질문을 조금 바꿔야 한다. “AI가 GDPR에 맞는가”가 아니라, 그 AI 모델의 개발·배포·사용 과정에서 개인정보가 어떻게 처리되는가가 핵심이다. GDPR, 즉 유럽연합 일반개인정보보호법은 어떤 시스템에 ‘AI’라는 이름이 붙었는지보다, 실제로 개인정보가 처리되는지와 그 처리에 법적 근거와 위험 평가가 있는지를 본다 ^[3][4].

독일어권에서는 GDPR을 DSGVO라고 부른다. 독일에서 쓰는 AI든, EU 다른 회원국에서 쓰는 AI든, 제공된 자료가 보여주는 결론은 같다. AI는 자동으로 적법하지도, 자동으로 금지되지도 않는다. 판단은 모델, 데이터, 목적, 법적 근거, 이후 처리 위험을 따져 사안별로 해야 한다 ^[2][3][4].

한눈에 보는 결론

유럽개인정보보호이사회(EDPB)는 Opinion 28/2024에서 AI 모델과 관련한 개인정보 처리의 특정 데이터 보호 쟁점을 다뤘다 ^[4]. 이 의견은 AI에 포괄적 면허를 주는 문서도 아니고, AI를 전면 금지하는 문서도 아니다. 개인정보가 AI 모델의 개발이나 배포·운영 과정에서 어떻게 사용되는지에 초점을 맞춘다 ^[3][4].

EDPB가 2024년 12월 18일 공지에서 제시한 핵심 질문은 세 가지다. 첫째, AI 모델은 언제, 어떻게 익명으로 볼 수 있는가. 둘째, AI 모델의 개발이나 사용에서 ‘정당한 이익’을 법적 근거로 삼을 수 있는가. 셋째, 위법하게 처리된 개인정보로 AI 모델이 개발됐다면 이후에는 어떻게 되는가 ^[3].

따라서 독일 기업이나 EU 시장을 대상으로 하는 조직이 확인해야 할 것은 단순히 “이 도구가 AI인가”가 아니다. 어떤 개인정보가, 어떤 목적으로, 어떤 법적 근거에 따라, 어떤 후속 위험을 남기며 처리되는가가 실제 체크포인트다 ^[2][3][4].

EDPB Opinion 28/2024가 실제로 다루는 것

Opinion 28/2024의 제목 자체가 범위를 분명히 한다. 이 문서는 AI 모델의 맥락에서 개인정보 처리와 관련한 “특정 데이터 보호 측면”을 다룬다 ^[4]. 다시 말해 AI와 관련한 모든 법적 문제를 한 번에 해결하는 종합 해설서가 아니라, GDPR 관점에서 특히 중요한 몇 가지 쟁점을 정리한 문서다 ^[3][4].

실무적으로 중요한 이유도 여기에 있다. AI 프로젝트는 기술 이름만으로 평가되지 않는다. 같은 AI라도 학습 데이터, 모델 구조, 사용 목적, 배포 방식, 이용자와의 관계가 다르면 GDPR 검토 결과도 달라질 수 있다. EDPB 자료가 특히 강조하는 축은 익명성, 정당한 이익, 그리고 개발 단계에서 위법하게 처리된 개인정보의 영향이다 ^[2][3].

1. AI 모델은 자동으로 익명이 아니다

흔한 오해가 있다. 원본 데이터가 화면에 보이지 않거나 모델 내부로 “녹아들었다”고 해서 AI 모델이 곧바로 익명이라고 보는 것이다. EDPB의 공지는 이처럼 단순한 결론을 내리지 않는다. AI 모델이 익명인지 여부는 개인정보 감독기관이 사안별로 평가해야 한다고 설명한다 ^[3].

즉 “우리는 데이터를 모델에 넣었으니 이제 익명입니다”라는 주장만으로는 충분하지 않다. 특정 모델이 특정 상황에서 정말 익명으로 볼 수 있는지, 그리고 그 판단을 뒷받침할 근거가 있는지가 중요하다 ^[3].

