[기획 칼럼⑦] 인공지능 시대 정보주체 권리의 재구성

정원준 연구위원(한국법제연구원)
- 글자 크기 설정
- 가
- 가
- 가
- 가
입력: 2025.09.30 00:00 / 수정: 2025.10.16 09:52

개인은 정보 보호의 대상일 뿐만 아니라 데이터 생산자이자 경제적 이해관계자로서 이중적 지위를 가진다. 결국 인공지능이 사회적으로 신뢰받는 기반으로 자리 잡을 수 있을지는 정보주체 권리가 얼마나 실효적으로 보장되는가에 달려 있다. 사진은 개인정보보호법학회 세미나 장면./개인정보보호법학회

AI(인공지능) 대전환 시대에 발맞춰 인터넷 종합 미디어 <더팩트>와 <개인정보보호법학회>가 손잡고 '인공지능 대전환시대 데이터법제의 발전'을 주제로 한 기획 칼럼 시리즈를 연재합니다. 이번 기획은 AI 혁신을 위한 필수 과제인 데이터의 활용과 보호 간 균형을 맞추는 정교한 법제도 정비의 중요성에 주목했습니다. 특히 AI 시대에 맞는 개인정보보호법 재설계의 필요성에 대한 심도 있는 논의를 이끌어낼 예정입니다. 데이터가 어떻게 수집되고, 활용되며, 보호돼야 하는지에 대해 전문가들의 학문적 분석과 사회적 담론을 제공합니다.<편집자 주>

[더팩트 | 정원준 연구위원(한국법제연구원, 개인정보보호법학회 연구이사)] 바야흐로 우리는 인공지능(AI) 시대에 들어서고 있다. 인공지능은 사회 전반에 급격한 변화를 초래하며, 새로운 규율체계 마련의 필요성을 강하게 제기하고 있다. 특히 인공지능은 정보주체가 직접 제공하지 않은 관측 데이터(Observed data)와 알고리즘이 도출한 추론 데이터(Inferred data)를 대규모로 활용함으로써, 전통적 개인정보보호 체계에 중대한 도전을 가한다.

기존 개인정보 규범은 사전적 절차 준수를 전제로 하지만, 인공지능 환경에서는 이를 충실히 이행하기 어렵다는 구조적 한계가 드러난다. 따라서 정보주체 권리는 절대적 보호의 틀을 넘어, 실질적으로 통제와 관리가 가능한 유연한 권리체계로 재구성될 필요가 있다.

이러한 문제의식 속에서 인공지능 시대에의 대응을 위해 2023년 개정 '개인정보 보호법'은 자동화된 의사결정에 관한 정보주체 권리를 신설하였다. 정보주체는 전적으로 자동화된 결정에 대하여 거부할 수 있으며, 그 밖의 자동화된 결정에 대해서는 설명을 요구할 권리를 가진다. 이는 진전된 조치이지만, 실제 적용 범위와 집행력은 여전히 한계를 지닌다.

이에 비해 유럽연합의 GDPR 제22조는 자동화된 의사결정, 특히 프로파일링을 명시적으로 포함하면서 정보주체가 법적 효과나 중대한 영향을 미치는 결정에 적용되지 않을 권리를 보장한다. 예외적으로 계약 이행이나 명시적 동의가 있을 경우 자동화된 결정이 허용되지만, 이 경우에도 인간 개입과 이의제기 절차 등 보호 장치를 의무화한다.

반면 우리 법은 프로파일링을 명시적으로 포섭하지 않았는데, 이는 기술적 통제의 어려움과 규제 필요성에 대한 사회적 합의 부족 때문으로 해석된다. 그러나 프로파일링은 개인 특성을 자동적으로 평가하여 심대한 프라이버시 침해를 초래할 수 있다는 점에서, 우리 법제 역시 향후 명시적 규율을 도입할 필요가 크다.

EU 'AI Act'의 규제샌드박스 제도 또한 주목할 필요가 있다. 공공 안전, 범죄 예방, 공중보건, 환경 보호 등 공익 목적에 한하여 개인정보의 추가 처리를 허용하면서도, 접근 주체 제한과 종료 후 삭제 의무를 두는 등 최소한의 규제 장치를 마련하였다. 이는 정보주체 권리와 공익적 가치 간 균형을 제도적으로 구현한 사례로서, 한국 법제에도 중요한 시사점을 제공한다.

궁극적으로 자동화된 의사결정에 관한 거부권과 설명 요구권은 선언적 권리가 아니라, 기업의 책임 있는 행위를 유도하는 간접적 규제 수단으로 기능해야 한다. AI 채용이나 금융 심사 등 인간 개입 없는 결정이 확산되는 현실에서, 규제기관은 이러한 권리가 실질적으로 작동하도록 지속적 지침과 감독을 강화해야 한다.

결론적으로 인공지능 시대의 정보주체 권리는 단순한 개인적 권익 보호를 넘어, 데이터 사회에서 민주적 정당성과 헌법적 가치를 구현하는 핵심 기반이 되어야 한다. 이는 전통적 프라이버시 개념을 넘어 데이터 주권, 설명가능성, 공정성이라는 새로운 법적 가치로 확장될 필요가 있다.

나아가 개인은 보호의 대상일 뿐만 아니라 데이터 생산자이자 경제적 이해관계자로서 이중적 지위를 가진다. 결국 인공지능이 사회적으로 신뢰받는 기반으로 자리 잡을 수 있을지는 정보주체 권리가 얼마나 실효적으로 보장되는가에 달려 있다고해도 과언이 아닐 것이다.