개인정보 AI 규제

원칙적으로 불가. 예외로 ①가명처리 + 과학적연구 목적(§28-2), ②통계 작성, ③공익기록보존 등 요건 충족 시 가능. 단 가명처리 수준·재식별 위험 평가·안전조치가 필수 전제입니다.

개인정보 포함 시 §15 수집근거 + §28-8 국외이전 위반 가능. 엔터프라이즈 플랜(학습 off) + 입력 가이드라인 + 로그 모니터링 3종이 최소 조건입니다.

§28-2 예외 요건 4가지(가명처리·과학적연구·안전조치·재식별금지) 모두 충족 시에만. 특히 '과학적연구' 해석이 좁아, 상업적 AI 학습은 여전히 제한적입니다.

§28-8 국외이전 동의 + 이전국가, 이전받는 자, 이용 목적, 이전 항목, 보유기간, 거부권 고지. 또는 적정성 인정 국가 여부 확인. EU는 적정성 결정, 미국은 개별 판단.

§37-2 권리 사전 고지(처리방침) + 행사 창구 마련 + 30일 내 처리. 금융·채용·보험에 주로 적용. 거부 시 수동 검토 대체 프로세스 필수.

전체 매출의 3% 한도(개보법 §64-2). 위반 건수·중대성·재발여부·피해 규모에 따라 누진. 2024년 개정 후 과징금 상한이 크게 상향되어 대기업은 수백억 규모가 일반화.

개보법 §23 민감정보 별도 명시적 동의 + §23-2 특별 보호. 사실상 DPIA 수반. 대체수단 제공 + 보관기간 최소화 + 기술적 안전조치(템플릿 암호화·원본 미저장) 필수. PIPC 2025 얼굴인식 가이드라인 참조.

만 14세 미만은 §22-2 법정대리인 동의 필수. 추가로 ①쉬운 용어 고지, ②최소 수집, ③맞춤광고 금지, ④유해 콘텐츠 차단. 생성형 AI는 아동 민감 답변 필터링 + 로그 검토 의무.

공공기관은 대규모 민감정보 처리 시 §33 의무. 민간은 고위험 AI·프로파일링·자동화된 결정 처리 시 PIPC 가이드라인에 따라 사실상 의무. 2026부터 AI기본법 §27 영향평가와 병행 적용.

개보법 §34 ①침해 항목·규모, ②경위, ③피해 최소화 조치, ④연락처·대응 절차. 72시간 내 PIPC 신고 + 정보주체 지체 없이 고지. AI 사고로 인한 침해도 동일 적용. 지연 시 가중 제재.