싱가포르의 2026년 생성형 AI 규정, 기업과 이용자가 알아야 할 것

싱가포르는 2026년 7월 20일 생성형 AI를 둘러싼 두 가지 조치를 내놨다. 하나는 개인정보보호위원회(PDPC)가 발표한 생성형 AI 모델·시스템의 개인정보 이용 지침이고, 다른 하나는 정보통신미디어개발청(IMDA)이 공개한 대외용 생성형 AI 챗봇 투명성 지침이다.

두 조치는 비슷해 보이지만 초점이 다르다. PDPC 지침은 기업이 개인정보를 어떻게 수집·재사용하는지에 관한 내용이고, IMDA 지침은 공개 챗봇이 이용자에게 자신의 기능과 한계, 안전성, 데이터 처리 방식을 어떻게 설명할지에 관한 내용이다.

핵심만 먼저

기업이 기존 서비스 과정에서 수집한 개인정보를 생성형 AI 모델의 개발이나 개선에 다시 사용하려면, 동의 예외가 적용되지 않는 경우 AI 사용 사실을 분명히 밝혀야 한다. “서비스 개선”, “개인화”, “제품 개발”처럼 폭넓은 표현만으로는 일반적으로 충분하지 않다. 개인정보가 생성형 AI 모델 개발 또는 개선에 사용된다는 점을 구체적으로 알려야 한다.

반면 챗봇 정보 카드는 법적 의무가 아니라 자율 지침이다. 고객이나 일반 대중과 직접 상호작용하는 외부 공개형 생성형 AI 챗봇이 무엇을 할 수 있고 어디에서 오류가 날 수 있는지, 데이터를 어떻게 처리하는지, 문제가 생기면 어디에 신고할 수 있는지를 한눈에 보여주는 것이 핵심이다.

PDPC 지침이 다루는 개인정보

PDPC 지침은 생성형 AI의 전 생애주기에서 개인정보가 이용되는 상황을 다룬다. 여기에는 웹에서 수집한 정보, 일반 서비스 이용을 위해 사용자가 제공한 뒤 모델 개발·개선에 재사용되는 정보, 모델 배포와 보안, 보존 기간, 개인정보 열람·정정 요청 등이 포함된다.

가장 큰 개인정보 위험은 ‘목적 변경’이다. 거래, 계정 관리, 고객지원 등을 위해 제공한 정보가 나중에 대규모 모델 학습이나 미세조정에 사용될 수 있기 때문이다. 이런 재사용은 이용자가 자신의 정보가 어떻게 활용됐는지 파악하거나, 사용을 통제하거나, 대규모 학습 과정에 들어간 뒤 열람·정정 권리를 행사하기 어렵게 만들 수 있다.

AI 공급망에 따라 책임도 나뉜다. 모델 제공자는 모델 개발·배포와 관련된 PDPA 의무를 부담한다. 시스템 제공자는 보안 조치와 관련 보호수단을 검토하고 이를 알릴 필요가 있으며, 시스템 배포자는 처리 목적과 데이터 흐름을 파악하고 실제 운영 시스템의 통제수단을 점검해야 한다.

언제 ‘AI 전용 고지’가 필요한가

기업이 ‘사용자 데이터(User Data)’를 생성형 AI 모델 개발에 사용하려고 하고, PDPA상 동의 예외를 적용할 수 없다면 AI 전용 고지를 통해 동의를 받아야 한다. 이때 고지는 생성형 AI 모델 개발 또는 개선 목적을 명시해야 하며, “제품 개선”이나 “서비스 향상” 같은 일반적인 문구에 의존해서는 안 된다.

특히 기존 제품이나 서비스를 이용하는 과정에서 비생성형 AI 목적 등 다른 이유로 직접 제공받은 정보를 나중에 모델 개발에 재사용하는 경우가 중요하다. 기업은 최초 수집 당시의 맥락, 새롭게 추가된 이용 목적, 적용 가능한 동의 예외가 있는지를 검토한 뒤 처리 방식을 결정해야 한다.

공개된 데이터는 별도로 판단

PDPA의 ‘공개적으로 이용 가능한 데이터’ 예외에 해당하면, 기업은 모델 개발을 위해 공개된 개인정보를 동의 없이 수집할 수 있다. 다만 인터넷에서 접근할 수 있다는 이유만으로 모든 데이터가 자동으로 공개 데이터가 되는 것은 아니다. 유료벽, 로그인, 회원가입 또는 이와 유사한 디지털 장벽 뒤에 있는 정보는 공개 데이터에 해당하는지 신중한 판단이 필요하다.

제대로 익명화된 데이터

개인을 식별할 수 없도록 적절히 익명화된 데이터는 PDPA상 개인정보가 아니다. PDPC는 가능한 경우 분석과 연구에 익명화 데이터를 활용할 것을 권고한다.

