싱가포르 AI 데이터 규정, 기업에 ‘AI 학습용 개인정보’ 구체적 고지 요구

PDPC가 강조하는 것은 약관 어딘가에 문장을 추가하는 형식적인 투명성이 아니다. 이용자가 실제로 선택해야 하는 시점에 정보를 알아볼 수 있어야 한다는 취지다. 눈에 잘 띄는 제품 내 알림창이나 별도의 안내 웹페이지가 예시로 제시됐다.

음성 데이터라면 이렇게 알려야 한다

예를 들어 한 기업이 음성을 문자로 바꾸는 기능을 개발한다고 하자. 이 기업은 고객의 음성 녹음을 AI 모델 학습에 사용하며, 녹음 데이터가 시스템의 음성 패턴 인식 능력을 높이는 데 활용된다고 설명할 수 있다. 단순히 ‘제품 개선을 위해 데이터를 처리한다’고 알리는 것보다 훨씬 구체적이다.

이 같은 고지는 이용자가 자신의 목소리, 영상, 거래 기록 등이 단순한 서비스 제공을 넘어 모델의 성능 개선에 사용된다는 사실을 파악하도록 돕는다.

고지와 동의는 서로 다르다

가장 중요한 구분은 무슨 일이 일어나는지 알리는 것과 그 데이터를 사용할 법적 근거를 확보하는 것이다.

싱가포르 개인정보보호법(PDPA)의 일반 체계에서는 기업이 개인정보를 수집·이용·공개하는 목적을 알리고, 원칙적으로 이용자의 동의를 받아야 한다. 다만 법률상 예외가 적용될 수 있다.

최종 지침이 명확히 한 부분은 동의가 필요한 상황에서 고지에 어떤 내용이 들어가야 하는가다. 기업은 해당 개인정보가 생성형 AI 모델 개발에 사용된다는 점을 명시적으로 설명해야 한다.

그렇다고 AI 학습에 개인정보가 사용되는 모든 경우에 반드시 적극적이고 명시적인 동의가 필요한 것은 아니다. 적용 가능한 PDPA 예외, 특히 공개적으로 이용 가능한 개인정보에 관한 규정에 따라 결론이 달라질 수 있다.

따라서 기업은 학습 데이터셋마다 다음 사항을 별도로 기록하는 것이 실무적으로 중요하다.

1. 어떤 AI 활용 사례에 데이터가 쓰이는가
2. 학습·미세조정·테스트·모니터링 중 어느 단계에 사용되는가
3. 동의가 필요한가, 법률상 예외에 의존하는가
4. 이용자에게 어떤 방식으로 고지했는가

명확한 고지는 동의가 필요한 상황에서 동의를 대신할 수 없다. 반대로 실제 AI 활용 목적을 설명하기에 지나치게 포괄적인 문구만으로 동의를 추정할 수도 없다.

초안에서 남았던 세 가지 쟁점

이번 지침의 출발점이 된 공개협의 초안은 투명성을 강화했지만, 기업과 이용자가 실제로 부딪힐 수 있는 여러 상황에 대해서는 해석의 여지를 남겼다.

명시적 동의가 항상 필요한가

초안은 모든 생성형 AI 학습 시나리오에서 적극적이고 명시적인 동의를 받아야 한다고 분명히 정리하지 않았다. 대신 어떤 경우에 옵트아웃 방식이 허용될 수 있는지, 기존 PDPA 예외를 적용할 수 있는지가 논점이 됐다.

최종 지침은 동의와 예외의 관계를 설명했지만, AI 특화 고지가 모든 상황에서 동의를 대신하는 것은 아니라는 점은 여전히 중요하다. 기업은 먼저 각 데이터 처리의 법적 근거를 판단해야 한다.

익명화하면 AI 특화 고지를 피할 수 있나

개인정보를 학습 전에 익명화한 경우에도 특별한 AI 고지 기대가 적용되는지는 초안에서 명확하지 않았다.

이 문제는 해당 정보가 여전히 특정 개인과 연결될 수 있는지, 기업이 어떤 방식으로 익명화를 수행했는지, 그 과정을 어떻게 입증하고 기록하는지에 따라 달라질 수 있다. 데이터셋에 ‘익명화’라는 이름을 붙였다는 이유만으로 모든 개인정보 검토가 끝난다고 보기는 어렵다.