이 점은 개인정보가 모델 안에 남아 있을 가능성이 문제 되는 경우 특히 중요하다. ENISA의 EDPB Opinion 관련 웨비나 자료는 개인정보가 모델에 잔존하는 경우 이후 처리의 적법성에 영향을 줄 수 있으며, 이때는 사안별 평가가 필요하다고 설명한다 ^[2].

2. ‘정당한 이익’은 가능할 수 있지만 만능 열쇠는 아니다

EDPB Opinion 28/2024는 AI 모델의 개발이나 사용에서 정당한 이익을 법적 근거로 사용할 수 있는지, 사용할 수 있다면 어떻게 판단해야 하는지를 다룬다 ^[3]. 이 점은 AI 서비스를 개발하거나 도입하는 조직에 현실적으로 매우 중요하다.

하지만 여기서 곧바로 “정당한 이익만 주장하면 된다”는 결론을 내리면 위험하다. 제공된 EDPB 자료는 모든 AI 개발이나 모든 AI 사용이 자동으로 정당한 이익에 의해 정당화된다고 말하지 않는다. 문제는 언제나 구체적인 처리 활동에서 그 법적 근거가 실제로 작동할 수 있는지다 ^[3].

특히 앞선 처리 과정에 문제가 있었다면 판단은 더 민감해진다. ENISA 자료는 이후 처리가 정당한 이익에 근거한다고 하더라도, 초기 단계의 위법성이 정당한 이익 평가에 고려될 수 있는 경우를 설명한다 ^[2].

3. 훈련 데이터의 문제가 모델 단계에서 사라지지 않을 수 있다

Opinion 28/2024의 또 다른 핵심 질문은 위법하게 처리된 개인정보로 AI 모델이 개발된 경우 그 이후에는 어떻게 되는지다 ^[3].

실무상 의미는 분명하다. 원래의 데이터셋을 더 이상 직접 사용하지 않고 AI 모델만 사용한다고 해서, 데이터 출처와 개발 과정의 문제가 자동으로 사라지는 것은 아니다. 개인정보가 모델에 남아 있다면 이후 처리의 적법성에도 영향을 미칠 수 있으며, ENISA 자료는 이 경우에도 사안별 평가가 필요하다고 설명한다 ^[2].

여러 조직이 함께 관여하는 경우에는 책임 구분도 중요하다. 예를 들어 한 조직이 모델을 개발하고 다른 조직이 이를 도입해 사용하는 상황에서는 누가 어떤 개인정보 처리에 책임지는지 명확히 해야 한다. ENISA 자료는 동일한 컨트롤러가 관여하는 경우와 별도 컨트롤러가 관여하는 경우를 구분하며, 각 컨트롤러가 자신의 처리 활동의 적법성을 확보해야 한다고 설명한다 ^[2].

독일에서 AI를 쓰면 달라지는가

제공된 자료만 놓고 보면, 독일에만 적용되는 포괄적 예외나 특별한 “AI 허가”를 확인할 수 없다. EDPB Opinion 28/2024는 EU 차원의 개인정보 보호 기준과 AI 모델의 관계를 다루는 자료이며, 독일에서의 판단도 결국 구체적 개인정보 처리에 달려 있다 ^[3][4].

따라서 독일 사업장, EU 고객 대상 서비스, 유럽 내 데이터 처리 업무를 가진 조직이라면 같은 질문으로 돌아와야 한다. 개발 단계에서 어떤 데이터가 들어갔는가. 배포·운영 단계에서 개인정보가 다시 처리되는가. 법적 근거는 무엇인가. 모델에 개인정보가 잔존할 가능성은 어떻게 평가했는가. 이전 처리에 문제가 있었다면 이후 사용에 어떤 영향을 주는가 ^[2][3][4].

AI 프로젝트를 위한 GDPR 점검표

아래 항목은 개별 법률 자문을 대신하지 않는다. 다만 EDPB와 ENISA 자료에서 확인되는 실무 점검 포인트를 정리하면 다음과 같다.