다만 이름 하나를 삭제하는 것만으로는 충분하지 않을 수 있다. 남은 정보나 합리적으로 이용 가능한 다른 정보와 결합해 특정인을 알아낼 수 있다면 익명화가 완료됐다고 보기 어렵다. 기업은 실제로 개인 식별 가능성이 제거됐는지 별도로 평가해야 한다.

콜센터 통화 녹음은 어떻게 보나

제공된 자료만으로는 콜센터 통화 녹음에 적용되는 별도의 일률적인 예외를 확인할 수 없다. 발신자를 식별하거나 합리적으로 식별할 수 있는 통화 녹음은 생성형 AI 재사용 여부를 판단할 때 개인정보로 취급하는 것이 타당하다. 따라서 모델 개발에 사용하려면 유효한 동의, 고지 또는 다른 법정 예외 등 적용 가능한 PDPA상 근거가 필요하다.

다만 통화 녹음에 관한 추가적인 별도 규칙을 단정할 만큼 자료가 충분하지 않다. 실제 적용은 녹음 내용, 수집 경위, 예정된 생성형 AI 이용 목적, 적용 가능한 PDPA 예외에 따라 달라질 수 있다.

AI 전용 고지에 담아야 할 내용

고지는 이용자가 예정된 데이터 사용을 실질적으로 이해할 수 있을 정도로 구체적이어야 한다. 제공된 지침에서 확인되는 핵심 항목은 다음과 같다.

• AI 이용 목적: 개인정보가 생성형 AI 모델의 개발 또는 개선에 사용된다는 점
• 사용 이유: 모델을 개발하거나 개선하려는 구체적인 목적
• 사용 데이터: 이용되는 개인정보의 범주
• 이용 방식: 필요한 경우 학습이나 미세조정 등 데이터가 사용되는 방식
• 이용자의 선택: 동의를 거부·철회하거나 해당되는 경우 옵트아웃하는 방법

일반 개인정보처리방침이 배경 정보를 제공할 수는 있다. 그러나 생성형 AI 학습 목적이 अस्पष्ट하게 남는다면 일반 약관만으로는 부족하다. 핵심 기준은 합리적인 이용자가 자신의 개인정보가 생성형 AI 모델 개발·개선에 사용될 수 있다는 사실을 이해할 수 있는지다.

고지는 어디에 표시할 수 있나

제공된 자료는 모든 기업에 적용되는 하나의 의무 형식이나 고정된 게시 위치를 정하지 않는다. 실무적으로는 관련 데이터를 수집하는 시점이나 서비스를 이용하는 지점에서 정보를 제시하는 방식이 적절할 수 있다. 예를 들어 가입 단계, 서비스 이용 중 표시되는 안내창, 계정의 개인정보 설정, 명확하게 연결된 개인정보처리방침 등이 있다.

이는 PDPC 자료에 열거된 장소를 그대로 옮긴 것이 아니라 실무상 가능한 구현 방식에 대한 해석이다. 어떤 형식을 택하든 고지는 찾기 어려운 포괄 약관 속에 묻히지 않고 눈에 띄며 구체적이어야 한다.

동의 철회와 서비스 이용 권리

개인정보가 생성형 AI 개발에 사용된 뒤에도 이용자는 자신의 개인정보에 대한 열람과 정정을 요청할 수 있다. 기업은 데이터가 처음 들어오는 단계부터 합리적인 관리 절차를 마련하고, 요청을 사안별로 검토하며, 적절한 기술적 조치를 도입해야 한다. 다만 대규모 학습 데이터에서 특정 정보의 흐름을 추적하는 일은 현실적으로 어려울 수 있다.

동의가 법적 근거라면 이용자에게 동의를 거부하거나 철회하는 방법도 알려야 한다. 그렇다고 옵트아웃한 모든 이용자가 서비스를 기존 조건 그대로 계속 이용할 수 있다는 뜻은 아니다. 핵심 서비스 이용을 계속 보장할 수 있는지는 생성형 AI 학습이 해당 서비스에 얼마나 필요한지, 기업의 동의 설계가 어떻게 구성됐는지에 따라 달라진다. 제공된 자료는 모든 옵트아웃 상황에서 서비스 전체를 동일하게 유지할 권리를 인정하지 않는다.

IMDA의 자율적 ‘챗봇 정보 카드’

IMDA의 생성형 AI 챗봇 투명성 지침은 소비자 관점에서 마련됐다. 적용 대상은 고객, 소비자 또는 일반 대중과 직접 상호작용하는 외부 공개형 생성형 AI 챗봇의 운영자다. 이용자가 더 informed한 판단을 내리고, 기업의 정보 공개 방식을 일정하게 하며, 운영자가 공개한 안전성과 신뢰성 조치에 책임을 지도록 하는 것이 목적이다.

