EU 디지털 옴니버스 88c조: AI 학습 데이터 규칙은 어떻게 바뀔 수 있나

EU의 디지털 옴니버스 논의를 두고 ‘기업이 동의 없이 개인정보로 AI를 학습시킬 수 있게 된다’는 해석이 나오지만, 이는 지나치게 넓은 표현이다.

논쟁의 대상인 GDPR 88c조는 AI 시스템·모델의 적법한 설계, 개발 또는 사용에 기능적으로 필요한 개인정보 처리라면 GDPR 제6조 제1항 (f)의 정당한 이익(legitimate interest) 을 법적 근거로 삼을 수 있음을 명시하려는 제안이다. GDPR 자체를 없애거나, 웹 스크래핑을 자동으로 적법화하거나, 다른 규정상 요구되는 동의를 불필요하게 만드는 조항은 아니다.13

더 중요한 점은 이것이 이미 채택된 ‘AI 디지털 옴니버스’가 아니라, 별도의 디지털 옴니버스 데이터 제안에 속한다는 것이다. 이 제안은 아직 EU 입법 절차에 있어 최종 문안과 결론이 확정되지 않았다.

88c조가 바꾸려는 것

제안 문안에 따르면, AI 시스템 또는 모델의 전 생애주기에서 이뤄지는 개인정보 처리가 그 적법한 설계·개발·사용에 기능적으로 필요할 때, 관리책임자 또는 제3자의 정당한 이익에 근거할 가능성이 생긴다.3

이는 GDPR 아래에서도 이미 가능할 수 있는 경로를 AI 맥락에서 더 분명히 적어두는 방식이다. 유럽데이터보호이사회(EDPB) 역시 과거 일부 경우에는 정당한 이익이 AI 모델·시스템 개발 및 배포의 적절한 법적 근거가 될 수 있다고 본 바 있다.45

다만 여기서 핵심은 ‘일부 경우’다. 기업이 AI 모델 개발이라는 이익을 내세운다고 해서 곧바로 정당화되는 것은 아니다. 기존의 정당한 이익 판단 구조를 충족해야 한다.

• 실제로 존재하는 정당한 이익을 특정할 것
• 그 이익을 위해 처리가 필요한지 보일 것
• 해당 데이터 주체의 권리와 자유보다 그 이익이 우선하는지 형량할 것15

또한 EU법이나 회원국 법이 동의를 요구하는 경우에는 해당 규칙이 계속 적용된다. 따라서 88c조는 공개·비공개를 가리지 않고 어떤 개인정보든 AI 학습용으로 수집할 수 있게 하는 일반 허가가 아니다.1

안전장치가 실질을 좌우한다

88c조 논쟁의 핵심은 정당한 이익을 원칙적으로 쓸 수 있느냐보다, 그때 어떤 보호장치를 붙일 것이냐에 있다.

논의된 장치로는 데이터 출처 선정과 학습 단계에서의 데이터 최소화, 기술적·조직적 보호조치, 실질적인 투명성, 기계가 읽을 수 있는 이의제기 또는 옵트아웃 신호의 인식 등이 있다. 관련 AI 처리에는 무조건적인 이의제기권을 두는 접근도 제안됐다.13

이 장치들은 선언에 그치지 않는다. 데이터 최소화는 ‘나중에 쓸지도 모르니 일단 모두 모으자’는 식의 수집 논리를 제한한다. 투명성은 당사자가 자신의 데이터가 어떻게 쓰이는지 알 수 있게 한다. 실효성 있는 이의제기권은 찾기 어려운 설정 메뉴 하나를 제공하는 수준을 넘어, 실제 처리 중단으로 이어져야 한다.

