가명처리하면 AI 학습에 써도 되나요?
본 글은 제도 이해를 돕기 위한 교육용 참고 자료이며, 법률 자문이 아닙니다. 본문의 법령은 최종 수정일 기준으로 요약 및 발췌되었으므로, 이후 개정되거나 해석이 달라질 수 있습니다. 실제 업무에 적용하기 전 반드시 현행 법령(국가법령정보센터)을 직접 확인하고 전문가(세무사·노무사 등)의 자문을 거치시기 바랍니다. 본 글의 정보를 활용해 발생한 어떠한 결과나 법적 문제에 대해서도 작성자는 책임지지 않습니다.
사내 데이터로 모델을 학습시키자는 논의에서 “가명처리해서 쓰면 된다”는 말을 자주 듣습니다. 하지만 가명처리 여부만으로 동의 없이 사용할 수 있는지 결정되지는 않습니다. 이용 목적과 처리 근거, 안전조치를 함께 확인해야 합니다.
어떤 AI 학습에 가명정보 특례를 적용할 수 있을까요?
이 글에서는 개인정보 보호법의 가명정보 특례가 허용하는 목적과 지켜야 할 의무를 살펴봅니다. 가명정보가 여전히 개인정보인 이유는 개인정보의 범위에서, 외부 업체에 처리 업무를 맡기거나 제공할 때의 판단은 위탁과 제공에서 다뤘습니다.
가명처리: 개인정보에서 벗어나지 않는 이유
먼저 가명처리가 무엇인지 조문으로 확인해 두겠습니다.
개인정보 보호법 제2조(정의) 1의2. "가명처리"란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.
가명처리는 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 하는 처리입니다. 결과물은 제2조 제1호 다목에 따라 여전히 개인정보에 해당합니다. 매핑 테이블 유무만으로 판단할 것이 아니라, 남은 항목과 이용 환경에서 개인이 식별되는지도 확인해야 합니다.
가명처리했다는 사실만으로 모든 이용이 허용되지는 않습니다. 어떤 목적으로 어떤 근거에 따라 처리하는지를 별도로 확인해야 합니다. 익명정보로 법 적용에서 제외되려면 시간·비용·기술 등을 합리적으로 고려했을 때 다른 정보로도 개인을 알아볼 수 없어야 합니다. 매핑 파일만 지우는 것으로 이 요건이 자동 충족되지는 않습니다.
동의 없이 처리할 수 있는 세 가지 목적
그렇다면 가명정보로 만들면 실제로 무엇이 달라질까요? 조문은 짧습니다.
개인정보 보호법 제28조의2(가명정보의 처리 등) ① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.
② 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다.
동의 없는 처리에는 적정한 가명처리와 함께 법이 허용한 목적이 필요합니다. 통계작성, 과학적 연구, 공익적 기록보존 중 하나에 해당해야 이 조항을 쓸 수 있습니다. 같은 데이터를 같은 방식으로 가명처리했더라도 목적이 이 셋에 들지 않으면 특례를 적용할 수 없고, 원래의 처리 근거를 다시 찾아야 합니다.
따라서 서비스 제공을 위해 수집한 데이터를 별도의 통계나 과학적 연구에 활용할 때 이 특례를 검토할 수 있습니다. 가명처리만 하면 어떤 목적 외 이용도 허용된다는 뜻은 아닙니다.
제2항도 짚어 둘 필요가 있습니다. 가명정보를 밖으로 내보낼 때 재식별에 쓰일 수 있는 정보를 함께 보내면 안 된다는 조항인데, 개인과 가명값을 연결하는 매핑 정보가 대표적입니다. 데이터를 연결하는 모든 가명 키가 곧바로 금지된다는 뜻은 아닙니다. 데이터를 가명처리해 놓고 매핑 파일을 같은 압축 파일에 넣어 보내면 조문이 금지한 상태 그대로입니다.
법이 말하는 "과학적 연구"의 폭
실무에서 주로 근거로 삼는 목적은 과학적 연구입니다. 대학과 논문의 일처럼 들리지만 법의 정의는 그보다 넓습니다.
개인정보 보호법 제2조(정의) 8. "과학적 연구"란 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말한다.
"기술의 개발과 실증"과 "민간 투자 연구"가 명시적으로 들어가 있습니다. 기업이 상업적 목적으로 수행하는 연구개발도 이 정의에 들어갈 수 있다는 뜻이고, 2020년 개정 때 이 문장이 들어간 배경도 그것입니다.