지침의 중심에는 식품 영양성분표나 의약품 설명서와 비슷한 ‘챗봇 정보 카드’가 있다. 별도의 안내 페이지나 공개 문서 등 다양한 형태가 가능하지만, 이용자가 중요한 정보를 한곳에서 확인할 수 있어야 한다.

정보 카드는 다음 세 가지 원칙을 따라야 한다.

• 관련성: 챗봇을 언제, 어떻게 믿고 사용할지 판단하는 데 필요한 정보를 담을 것
• 접근성: 쉬운 언어를 사용하고 정보를 쉽게 찾고 탐색할 수 있게 할 것
• 시의성: 챗봇 공개 시점에 제공하고, 기능·위험·안전 정책에 중대한 변화가 생기면 업데이트할 것

정보 카드에 포함할 내용

정보 카드는 다음 사항을 설명해야 한다.

• 챗봇의 intended purpose, 주요 기능과 역량
• 중요한 한계와 답변을 확인해야 하는 상황
• 사용이 적절하지 않을 수 있는 경우
• 신뢰성과 안전성을 높이기 위한 조치
• 이용자의 입력, 대화 내용 및 기타 데이터 처리 방식
• 불만 제기, 피드백 제공, 사고 신고를 위한 경로

정보 카드가 챗봇의 정확성이나 안전성을 보증하는 것은 아니다. 대신 이용자가 언제 도구에 의존할지, 어떤 정보를 입력해도 되는지, 문제가 생겼을 때 어디로 문의할지를 판단할 수 있는 기준을 제공한다.

IMDA가 우선 공개 챗봇에 초점을 맞춘 이유는 일반 소비자에게 널리 노출되고, 개인정보, 아동 안전, 정신적으로 취약한 이용자에게 영향을 미칠 위험 등이 있기 때문이다. 향후 다른 생성형 AI 애플리케이션이나 분야별 지침의 참고 기준으로 활용될 가능성도 있다.

기업과 공공기관의 대응

Google, Meta, DBS, OCBC, 싱가포르항공, Synapxe는 공개형 챗봇의 투명성 관행을 개선하는 과정에서 자율 지침을 참고하겠다고 밝혔다. 이는 향후 정비와 지침 준거에 대한 계획을 의미하며, 모든 기업이 이미 동일한 정보 카드를 도입했다는 뜻은 아니다.

은행권에서는 고객용 챗봇의 기능과 한계, 보호조치를 설명하고, 기존 AI 거버넌스 및 위험관리 체계와 정보 공개를 연결하는 데 초점이 맞춰질 가능성이 있다. DBS는 고객 대상 AI 이니셔티브를 언급했고, OCBC는 기존 AI 거버넌스와 위험관리 체계와의 연계를 강조했다.

싱가포르항공은 AI 기반 고객 경험을 확대하면서 AI 거버넌스와 보호조치를 계속 검토하고 강화하겠다고 밝혔다. Google과 Meta 역시 자사 AI 제품의 작동 방식과 이용자 상호작용을 더 명확하고 쉽게 설명한다는 취지에 지지를 표했다.

공공기관도 참고 대상으로 포함된다. 싱가포르 국립도서관위원회(National Library Board)와 건강증진위원회(Health Promotion Board)는 대외용 챗봇을 운영할 때 이 지침을 고려할 계획이다.

기업이 지금 점검할 사항

싱가포르의 접근 방식은 생성형 AI 데이터 이용에 더 구체적인 개인정보 고지를 요구하는 체계와, 공개 챗봇의 투명성을 높이는 자율 기준을 결합한다. 두 조치는 서로 보완하지만 동일한 제도는 아니다.

1. 데이터 흐름 파악: 모델 개발이나 챗봇 운영 과정에 어떤 개인정보가 들어가며, 그 이유가 무엇인지 확인한다.
2. 법적 근거 점검: 동의가 필요한지, PDPA상 예외를 적용할 수 있는지 판단한다.
3. 생성형 AI 재사용을 명시: 필요한 경우 일반적인 ‘제품 개선’ 문구 대신 AI 전용 고지를 제공한다.
4. 권리 요청에 대비: 열람·정정·동의 철회 요청을 검토할 수 있도록 초기 데이터 관리 기록을 유지한다.
5. 챗봇 정보 공개: 공개형 생성형 AI 챗봇에는 기능, 한계, 안전성, 신뢰성, 데이터 처리, 신고 경로를 담은 관련성 높고 접근하기 쉬우며 시의성 있는 정보를 제공한다.

결국 이번 조치가 이용자에게 모든 AI 관련 데이터 사용을 중단시킬 수 있는 보편적 권리를 약속하는 것은 아니다. 대신 기업이 데이터를 더 명확하게 설명하고, 재사용 목적을 신중하게 관리하며, 대중을 상대하는 AI 서비스에 더 큰 책임을 지도록 유도하는 데 의미가 있다.