올라갔습니다. 다만 모든 위반에 적용되진 않아요. 고의나 중과실로 3년 이내 위반을 반복한 경우, 고의나 중과실로 1,000만 명 이상 피해를 낸 경우, 시정명령을 이행하지 않아 유출이 발생한 경우가 대상입니다. 세 요건은 각각 독립적으로 적용됩니다.

CEO 최종책임과 CPO 이사회 의결. 사업주와 대표자의 최종책임이 법 문언에 명시됐습니다. 연 매출 1,800억 원 초과에 100만 명 이상 개인정보(또는 5만 명 이상 민감정보나 고유식별정보)를 처리하는 사업자 등은 CPO를 지정하거나 변경, 해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 합니다. 신고 기한은 사유 발생일부터 6개월, 계도기간은 2027년 12월 31일까지예요.

유출 가능성 72시간 통지. 실제 유출이 확인되기 전이라도, 개인정보처리시스템에 대한 불법 접근이나 개인정보 불법 거래를 알게 되면 그 시점부터 72시간 안에 정보주체에게 알려야 합니다.

통지와 신고 대상 확대. 분실과 도난, 유출에 더해 위조와 변조, 훼손이 포함됐습니다. 랜섬웨어가 명시적으로 들어온 셈입니다.

반대편에는 인센티브도 있습니다. 예산과 인력, 설비 투자와 보호체계 수준을 고려해 과징금 기준금액의 40% 범위에서 감경할 수 있고, 사고 이후의 신속한 대응도 감경 요소로 반영됩니다. 예방에 쓴 돈이 숫자로 인정된다는 뜻입니다.

ISMS-P 인증 의무화도 이번 개정에 담겼지만 2027년 7월 1일부터 시행됩니다. 지금은 예산 계획에 반영해 둘 항목이에요.

AI 학습데이터 특례는 2027년 3월 9일부터

AI 특례는 제28조의12부터 제28조의15까지를 신설합니다. 세 가지 요건을 모두 갖추고 개인정보보호위원회의 심의와 의결을 거치면 적법하게 수집한 개인정보를 AI 기술 개발 목적으로 당초 목적 외에 이용할 수 있어요.

요건은 이렇습니다. 익명처리나 가명처리만으로는 AI 개발이 곤란한 정보일 것, 대통령령이 정하는 안전장치를 갖출 것, 개발 목적이 공익 증진이나 정보주체와 제3자의 이익 보호를 포함하고 침해 우려가 현저히 낮을 것. 민감정보를 다루면 위험요인평가를 먼저 제출해야 하고, 심의와 의결 후 6개월 안에 처리를 시작하지 않으면 처리가 제한될 수 있습니다.

정리하면 AI 특례는 자유화가 아닙니다. 사전 심의를 통과한 경우에 한해 길을 열어 주는 구조예요. 세부 기준은 앞으로 시행령과 고시에서 정해집니다.

많은 회사가 놓치는 지점은 그 전까지의 근거입니다. 현행 제28조의2는 통계작성과 과학적 연구, 공익적 기록보존 목적에 한해 가명정보를 동의 없이 처리하도록 허용합니다. AI 학습이 여기에 해당하는지는 목적과 방법에 따라 갈리는 조건부 해석이에요. 그리고 학습 단계의 근거는 서비스 운영 단계까지 자동으로 이어지지 않습니다.

AI 기본법과 겹치는 지점

AI를 다루는 회사라면 규제를 두 축으로 봐야 합니다. 개인정보 보호법은 데이터를, AI 기본법은 시스템을 다룹니다.

AI 기본법은 2026년 1월 22일 시행됐고 최소 1년의 계도기간이 운영 중입니다. 계도기간은 과태료 유예이지 의무 유예가 아니에요. 고영향 AI 의무가 요구하는 위험관리와 설명, 이용자 보호 문서와 개인정보 보호법이 요구하는 학습 데이터 출처와 적법근거, 가명처리 이력은 결국 같은 AI 자산 목록 위에 얹히는 두 종류의 증빙입니다.

지금 확인할 것

개인정보위는 2026년 6월 쿠팡에 과징금 6,246억 8,100만 원을 부과했습니다. 개정 전 기준으로 산정된 금액이고, 이 사건에서는 CPO 독립성 보장 위반도 함께 확인됐어요. 개정법이 CEO 책임과 CPO 이사회 의결을 명문화한 배경입니다.

기한이 가까운 것부터 처리하면 됩니다.

• AI 자산 목록화. 운영하거나 개발 중인 AI와 사용 데이터, 개인정보 포함 여부를 한 표로 정리합니다.

• 적법근거 분리 기록. 학습 단계 근거와 서비스 운영 단계 근거를 각각 문서로 남깁니다.

• 72시간 대응 절차. 인지 시점 기록, 판단 책임자, 통지 문안을 미리 확정합니다.

• CPO 절차 정비. 이사회 의결 대상인지 확인하고 시행일부터 6개월 내 신고 일정을 잡습니다.

• 예방 투자 증빙. 감경 심사에 제출할 수 있는 형태로 투자 내역을 보관합니다.

• AI 특례 시나리오. 익명처리나 가명처리로는 개발이 곤란한 데이터셋과 공익성 설명을 미리 정리합니다.

정리하면

• 2026년 9월 11일 시행: 매출액 최대 10% 과징금, CEO와 CPO 책임, 72시간 유출 가능성 통지.

• AI 학습데이터 특례는 별도 개정으로 2027년 3월 9일 시행이고, 개인정보위의 심의와 의결이 전제.

• ISMS-P 의무화는 2027년 7월 1일, CPO 계도기간은 2027년 12월 31일까지.

• 학습 단계와 운영 단계의 적법근거는 따로 기록.

이 흐름을 스프레드시트로 굴리다 보면 어떤 AI가 어떤 의무를 얼마나 이행했는지 추적하는 일 자체가 업무가 됩니다. Kompli는 AI를 자산으로 등록하고, 고영향 AI 해당 가능성을 직접 점검하고, 이행 체크리스트와 안전신뢰문서 초안을 만들어 보관하는 과정을 하나의 대시보드에서 관리하도록 돕고 있어요. 최종 판단은 이용자가 해요.

함께 보면 좋은 글

ChatGPT를 업무에 쓰면 회사가 준비해야 할 것