[IT 워크북] IT Insight #1. 고객 데이터를 AI에 입력해도 될까? SMB 리더가 꼭 알아야 할 개인정보보호법 가이드

최근 업무 효율성을 높이기 위해 고객 상담 요약, 문의 응대, 문서 분석 등에 인공지능(AI) 툴을 도입하는 중소·중견기업(SMB)이 급증하고 있습니다.

그러나 편리함의 이면에는 '개인정보 유출'과 '법적 책임'이라는 치명적인 리스크가 숨어 있습니다.

실무진이 무심코 오픈AI(OpenAI)나 구글(Google) 등 해외 AI 서비스에 고객 정보나 직원 급여 데이터를 입력했다가 개인정보보호법 위반으로 과징금 처분을 받을 수 있기 때문입니다.

SMB 리더와 인사담당자가 현행 개인정보보호법을 준수하면서 안전하게 AI를 활용하기 위해 반드시 확인해야 할 법적 쟁점과 실무 체크리스트를 정리했습니다.

1. AI에 고객 정보 입력, 위법일까? 핵심은 '처리위탁'

결론부터 말씀드리면, 고객 개인정보를 AI에 입력하는 것 자체가 무조건 위법은 아닙니다.

대한민국 개인정보보호법은 개인정보의 AI 활용을 원천적으로 금지하고 있지 않습니다. 다만, 어떤 방식으로 입력하고 처리하느냐에 따라 법적 의무가 달라집니다.

기업이 AI 사업자의 서비스를 이용해 데이터 분석이나 고객 응대를 진행하는 경우, 법적으로는 ‘개인정보 처리위탁’에 해당할 가능성이 매우 높습니다. AI 사업자가 기업의 요청에 따라 개인정보를 대신 처리하고 그 결과를 제공하는 수탁자 역할을 하기 때문입니다.

● 개인정보 처리위탁 시 기업의 법적 의무 (개인정보보호법 제26조)

처리위탁에 해당할 경우, 정보주체(고객)의 별도 동의가 반드시 필요한 것은 아닙니다. 대신 기업(개인정보처리자)은 다음 사항을 준수해야 합니다.

• 서면 계약 체결: 위탁 목적 외 개인정보 처리 금지, 안전성 확보조치, 재위탁 제한, 수탁자 관리·감독 등에 관한 사항을 포함한 서면 계약을 체결해야 합니다.
• 관리·감독 의무: 수탁자인 AI 사업자가 개인정보를 안전하게 처리하고 있는지 직접 관리하고 감독해야 합니다.
• 처리방침 공개: 개인정보 처리방침에 위탁 업무의 내용과 수탁자(AI 사업자) 및 재수탁자에 관한 사항을 투명하게 기재해야 합니다.

2. 글로벌 AI 서비스 이용 시 부딪히는 2가지 장벽

문제는 대다수 기업이 이용하는 오픈AI, 구글 등 주요 AI 서비스가 해외 대규모 사업자에 의해 제공된다는 점입니다. 이로 인해 국내 SMB 기업들은 현실적인 장벽에 부딪히게 됩니다.

① 현실적인 관리·감독 및 계약의 어려움

국내 중소기업이 글로벌 빅테크 기업의 보안체계나 재위탁 현황을 직접 점검하거나, 개별적으로 법적 위탁계약 체결을 요구하는 것은 사실상 불가능합니다.

결론적으로 말하자면, 기업은 AI 모델뿐만 아니라 반드시 기업용 ‘구독 플랜’을 함께 검토해야 합니다.

• 해결책 (DPA 확인): 주요 글로벌 AI 사업자들은 기업용 플랜 이용자를 위해 DPA(Data Processing Agreement, 데이터 처리 계약)를 제공합니다. DPA 내에 국내 개인정보보호법 제26조 제1항이 요구하는 보호 규정이 제대로 반영되어 있는지 검토해야 합니다.
• 구독 플랜 확인의 중요성: 일부 사업자는 기업용(Enterprise/Business) 플랜에서만 입력 데이터를 모델 학습에 사용하지 않고 별도의 DPA를 제공합니다. 반면, 무료 버전이나 개인용 플랜에서는 입력 데이터를 모델 학습이나 성능 개선에 넓게 활용할 수 있도록 허용하는 이용약관을 두고 있습니다. 따라서 기업은 AI 모델뿐만 아니라 반드시 '구독 플랜'을 함께 검토해야 합니다.