상업적 연구도 포함될 수 있지만, 과학적 방법을 적용하는 연구여야 합니다. 모델을 개발·검증하기 위한 데이터 처리와, 운영 서비스에서 특정 개인을 평가하거나 개인화하는 처리는 구분해야 합니다.
| 하려는 일 | 가명정보 특례 검토 |
|---|---|
| 이탈 예측 모델의 성능을 높이기 위한 알고리즘 실험 | 있음 |
| 서비스 사용 패턴의 통계적 특성 분석 | 있음(통계작성에도 걸칩니다) |
| 운영 서비스에서 특정 이용자에게 보낼 추천 문구를 개인화 | 해당 개인에 대한 처리 근거를 별도로 확인 |
| 개별 고객의 신용도를 판단해 서비스 조건을 결정 | 연구와 구분해 별도 처리 근거 확인 |
연구 단계에서 학습한 모델을 나중에 서비스에 사용한다고 해서 학습의 근거가 자동으로 사라지는 것은 아닙니다. 다만 연구용 가명정보를 재식별해 특정 이용자에게 적용해서는 안 됩니다. 운영 단계에서 이용자 정보를 새로 입력하거나 결과를 개인과 연결한다면 그 처리의 근거와 의무를 따로 확인해야 합니다.
특례로 적용이 제외되는 정보주체의 권리
가명정보 특례에는 일부 조항의 적용을 제외하는 규정도 있습니다. 어떤 권리와 의무가 제외되는지 조문별로 확인해야 합니다.
개인정보 보호법 제28조의7(적용범위) 제28조의2 또는 제28조의3에 따라 처리된 가명정보는 제20조, 제20조의2, 제27조, 제34조제1항, 제35조, 제35조의2, 제36조 및 제37조를 적용하지 아니한다.
해당 조항의 주요 내용을 풀면 다음과 같습니다.
| 조문 | 적용되지 않는 권리 |
|---|---|
| 제20조 | 수집 출처를 알려 달라고 요구할 권리 |
| 제20조의2 | 이용·제공 내역을 통지받을 권리 |
| 제27조 | 영업양도로 데이터가 넘어갈 때 통지받을 권리 |
| 제34조제1항 | 유출됐을 때 통지받을 권리 |
| 제35조, 제35조의2 | 열람과 전송을 요구할 권리 |
| 제36조 | 정정과 삭제를 요구할 권리 |
| 제37조 | 처리를 멈추라고 요구할 권리 |
제28조의2 또는 제28조의3에 따라 처리된 가명정보에는 위 조항이 적용되지 않습니다. 단순히 식별자를 바꾼 모든 데이터에서 정보주체의 권리가 사라진다는 뜻은 아닙니다. 유출 시 정보주체 통지는 적용 제외 대상이지만, 법정 요건에 해당하는 유출의 보호위원회 신고 의무는 남습니다.
이렇게 정보주체의 권리 일부가 적용되지 않는 대신, 이어지는 조항들은 처리자에게 안전조치 의무를 지웁니다.
개인정보 보호법 제28조의4(가명정보에 대한 안전조치의무 등) ① 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우에는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관·관리하는 등 해당 정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다.
추가 정보는 가명정보와 분리해 보관·관리하고 접근 권한을 제한해야 합니다. 테이블 이름만 달리하고 분석 업무의 모든 계정이 함께 읽도록 두면 재식별 위험을 줄이기 어렵습니다. 실제 데이터 흐름과 역할에 맞게 분리 방식, 권한, 접근 기록을 설계해야 합니다.
재식별 금지와 결합 제한
가명정보 제도에서 가장 엄격한 제한은 재식별 금지입니다.
개인정보 보호법 제28조의5(가명정보 처리 시 금지의무 등) ① 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 자는 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 아니 된다.
② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수·파기하여야 한다.
제2항이 특히 실무적입니다. 의도하지 않았는데 개인이 드러난 경우까지 다룹니다. 가명처리된 여러 속성을 조합했더니 특정 개인을 알아볼 수 있게 되었다면 즉시 해당 정보의 처리를 중지하고 지체 없이 회수·파기해야 합니다. 단순히 분석 결과를 기록해 두는 것으로 끝낼 수 없습니다. 분석 파이프라인에 그런 결과를 감지하고 처리를 멈추는 단계가 있어야 지킬 수 있는 조항입니다.
서로 다른 회사의 가명정보를 합치는 일은 회사가 직접 할 수 없습니다.
