EU 개인정보 보호법 AI 예외안에 noyb가 반발하며 법적 대응 가능성을 제기했다

이번 제안은 AI 산업의 숨통을 틔우는 조정이라기보다 개인정보의 목적 제한 원칙을 뒤로 미루는 선택에 가깝다고 봅니다. 유럽연합 집행위원회는 경쟁력 강화와 규제 부담 완화를 내세우며 AI 시스템·모델의 개발과 기술 운영에 필요한 개인정보 처리를 기업의 정당한 이익으로 인정하는 GDPR 개정안을 제안했습니다. 문제는 AI를 위한 데이터 이용의 필요성을 넓게 인정할 경우, 기업의 이익과 시민의 권리를 비교하는 절차가 형식에 그칠 가능성이 크다는 점입니다.

noyb는 제안된 조항이 AI와 관련된 맥락이라는 조건만 충족하면 기업이 과거에 수집한 개인정보를 광범위하게 재활용할 수 있고, 이용자 동의도 요구하지 않을 수 있다고 주장합니다. 이 주장은 시민단체의 해석이므로 개정안의 최종 문언과 실제 집행을 통해 확인돼야 합니다. 다만 개정안이 통과되면 AI 기업의 고객이 아니었던 사람, 오래전 채팅이나 소셜미디어에 정보를 남긴 사람까지 자신의 데이터가 모델 개발에 쓰였는지 통제하기 어려워질 가능성은 충분히 현실적입니다.

특히 공개된 정보와 자유로운 2차 이용은 같은 개념이 아닙니다. 누군가 게시물을 공개했다는 사실이 그 글이 수십 년 뒤 상업용 AI의 학습 데이터가 되는 데 동의했다는 뜻은 아니기 때문입니다. 데이터가 어떤 맥락에서 만들어졌는지, 민감정보나 미성년자 정보가 섞였는지, 모델에서 삭제할 수 있는지까지 확인하지 않은 채 정당한 이익을 폭넓게 인정하면 GDPR의 핵심인 목적 제한과 데이터 최소화가 사실상 약화될 수 있다고 봅니다.

EU가 미국과 중국의 AI 기업에 맞서 경쟁력을 확보해야 한다는 현실 자체는 부정하기 어렵습니다. 그러나 규제 부담을 줄이는 가장 쉬운 방법이 대규모 플랫폼이 이미 모아 둔 데이터를 다시 사용할 수 있게 하는 것이라면, 이는 혁신 지원이라기보다 데이터 보유 규모가 큰 기업에 주는 구조적 특혜가 될 가능성이 큽니다. 스타트업과 시민이 동일한 규칙 아래 경쟁하는 것이 아니라, 과거의 무차별적 수집이 미래의 AI 자산으로 전환되는 구조가 굳어질 수 있습니다.

이 방식은 오히려 기업에도 안정적인 길이 아닙니다. noyb는 과거 세이프 하버와 EU·미국 프라이버시 실드에 이의를 제기했고, 유럽연합 사법재판소는 이를 각각 2015년과 2020년에 무효화했습니다. 이번 개정안도 기본권과 양립하는지 법정에서 다퉈질 가능성이 있으며, 조항이 지나치게 넓으면 입법으로 약속한 간소화가 장기간의 소송과 데이터 처리 중단으로 바뀔 수 있습니다. 불명확한 완화는 친기업 규제가 아니라 예측 불가능한 규제가 될 수 있습니다.

AI 개발을 막지 않으면서 권리를 지키려면 정당한 이익을 자동으로 인정할 것이 아니라, 데이터 출처와 이용 목적을 기록하고 민감정보·미성년자 정보의 사용을 엄격히 제한해야 합니다. 이용자에게 실질적인 거부권과 삭제·재학습 대응 수단을 주고, 독립적인 감사와 고위험 모델에 대한 사전 평가도 요구할 필요가 있습니다. EU가 정말 경쟁력을 원한다면 시민의 동의를 비용으로 취급하기보다, 신뢰할 수 있는 데이터 사용 기준을 만들어야 합니다. 그렇지 않으면 이번 개정은 AI 시대의 해법이 아니라 유럽의 데이터 보호 원칙을 법정으로 떠넘기는 시작이 될 겁니다.