생성형 AI 개인정보 처리
생성형 AI를 개발하거나 업무에 사용할 때 확인할 개인정보 처리 기준을 공식 안내서와 현행 조문으로 정리했습니다.
생성형 AI의 개인정보 처리는 일률적으로 금지되거나 허용되는 것이 아닙니다. 상용 LLM 이용, 기성 모델 미세조정, 자체 모델 개발 중 어떤 방식인지 먼저 구분하고, 데이터의 출처와 처리 목적별 법적 근거, 외부 사업자 제공·위탁 및 국외 이전, 안전조치와 정보주체 권리 보장 여부를 순서대로 확인해야 합니다.
적용 판단 순서
같은 생성형 AI라도 데이터와 이용 구조에 따라 적용 조문이 달라집니다. 아래 순서로 사실관계를 먼저 나누세요.
1. 개인정보에 해당하는가
프롬프트, 첨부파일, 검색증강(RAG) 자료, 학습데이터와 출력 결과에 개인을 알아볼 수 있는 정보가 포함되는지 확인합니다. 개인정보가 아니라면 개인정보 보호법 적용 판단의 출발점이 달라집니다.
2. 어떤 방식으로 AI를 쓰는가
서비스형 LLM 연계, 기성·오픈소스 모델 활용, 자체 모델 개발은 데이터 흐름과 통제 범위가 다릅니다. 개인정보위 안내서는 이 유형을 나눠 위험과 조치를 확인하도록 제시합니다.
3. 데이터별 처리 근거가 있는가
이용자 데이터, 공개된 개인정보, 가명정보 등 데이터의 출처와 처리 목적별로 동의·법률상 근거·정당한 이익·통계작성 또는 과학적 연구 등 적용 가능한 근거를 구분해 기록합니다.
4. 외부 전송과 국외 이전이 있는가
외부 AI 사업자에게 개인정보가 전달되는 경우 제3자 제공인지 처리업무 위탁인지, 국외 서버로 이전되는지와 고지·계약·보호조치가 필요한지를 실제 서비스 구조에 따라 확인합니다.
5. 안전조치와 권리 대응이 가능한가
최소 입력, 접근 통제, 보유·삭제 정책, 학습 제외 설정, 출력 단계의 개인정보 노출 방지, 침해 대응을 설계합니다. 완전히 자동화된 결정이라면 설명·검토·거부 요구와 기준·절차 공개도 점검합니다.
도입·운영 전 체크리스트
- 처리 목적과 AI 사용 유형을 문서로 남겼는가
- 프롬프트·첨부파일·학습데이터의 개인정보 항목과 출처를 파악했는가
- 데이터 종류별 수집·이용 근거와 보유기간을 확인했는가
- 외부 LLM 사업자와의 제공·위탁 관계 및 국외 이전 여부를 확인했는가
- 모델 학습 사용 여부, 삭제·회수 가능성, 접근 권한을 확인했는가
- 출력에서 개인정보가 재현되거나 추론되는 위험을 시험했는가
- 정보주체의 열람·삭제·자동화된 결정 관련 요구에 대응할 절차가 있는가
- CPO 또는 개인정보 보호 담당자가 출시 전·변경 시 위험을 재검토하는가
관련 법령·조문
조문 이름이 아니라 실제 판단에서 맡는 역할을 함께 표시했습니다. 링크를 누르면 GovBrief 조문 페이지에서 현행 내용과 공식 원문을 확인할 수 있습니다.
| 구분 | 문서 | 비고 |
|---|---|---|
| 법률 | 개인정보 보호법 제15조 · 개인정보의 수집·이용 | 데이터별 수집·이용의 적법 근거 확인 |
| 법률 | 개인정보 보호법 제17조 · 개인정보의 제공 | 외부 AI 사업자에 대한 제3자 제공 해당 여부 확인 |
| 법률 | 개인정보 보호법 제26조 · 업무위탁에 따른 개인정보의 처리 제한 | AI 사업자가 수탁자인 경우 계약·관리 의무 확인 |
| 법률 | 개인정보 보호법 제28조의2 · 가명정보의 처리 등 | 통계작성·과학적 연구 등을 위한 가명정보 처리 요건 |
| 법률 | 개인정보 보호법 제28조의8 · 개인정보의 국외 이전 | 국외 서버·사업자 전송 시 이전 근거와 보호조치 확인 |
| 법률 | 개인정보 보호법 제29조 · 안전조치의무 | 입력·학습·출력·운영 전 과정의 기술적·관리적 보호조치 |
| 법률 | 개인정보 보호법 제37조의2 · 자동화된 결정에 대한 정보주체의 권리 | 완전히 자동화된 결정의 설명·검토·거부 및 공개 의무 |
공식 안내서·원문
요약의 근거가 된 발행기관 자료입니다. 세부 요건과 예외는 원문에서 최종 확인하세요.
자주 묻는 질문
직원이 생성형 AI에 고객 정보를 입력해도 되나요?
AI 이용만을 이유로 바로 허용되지는 않습니다. 해당 정보의 수집·이용 목적과 근거, 외부 AI 사업자에 대한 제공 또는 위탁 관계, 국외 이전, 보유·학습 설정과 안전조치를 먼저 확인해야 합니다. 근거와 통제 방안이 확인되지 않았다면 식별 가능한 고객 정보 입력을 중단하고 내부 승인 절차를 거치는 것이 안전합니다.
인터넷에 공개된 개인정보는 AI 학습에 자유롭게 쓸 수 있나요?
아닙니다. 개인정보위 안내서에 따르면 공개된 개인정보도 개인정보 보호법상 처리 근거가 필요합니다. 정당한 이익을 검토한다면 목적의 정당성, 처리의 필요성, 정보주체 권리와의 구체적 이익형량을 충족하는지 판단하고 그 근거를 남겨야 합니다.
외부 LLM API를 사용하면 항상 제3자 제공인가요?
항상 그렇지는 않습니다. AI 사업자가 독자적 목적으로 개인정보를 처리하는지, 이용 기업의 지시에 따라 처리하는 수탁자인지 등 실제 계약과 처리 구조에 따라 제3자 제공 또는 위탁 여부가 달라집니다. 국외 서버로 전송된다면 국외 이전 요건도 별도로 확인해야 합니다.
AI가 추천만 하고 사람이 최종 결정하면 제37조의2가 적용되나요?
개인정보위 안내서는 완전히 자동화된 시스템으로 이루어진 결정을 대상으로 설명합니다. 최종 결정 전에 사람이 실질적으로 판단하는 절차를 운영한다면 자동화된 결정에 해당하지 않을 수 있지만, 형식적 확인만으로 단정해서는 안 되며 실제 인간 개입의 내용과 영향력을 확인해야 합니다.
이 페이지 내용만으로 법 준수 여부를 확정할 수 있나요?
아닙니다. 이 페이지는 적용 순서와 공식 근거를 찾기 위한 요약입니다. 실제 적법성은 처리 목적, 데이터, 계약, 시스템 설정과 최신 법령에 따라 달라지므로 연결된 조문과 개인정보위 안내서 원문을 확인해야 합니다.