민감정보는 의도적 수집의 면허가 아니다

이와 연계된 민감정보 예외 논의에서 EU 이사회는 부수적·잔여적(incidental and residual) 처리라는 더 좁은 상황을 강조했다. 즉 관리책임자가 민감정보 처리를 처음부터 의도하지 않았지만, 주된 처리 과정에 불가피하게 일부 민감정보가 포함되는 경우다. 민감 개인정보를 학습자료로 의도적으로 수집하는 것과는 다르다.2

EDPB와 EDPS가 우려한 이유

EDPB와 유럽데이터보호감독관(EDPS)은 정당한 이익이 AI 관련 처리의 근거가 될 수 있다는 점 자체를 부정하지는 않았다. 이들의 핵심 문제 제기는 88c조 같은 AI 특례 조항이 불필요하다는 것이었다. 기존 GDPR 해석만으로도 적절한 경우 그러한 결론에 도달할 수 있다는 판단이다.45

우려는 법리와 실무 양쪽에 걸친다. AI 전용 조항이 단순한 명확화를 넘어서는 것으로 해석될 경우, 기존 GDPR 보호체계의 의미가 흔들리거나 법적 불확실성이 커질 수 있다는 것이다. 이들의 의견은 입법기관을 구속하지는 않지만, 협상에서 상당한 비중을 갖는 자문 의견이다.5

‘부활’했나? 아직 단정하기 어렵다

공개된 입법 자료를 보면 이사회 내 논의는 순탄하지 않았다. 이사회 협상 권한을 승인하기 위한 COREPER 표결은 미해결 쟁점에 대한 합의가 이뤄지지 않아 취소됐고, 이후 논의는 아일랜드 이사회 의장국 체제에서 이어졌다.

아일랜드 의장국의 2026년 프로그램은 연말까지 유럽의회와 디지털 옴니버스 패키지 합의를 목표로 한다고 밝힌다. 그러나 제공된 공식 자료만으로는 88c조가 최종 이사회 입장에 확정적으로 복원됐다고 단정할 수 없다.

가장 정확한 표현은 88c조가 정치적으로 논쟁 중이며 협상 가능한 상태라는 것이다. 기업이 지금 이 조항을 GDPR의 기존 요건을 대체하는 확정적 법적 근거로 사용할 수는 없다.

서로 다른 두 ‘디지털 옴니버스’를 구분해야 한다

혼선의 한 원인은 별도 조치인 AI 디지털 옴니버스가 이미 규정(EU) 2026/1744로 채택됐다는 점이다.

이 규정은 AI법 일부의 시행 일정을 조정했다. 특히 AI법 부속서 III에 열거된 독립형 고위험 AI 시스템의 의무는 2027년 12월 2일부터 적용된다. 규제 제품에 내장된 고위험 AI 시스템에는 더 늦은 일정이 적용된다.1920

부속서 III 의무가 적용되면 위험 평가·완화, 차별적 결과를 줄이기 위한 고품질 데이터셋, 기록과 추적성, 문서화, 이용자에게 제공할 정보, 인간의 감독, 견고성 및 사이버보안 조치 등이 요구된다.20

이는 AI 학습을 위해 개인정보를 처리할 수 있는지를 다루는 GDPR 쟁점과 별개다. 고위험 AI 의무의 시행 연기가 88c조의 입법화를 뜻하지는 않는다.

개발자와 데이터 주체에게 남는 의미

AI 개발자에게 88c조는 문언상 예측 가능성을 높일 수 있지만, 규제 준수를 쉽게 만드는 지름길은 아니다. 방어 가능한 접근이라면 필요성과 이익형량을 문서화하고, 데이터 최소화와 투명한 고지 체계를 갖추며, 이의제기를 실제로 처리할 운영 절차를 마련해야 한다.

데이터 주체에게는 최종 법안이 실질적 한계를 남기느냐가 관건이다. 데이터 활용이 정말 필요한지, 민감정보가 좁은 범위에서 제한되는지, 이의제기가 기술적으로 작동하는 권리인지가 중요하다.

EU가 사전예방 중심의 AI 규제를 포기했다는 뜻은 아니다. 채택된 AI 옴니버스는 일부 고위험 의무의 적용을 늦췄고, 별도의 데이터 제안은 특정 AI 관련 개인정보 처리의 경로를 더 명확히 하는 방안을 검토하고 있다. 최종 균형은 이사회와 유럽의회 간 협상, 그리고 채택 문안의 해석과 집행에 달려 있다.19