1. 단계와 목적을 먼저 나눈다

AI 모델의 개발인지, 배포·운영인지, 또는 이후 분석·재사용인지부터 구분해야 한다. EDPB 공지는 AI 모델의 개발과 배포를 위한 개인정보 사용을 다룬다고 설명한다 ^[3].

2. 개인정보 처리 여부를 확인한다

어디에서 개인정보가 수집·저장·사용·전송·출력되는지 문서화해야 한다. Opinion 28/2024는 바로 AI 모델 맥락에서 개인정보가 처리되는 상황을 대상으로 한다 ^[4].

3. 익명성은 주장하지 말고 입증해야 한다

모델을 익명으로 보려면 그 판단이 사안별로 뒷받침돼야 한다. EDPB 공지는 AI 모델의 익명성 여부를 감독기관이 사례별로 평가해야 한다고 밝힌다 ^[3].

4. 법적 근거를 구체적으로 검토한다

정당한 이익을 법적 근거로 삼으려면 해당 개발 또는 사용 행위에 실제로 적용 가능한지 따져야 한다. EDPB 자료에서 모든 AI 처리에 대한 포괄적 예외는 확인되지 않는다 ^[3][4].

5. 모델 안에 남은 개인정보와 개발 이력을 본다

개인정보가 모델에 잔존하는지, 개발 단계에서 개인정보가 적법하게 처리됐는지 확인해야 한다. 두 요소 모두 이후 처리의 적법성 판단에 영향을 줄 수 있다 ^[2][3].

6. 여러 주체가 관여한다면 책임을 나눈다

AI 모델 개발사, 플랫폼 제공자, 도입 기업, 최종 운영자가 모두 같은 책임을 지는 것은 아닐 수 있다. 중요한 것은 각 주체가 자신이 결정하고 수행하는 개인정보 처리의 적법성을 확보하는 것이다. ENISA 자료도 각 컨트롤러가 자신의 처리에 대한 적법성을 확인해야 한다고 설명한다 ^[2].

자주 나오는 오해

“원본 데이터가 보이지 않으니 모델은 익명이다.”
그렇게 단정할 수 없다. EDPB 공지는 AI 모델의 익명성 여부를 사안별로 평가해야 한다고 설명한다 ^[3].

“정당한 이익을 쓰면 대부분 괜찮다.”
정당한 이익은 검토 가능한 법적 근거일 수 있지만, 모든 AI 개발·사용을 자동으로 정당화하지는 않는다. EDPB Opinion은 정당한 이익을 사용할 수 있는지와 어떻게 사용할 수 있는지를 다룰 뿐이다 ^[3].

“모델 학습이 끝났으면 데이터 출처는 더 이상 중요하지 않다.”
그렇지 않을 수 있다. Opinion 28/2024는 위법하게 처리된 개인정보로 개발된 AI 모델의 문제를 명시적으로 다룬다 ^[3]. 개인정보가 모델에 남아 있다면 이후 처리에도 영향을 줄 수 있다 ^[2].

결론

AI는 독일과 EU에서 그 자체로 GDPR 준수 상태가 되는 기술이 아니다. 반대로 AI라는 이유만으로 당연히 금지되는 것도 아니다. EDPB Opinion 28/2024 이후의 현실적인 답은 더 구체적이다. 개인정보가 처리되는지, 모델이 실제로 익명인지, 법적 근거가 무엇인지, 개발 단계의 데이터 처리에 문제가 없었는지, 그 문제가 이후 사용에 영향을 주는지를 따져야 한다 ^[2][3][4].

AI 도입을 검토하는 조직에는 이 차이가 중요하다. “AI를 써도 되나”라는 질문에서 멈추지 말고, “이 AI의 이 처리 활동을 어떤 근거와 문서로 설명할 수 있나”까지 내려가야 GDPR 리스크를 제대로 볼 수 있다.