개인정보 보호법 제28조의3(가명정보의 결합 제한) ① 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행한다.
우리 데이터와 제휴사 데이터를 합쳐 보자는 기획은 두 회사가 각자 가명처리를 잘 하는 문제로 풀리지 않습니다. 결합 자체를 지정된 전문기관이 수행해야 하고, 결합 결과를 기관 밖으로 가져오려면 전문기관장의 승인을 받아야 합니다. 사내에서 두 테이블을 조인하는 감각으로 접근할 수 없는 절차입니다.
AI 학습의 처리 근거
이제 처음의 질문으로 돌아갑니다. 학습 데이터가 어디서 왔느냐에 따라 검토할 처리 근거가 다릅니다.
자사 이용자 데이터를 통계·과학적 연구 등에 활용하려면 가명정보 특례를 검토할 수 있습니다. 수집 경위와 원래 목적, 연구 목적, 가명처리의 적정성과 안전조치를 함께 확인합니다. 데이터 출처만으로 처리 근거가 하나로 정해지는 것은 아닙니다.
웹에 공개된 개인정보도 공개되어 있다는 이유만으로 자유롭게 수집·학습할 수는 없습니다. 개인정보보호위원회는 2024년 7월 「인공지능 개발·서비스를 위한 공개된 개인정보 처리 안내서」를 통해 이 경우의 근거로 정당한 이익 조항을 제시했습니다.
개인정보 보호법 제15조(개인정보의 수집·이용) ① 6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.
이 조항은 정당한 이익이 실제로 존재할 것, 그 이익을 달성하는 데 이 처리가 필요할 것, 정보주체의 권리보다 명백하게 우선할 것을 모두 요구합니다. 마지막 요건은 저울질이라 미리 정해진 답이 없고, 그래서 안내서는 어떤 안전조치를 얼마나 했느냐를 저울의 한쪽에 올려 두는 구조를 취합니다. 위원회는 2025년 8월 생성형 AI를 대상으로 한 안내서를 따로 냈습니다.
생성형 모델은 학습 데이터의 일부를 출력할 수 있으므로, 입력 데이터의 가명처리만으로 위험 평가를 끝내서는 안 됩니다. 학습 과정과 출력에서 개인정보가 식별·노출될 가능성을 점검하고, 식별 정보가 생성되었을 때 처리를 중단·회수·파기하는 대응을 마련해야 합니다. 구체적 조치는 모델의 구조와 이용 방식, 적용되는 처리 근거에 맞춰 정합니다.
문서에 적을 수 있어야 하는 세 문장
이 분야에서 판단이 흐려지는 것은 대개 가명처리 기법을 처리 근거로 착각할 때입니다. 아래 세 질문의 답을 문서에 적을 수 있는지 확인하면 검토가 어디까지 됐는지 알 수 있습니다.
- 이 처리의 목적은 통계작성·과학적 연구·공익적 기록보존 중 무엇인가.
- 원래 상태로 복원할 추가 정보는 어디에, 누구의 권한 아래 분리해 두었는가.
- 이 가명정보의 처리 기간은 언제까지인가(제28조의4 제2항이 별도로 정할 수 있게 열어 둔 항목입니다).
이 세 항목은 검토 내용을 구체화하기 위한 출발점입니다. 이를 적었다고 특례 요건을 모두 충족한 것은 아닙니다. 개인정보보호위원회의 가명정보 처리 가이드라인에 따라 위험성·가명처리 적정성·안전한 관리 등을 함께 확인해야 합니다.
가명처리 기법을 정하기 전에 처리 목적과 근거를 확인하고, 데이터와 이용 환경에 맞는 보호조치를 설계해야 합니다. 일부 권리 조항이 적용되지 않더라도 안전하게 처리할 책임은 남습니다.
References
- 개인정보 보호법: 제2조(정의)·제15조(개인정보의 수집·이용)·제28조의2부터 제28조의7까지. 국가법령정보센터
- 개인정보 보호법 제28조의2: 조문 전문. CaseNote
- 개인정보 보호법 제28조의7: 조문 전문. CaseNote
- 가명정보 처리 가이드라인 개정 안내: 2026년 3월. 개인정보보호위원회
- 생성형 AI 개발·활용을 위한 개인정보 처리 안내서 공개: 2025년 8월. 개인정보보호위원회
- 인공지능(AI) 개발·서비스를 위한 공개된 개인정보 처리 안내서: 2024년 7월. 개인정보보호위원회
