싱가포르 AI 개인정보 지침, 기업의 통지 의무와 예외

특히 은행, 보험, 쇼핑, 소셜미디어처럼 원래 일반 서비스 제공을 위해 수집한 데이터를 새로운 AI 개발 목적으로 전환할 때 문제가 커집니다. 소비자가 당초 합리적으로 예상하기 어려운 새로운 이용이라면, 과거의 포괄적인 고지가 자동으로 생성형 AI 학습까지 포함한다고 가정해서는 안 됩니다.

네 가지 사례로 보는 적용 방식

은행: 금융·고객 상담 데이터로 AI 비서 개발

은행이 고객의 금융정보나 상담 기록을 AI 비서의 개발·개선에 사용하고 동의를 근거로 삼는다면, AI 사용 목적을 별도로 알리는 통지가 필요합니다. 일상적인 계좌 운영이나 고객 서비스 제공과 모델 개발 목적을 구분해 설명해야 합니다.

다만 PDPA의 ‘사업 개선’ 예외처럼 법정 동의 예외를 적용할 수 있는 경우도 있습니다. 이때는 해당 예외의 법정 요건과 적용 범위를 충족해야 합니다. 유효한 예외가 인정되면 동의 자체가 필요하지 않을 수 있으므로, 동의에 기반한 옵트아웃도 반드시 제공해야 하는 것은 아닙니다.

보험사: 의료정보·보험금 청구자료 활용

보험사가 의료정보나 보험금 청구자료를 생성형 AI 모델 개발에 사용하려면, 동의가 필요한 경우 AI 관련 사용 목적을 구체적으로 통지해야 합니다. 기존 약관에 ‘서비스 개선’이라고 폭넓게 적혀 있다는 이유만으로 모델 학습까지 포함된다고 보기는 어렵습니다.

보험사는 적용 가능한 PDPA 예외가 실제로 성립하는지 확인하거나, AI 사용을 명시한 통지로 유효한 동의를 받아야 합니다. 제공된 자료만으로 의료정보나 청구자료 전체가 자동으로 예외 대상이 된다고 볼 수는 없습니다.

이커머스: 구매·검색 데이터를 별도 상업용 AI 제품에 활용

구매 이력이나 검색·방문 기록을 활용해 쇼핑 서비스와 별개의 상업용 생성형 AI 제품을 만드는 경우는, 원래 서비스 목적을 넘어선 개인정보 재이용의 대표적인 사례입니다. 동의가 필요하다면 플랫폼은 ‘제품 개발’ 같은 일반적인 표현에 의존하지 말고 AI 개발 목적을 직접 설명해야 합니다.

사업 개선 예외가 적용될 가능성이 있는 상황도 있지만, 이 예외가 모든 새로운 상업적 이용을 허용하는 포괄적인 면허는 아닙니다. 기업은 해당 예외의 법적 요건을 충족하고 허용된 범위 안에서 데이터를 이용해야 합니다.

소셜미디어: 게시물·사진·영상으로 콘텐츠 제작 도구 개선

소셜 플랫폼이 이용자의 프로필, 사진, 영상, 게시물 또는 상호작용 데이터를 생성형 AI 콘텐츠 제작 도구의 개선에 사용한다면, 동의를 법적 근거로 삼는 경우 AI-specific notification, 즉 AI 사용을 특정한 통지를 제공해야 합니다.

반면 PDPA의 ‘공개적으로 이용 가능한 데이터’ 예외가 적용되면 공개된 개인정보를 동의 없이 수집·이용할 수 있는 경우가 있습니다. 그러나 인터넷이나 플랫폼에 게시됐다는 사실만으로 모두 공개 데이터가 되는 것은 아닙니다. 전체 공개된 자료와 특정 이용자에게만 공유됐거나 접근 제한 기능으로 보호된 콘텐츠는 구분해야 합니다.

