전문가들 "현행 규제, AI 학습에 방해…공개정보 활용 등 개선 필요"

26일 국회 의원회관서 'AI 대전환의 동력, 데이터 활용 입법 개선 과제' 토론회 개최

"공정이용·명백하게 우선 조항으로는 AI 학습 불가"

"공개데이터도 동의 못 받으면 활용 막혀…해외 서비스와 경쟁 안 돼"

정부 "AI 학습 위한 제도 정비 필요 공감...공개데이터 활용 범위 등 손볼 것"

[서울=뉴스핌] 양태훈 기자 = 우리나라가 인공지능(AI) 분야에서 경쟁력을 확보하기 위해서는 저작권·개인정보 규제의 불확실성을 줄이고, 텍스트·데이터 마이닝(TDM) 예외 도입 및 공개정보 활용 근거 마련 등 데이터 활용을 가능하게 하는 입법이 필요하다는 지적이 나왔다.

방성현 김앤장 법률사무소 변호사는 26일 국회 의원회관에서 열린 'AI 대전환의 동력, 데이터 활용 입법 개선 과제' 토론회에서 "AI 기술 발전 속도가 워낙 빠르기 때문에 2~3년 뒤에는 지금 논의 자체가 의미 없어질 수 있다"며 "한국은 저작권법과 개인정보보호법이 모두 매우 엄격하고 불확실해 기업이 데이터를 활용하기 어려운 구조"라고 강조했다.

방 변호사는 우선 AI 학습의 핵심인 TDM과 관련해 "AI 학습은 대규모 복제·전송을 수반하는데, 한국은 공정이용 조항 외에는 이를 포괄하는 규정이 없다"며 "공정이용은 미국처럼 판례가 축적된 것도 아니라서 사업자가 법적 리스크를 감수하며 쓰기 어렵다"고 지적했다.

이어 "EU는 DSM(디지털단일시장) 지침에서 연구기관 등 비영리 목적 TDM과 상업적 TDM 허용 및 저작권자 옵트아웃(자발적 제외)을 구분해 규율하고 있고, 일본은 2018년 개정으로 주체·목적·이용방법 제한 없이 사상·감정 향수 목적이 아닐 것만 충족하면 넓게 면책을 인정한다"며 "싱가포르의 경우, 적법한 접근과 분석 목적, 타용도·타인 제공 금지 등 일정 요건만 충족하면 TDM을 저작권 침해 예외로 두고 있는데, 아시아 국가들이 오히려 전향적으로 규정을 손보는 사이 한국은 공정이용 논의에 머물러 있다"고 덧붙였다.

방 변호사는 개인정보 영역에서 공개된 정보와 보유 데이터의 2차 이용 문제도 짚었다. 방 변호사는 "웹에서 공개된 정보를 학습하다 보면 개인정보가 섞여 들어갈 수밖에 없는데, 한국은 이를 어떻게 처리할지 명확한 근거가 없다"며 "결국 정당한 이익 조항 해석에 기대야 하지만 요건이 엄격해 활용이 거의 불가능한데, 기업 입장에선 이를 사전에 판단하기 어렵다"고 지적했다.

또한 "기업이 쌓아둔 방대한 데이터가 있어도 최초 수집 목적과 다르면 다시 동의를 받아야 한다는 법적 해석이 존재하는데, 재동의를 받는 것은 현실적으로 불가능해 AI 개발하지 말라는 말과 다르지 않다"며 "개인정보보호법 제15조 제1항 제6호의 정당한 이익 조항을 예로 들면, EU GDPR(일반 개인정보보호법)은 정당한 이익을 다른 권리와 균형적으로 비교하지만, 한국은 정보주체 권리보다 명백하게 우선해야 한다고 적어 요건을 훨씬 높여놨다. 이 문구 때문에 누구도 사전적으로 이 조항을 자신 있게 활용하기 어렵다"고 강조했다.