거부하면 서비스를 이용할 수 없게 될 수 있나

은행, 보험사, 플랫폼 등 기업이 이용자가 자신의 데이터를 AI 학습에 사용하는 데 동의하지 않았다는 이유로 서비스를 제공하지 않거나 제한할 수 있는지도 주요 미해결 사안이었다.

서류상으로 옵트아웃 선택권이 있어도, 거부에 상당한 비용이나 불이익이 따른다면 이용자의 선택은 형식에 그칠 수 있다. AI 특화 고지는 정보 접근성을 높이지만, 서비스 이용과 데이터 제공 사이의 공정성이나 기업·이용자 간 협상력 차이까지 자동으로 해결하지는 않는다.

스마트 안경과 생체결제까지 이어지는 개인정보 논쟁

PDPC의 생성형 AI 논의는 AI 학습 데이터에만 국한되지 않는다. 데니스 웡 PDPC 위원장이 이끄는 더 넓은 관심사는 이용자가 알아차리기 어려운 방식으로 데이터를 수집하는 AI 기기와 시스템에도 맞닿아 있다. 관련 논의에는 스마트 안경, 스마트워치, 손바닥 인식 결제 시스템 등이 포함됐다.

이런 제품은 얼굴 특징, 지문, 음성, 손바닥 정맥 패턴처럼 민감할 수 있는 정보를 다룰 수 있다. 보도된 우려로는 몰래 이뤄지는 촬영, 생체정보의 노출·오용, 스마트 안경을 이용한 시험 자료나 기타 정보의 은밀한 촬영 및 부정행위 조장 등이 거론됐다.

싱가포르 디지털개발정보부(MDDI)도 스마트 안경의 촬영 표시등과, 기기를 직접 사용하지 않는 주변 사람의 생체정보 또는 환경 데이터가 수집될 가능성에 관한 질의에 답변한 바 있다.

여기서 핵심은 ‘표시가 존재하는가’가 아니라 실질적으로 알아차리고 선택할 기회가 있었는가다. 작고 눈에 잘 띄지 않는 녹화 표시등이나 문서 깊숙이 숨겨진 기기 정책만으로는 주변인이 실제 상황을 이해하기 어려울 수 있다.

기업이 지금 점검할 사항

싱가포르에서 생성형 AI를 개발하거나 도입하는 조직은 이번 지침을 데이터 거버넌스 점검표로 활용할 수 있다.

1. 데이터셋과 AI 활용 목적을 연결한다. 각 데이터가 학습, 미세조정, 테스트, 모니터링 또는 다른 목적 중 어디에 사용되는지 구분한다.
2. PDPA상 법적 근거를 문서화한다. 동의가 필요한지, 법률상 예외에 의존하는지 기록한다.
3. 포괄적인 개인정보 고지를 다시 쓴다. 개인정보가 생성형 AI 모델의 개발 또는 개선에 사용된다면 그 사실을 직접적으로 적는다.
4. 데이터 유형과 모델 기능을 설명한다. 이용자가 어떤 정보가 사용되고 그 정보가 모델의 어떤 기능에 기여하는지 이해할 수 있어야 한다.
5. 선택 절차를 실제로 이용 가능하게 만든다. 옵트아웃 또는 동의 철회 방법을 안내하고 요청 처리 과정도 기록한다.
6. 연결 기기는 별도로 검토한다. 스마트 안경, 웨어러블, 카메라, 생체인식 시스템은 직접 이용자가 아닌 주변 사람의 데이터와 관련된 고지·동의 문제도 일으킬 수 있다.

싱가포르의 방향은 개인정보를 활용한 생성형 AI를 일괄적으로 금지하는 데 있지 않다. 대신 데이터가 어디에, 어떤 목적으로, 어떤 법적 근거로 사용되는지 더 잘 보이게 만드는 데 초점이 있다.

이번 최종 지침은 전통적인 개인정보 처리방침과 현대적인 AI 개발 사이의 간극을 일부 좁혔다. 그러나 이용자의 선택이 실제로 의미 있는지, 민감정보와 주변인 데이터는 어떻게 다뤄야 하는지 같은 문제는 여전히 기업과 규제기관이 풀어야 할 핵심 과제로 남아 있다.