통지나 옵트아웃이 필요하지 않을 수 있는 경우

데이터가 진정으로 익명화된 경우

데이터가 개인을 더 이상 식별할 수 없는 수준으로 진정하게 익명화됐다면, 개인정보에 관한 PDPA의 통지·동의 의무가 적용되지 않습니다. 다만 가명처리나 일부 마스킹만으로 데이터가 자동으로 익명화되는 것은 아닙니다. 핵심은 해당 데이터에서 개인을 여전히 식별할 수 있는지 여부입니다.

PDPA의 유효한 법정 예외가 적용되는 경우

기업이 공개 데이터 예외나 요건을 충족한 사업 개선 예외 등 PDPA상 동의 예외를 적법하게 적용할 수 있다면, 별도의 동의를 받지 않아도 될 수 있습니다. AI-specific notification 의무는 동의가 필요한 상황을 전제로 하므로, 모든 적법한 AI 학습 이용에 대해 소비자에게 일률적인 거부권을 부여하는 규정은 아닙니다.

해당 동의 방식 자체가 옵트아웃을 요구하지 않는 경우

PDPC의 일반 지침에서 옵트아웃 방식은 통지, 합리적인 거부 기간, 그리고 개인이 거부할 수 있는 합리적인 방법을 갖추는 구조로 설명됩니다. 그렇다고 모든 AI 관련 데이터 처리에 반드시 옵트아웃 절차가 붙는 것은 아닙니다. 특히 기업이 동의가 아닌 법정 예외에 의존하는 경우에는 더욱 그렇습니다.

이미 동의를 했거나 PDPA상 동의한 것으로 간주된 경우에는, 해당 처리에 적용되는 법적 체계에 따라 동의를 철회할 권리가 남을 수 있습니다.

AI 학습 동의를 거부하면 서비스 이용을 막을 수 있나

일반적으로 생성형 AI 모델 학습이 소비자가 요청한 제품이나 서비스를 제공하는 데 합리적으로 필요한 활동이 아니라면, 기업은 AI 학습 동의를 거부했다는 이유만으로 서비스 제공을 거부해서는 안 됩니다. 예를 들어 일반적인 은행 계좌 개설, 쇼핑 서비스, 소셜 플랫폼 이용을 위해 범용 AI 비서나 별도의 상업용 모델 개발에 동의하도록 묶어서는 안 된다는 의미입니다.

다만 ‘필요성’이라는 중요한 조건이 있습니다. 소비자가 요청한 서비스나 거래를 제공하기 위해 개인정보의 수집·이용·제공이 합리적으로 필요한 경우에는 동의를 서비스 이용 조건으로 요구할 수 있습니다. 이 기준이 충족되는지는 서비스의 성격, 데이터 이용 방식, 구체적인 상황에 따라 달라집니다. 지침이 모든 기업이나 AI 시스템에 일률적인 답을 제시하는 것은 아닙니다.

소비자와 기업이 확인할 사항

소비자는 AI 관련 개인정보 통지에서 다음 네 가지를 확인할 필요가 있습니다.

1. 개인정보가 생성형 AI 모델의 개발·학습·개선에 사용된다는 내용이 명시돼 있는가
2. 어떤 종류의 데이터가 사용되는가
3. 데이터가 어떤 목적과 방식으로 이용되는가
4. 동의를 거부하거나 철회할 수 있는지, 가능하다면 방법은 무엇인가

기업은 먼저 해당 정보가 여전히 개인정보인지, 적용 가능한 PDPA 예외가 있는지, 제안된 AI 이용이 요청받은 서비스 제공에 합리적으로 필요한지를 판단해야 합니다. 그 결과에 따라 AI-specific consent notice와 옵트아웃 절차가 필요한지가 결정됩니다.

결국 싱가포르의 2026년 7월 지침이 만든 변화는 모든 AI 학습에 대한 일괄적인 거부권이 아닙니다. 동의에 기반한 개인정보 학습에는 더 구체적인 투명성을 요구하되, 익명화 데이터나 법정 예외에 따른 적법한 이용까지 자동으로 중단시키지는 않는 것이 핵심입니다.