방 변호사는 향후 입법 방향으로 ▲공개된 개인정보 활용에 대한 별도 근거(싱가포르형) ▲사업 개선·AI 기술개발 목적 예외 규정 ▲연구 목적 개인정보 처리 예외 강화 ▲정당한 이익 요건 완화 및 구체적 가이드라인 제시 ▲TDM 예외 조항 도입 또는 적법한 접근 조건부 면책 확대 등을 해법으로 제시했다.

방 변호사는 "EU·영국·싱가포르는 이미 구체적인 기준을 통해 사업자가 예측 가능한 환경에서 AI를 개발할 수 있게 하고 있다. 한국도 공개정보 처리, 기존 보유 데이터의 목적 외 이용 등에 대한 사회적 합의를 바탕으로 입법을 서둘러야 한다"며 "AI 기술은 매우 빠르게 발전하고 있다. 지금 제도를 정비하지 않으면 2~3년 뒤 한국 산업 경쟁력은 의미 없이 뒤처질 수 있다. 산업·저작권자·이용자 보호를 모두 고려하되 현실적인 데이터 활용 체계를 만들지 못하면 한국 기업은 경쟁 자체가 어렵다"고 강조했다.

이어진 토론에서는 실제 현장에서 데이터 활용 제약을 겪고 있는 스타트업과 기업들의 구체적인 사례가 제시됐다.

신재민 트릴리온랩스 대표는 "공개 데이터를 수집해 약 100TB를 보유하고 있지만, 정보주체 개별 동의를 받는 것은 구조적으로 불가능하다"며 "전화번호·이메일·주소 등 명백한 개인 식별정보를 자동으로 걸러내는 'PI 필터링'을 적용하면 절반 가까운 데이터가 삭제되는데, 데이터 가명화 등도 가능하지만 비용이 크고 자연스러운 문맥이 깨져 대규모언어모델(LLM) 학습 품질에 악영향을 줄 수 있다"고 전했다.

신 대표는 "LLM은 인간이 생성한 자연스러운 데이터를 기반으로 학습해야 하는데, 개인정보 삭제가 과도하면 모델 성능이 떨어질 수 있다. 수억~수십억 건 데이터에서 일일이 동의를 받는 건 불가능하다"며 "공개 웹데이터 활용 특성을 반영한 예외 규정이나 탄력적 처리 근거가 마련된다면, 지금 버려지는 데이터 상당 부분을 학습에 활용해 AI 경쟁력을 높일 수 있을 것"이라고 말했다.

정일권 두들린 정보보호 최고 책임자(CPO)는 채용관리 솔루션 '그리팅' 사례를 들며 채용관리 서비스 구조상 개인정보를 AI 학습에 활용하기가 사실상 제로에 가깝다고 토로했다. 정일권 CPO는 "수탁자 지위에 놓인 기업은 AI 학습을 위한 개인정보 활용이 거의 불가능한 상황이다. 지원자는 두들린이 아니라 삼성전자 등 고객사에 지원한 것이다. 이력서를 AI 학습에 쓰겠다는 동의 문구를 넣으면 누구도 동의하지 않는다. 고객사도 수탁자가 그런 동의를 받는 것 자체를 문제 삼는다"며 "또한 장애 여부 등의 민감정보까지 포함된 이력서를 다루는 구조에서, AI 학습 목적을 별도로 고지·동의 받는 것은 사실상 불가능하다"고 전했다.

또 "해외 스타트업은 링크드인 등 공개 인적 데이터를 자유롭게 학습하지만, 우리는 저작권·개인정보·약관 때문에 같은 데이터를 수집조차 못 한다"며 "자체 모델을 만들자니 GPU 8000장이 필요한데, 이는 수십억~수백억 원 이상이 필요해 중소기업이 감당하기 어렵고, 상용 모델을 쓰면 국외 이전 이슈가 다시 걸린다"며 "이력서 양식이 제각각이라 자동 필터링도 쉽지 않고, 이름·이메일·경력 등을 사람이 일일이 태깅해야 해 인력·비용 부담도 크다. 현 구조에서는 보호도, 활용도 모두 어렵고, 스타트업은 아예 시작조차 못하는 상황이다. 수탁 구조, 국외 이전, 공개데이터 활용 범위 등을 현실에 맞게 조정할 필요가 있다"고 강조했다.