② 국외 이전 문제

해외 서버를 이용하는 AI 서비스는 국내법상 '개인정보 국외 이전' 규정이 적용됩니다. 법을 위반하여 국외로 무단 이전할 경우 과징금 및 형사처벌을 받을 수 있습니다.

• 해결책: 현행법은 일정한 요건을 충족한 국외 이전을 허용합니다. 정보주체의 동의를 받거나, 정보주체와의 계약 체결 및 이행을 위해 필요한 범위 내에서 처리위탁이 이루어지는 경우 등 법적 근거를 확보하면 해외 서버 기반의 AI 서비스도 적법하게 활용할 수 있습니다.
• 조치 사항: 국외 이전이 발생한다면 개인정보 처리방침에 '개인정보를 이전받는 자, 이전 국가, 이전 받는 자의 이용 목적, 이전의 법적 근거 조항' 등을 명시해야 합니다.

3. "AI가 잘못 안내했다"… 법적 책임은 누구에게 있을까?

"우리 회사 챗봇이 환불 기간을 잘못 안내해서 고객이 피해를 입었습니다. AI 오류인데 회사가 책임져야 하나요?"

네, 전적으로 회사가 책임져야 합니다. 현행 법체계에서 AI는 법적 주체가 아닙니다. AI가 만들어낸 결과물에 대한 법적 책임은 해당 툴을 도입하고 운영한 '회사'와 '사람'에게 귀속됩니다.

4. '자동화된 결정'에 대한 고객의 거부권 행사 대응

만약 기업이 AI를 단순히 업무 보조 수준으로 쓰는 것을 넘어, 채용 여부 결정이나 복지서비스 부정 수급 탐지 등 정보주체의 권리와 의무에 중대한 영향을 미치는 의사결정을 완전히 자동화된 시스템(AI)으로 내린다면 추가적인 법적 의무가 발생합니다.

• 정보주체의 권리: 고객이나 지원자는 이러한 자동화된 결정을 거부하거나 설명을 요구할 수 있습니다.
• 기업의 대응 의무: 정당한 사유가 없는 한, 기업은 자동화된 결정을 거부한 정보주체에 대해 적용을 배제하거나 인간의 개입을 통한 재처리를 진행해야 합니다. 또한, 자동화된 결정의 기준과 절차 등을 개인정보 처리방침에 미리 공개해야 합니다.

5. SMB 리더를 위한 AI 안전 도입 3대 가이드라인

AI 도입은 기업 경쟁력을 위한 필수 흐름이지만, 법적 책임까지 함께 설계해야 안전합니다. 지금 당장 사내 가이드라인에 아래 3가지 수칙을 반영하시기 바랍니다.

1. 사용 중인 AI 툴의 데이터 처리 정책 및 플랜 점검: 계약 검토.

• 직원들이 쓰는 AI 서비스가 개인용/무료 플랜인지, 기업용 플랜인지 확인하십시오. 입력 데이터의 학습 활용 여부, 데이터 저장 위치(국내/해외), 제3자 공유 여부를 파악하고, 개인정보가 포함된 데이터는 원칙적으로 입력하지 않도록 통제해야 합니다.

2. 개인정보 처리방침 최적화 및 권장 문구 반영: 공시 의무.

• 개인정보 처리방침에 위탁 업무 내용과 수탁자(AI 사업자)를 명시하십시오. 데이터가 답변 생성 외의 목적으로 이용되지 않거나 모델 학습에 활용되지 않는다는 사실(기업용 계약 체결 등)을 투명하게 기재하는 것이 안전합니다.

3. ‘인간의 최종 검토(Human-in-the-loop)’ 단계 의무화: 내부 규정화.

• 계약서, 공문, 고객 안내문 등 법적 효력이 있는 모든 문서는 AI 초안을 그대로 사용하지 못하도록 프로세스를 고정하십시오. 내부 규정으로 명문화해 두어야 향후 발생할 수 있는 직원의 실수를 방지하고 법적 면책 근거를 마련할 수 있습니다.