학계에서는 AI 학습 단계(인풋)에 개인정보 규제를 그대로 적용하는 것이 타당한지에 대한 문제 제기와 함께 법·제도 틀 전반에서의 재검토가 필요하다는 지적이 나왔다.

김현경 서울과학기술대학교 IT정책전문대학원 교수는 "개인정보보호법은 원래 기업의 '식별·추적'을 규제하기 위해 만들어진 법인데, AI 학습 단계는 특정인 식별이 목적이 아니다. 인풋 단계까지 동일한 기준을 적용하는 것이 맞는지 근본적인 재검토가 필요하다"며 "EU조차 최근 디지털 옴니버스 패키지 초안을 통해 민감정보 데이터셋 활용을 일부 허용하고, 비식별 데이터 개념을 '정보주체가 재식별 수단을 갖고 있지 않으면 개인정보로 보지 않는다'는 방향으로 범위를 넓히고 있다"고 전했다.

이어 "저작권 측면에서도 EU·일본의 관련 규정은 대부분 생성형 AI 이전에 만들어진 법으로, LLM 환경에서는 저작권자가 자신의 저작물이 학습에 쓰였는지 알기 어렵기 때문에 학습 데이터 목록 전면 공개 등 투명성 규제가 현실적으로 어렵다"며 "미국 역시 공정이용을 둘러싼 판례가 엇갈리며 법리가 불안정한 상황이다. 이미 대규모 학습을 마친 글로벌 기업들은 앞으로 소송 리스크만 관리하면 되지만, 후발 기업들은 더 불리한 규제 환경에서 경쟁해야 한다. 학습 단계 규율, 투명성 요구, 저작권·개인정보 처리 등 전반을 현실에 맞게 재설계하지 않으면 국내 혁신 기업이 성장하기 어렵다"고 지적했다.

정부도 제도 개선의 필요성에 공감하며 정책적 대응 방향을 제시했다. 양청삼 개인정보보호위원회 개인정보정책국장은 "개인정보보호법의 목적은 보호뿐 아니라 '적법한 처리'를 전제로 한 보호다. 동의, 법률 규정, 정당한 이익 등 다양한 처리 근거를 확충하는 방향으로 제도 개선을 검토하고 있다"며 "AI 기술 발전 속도가 빠른 만큼 이념적 논쟁보다 현실적·실무적 해법이 필요하다. 정보주체 통제권과 투명성을 확보하되, 리스크에 상응하는 안전조치를 전제로 데이터를 활용할 수 있어야 한다"고 강조했다.

이어 "특히 정당한 이익 조항에 대해 문언상 '명백하게 우선'이라는 표현이 AI 학습 등 새로운 활용에 장애가 된다는 지적에 공감한다. 현재 국회에 계류 중인 AI 특례법이 통과되면 후속 입법 과제로 정당한 이익 조항 개정을 적극 검토할 계획"이라며 "정당한 이익 조항이 정비되면 웹에서 접근 가능한 공개 데이터도 보다 명확한 근거 아래 학습에 활용할 수 있을 것이다. 버티컬 AI 등 좁은 데이터셋을 학습할 때는 재식별 위험이 있어 전처리 등 기술적 조치가 병행돼야 한다"고 덧붙였다.

나아가 "AI 특례법은 기업·기관이 보유한 데이터를 당초 수집 목적과 달라도 AI 개발을 위해 활용할 수 있도록 하는 내용으로, 제조·헬스·공공 등 다양한 분야의 AX 프로젝트에 도움이 될 것"이라며 "개인정보보호위원회는 산업계 요구를 반영해 AI 발전과 안전한 데이터 활용이 양립할 수 있는 제도 환경을 만들겠다"고 강조했다.

dconnect@newspim.com