본문바로가기

AI 보안기술 개발기업의 딥페이크 탐지 실증사업 및 고영향 인공지능·생체인식정보 법률자문 제공

[자문 핵심 요약]

  • 의뢰인: 인공지능 기반 정보보안 및 딥페이크 탐지 기술을 개발하는 기업
  • 주요 쟁점: 고영향 인공지능 해당 여부와 AI 영향평가, 안면정보 처리에 관한 별도 동의, 개인정보 처리위탁·재위탁의 적법성
  • 자문 내용: AI 실증사업의 법적 규제 검토, 민감정보 처리 근거와 사업자별 책임 분석, 개인정보 보호조치 및 운영상 유의사항에 관한 법률의견 제공

딥페이크 탐지 AI 실증사업에 관한 법률자문

법무법인 민후(現 법무법인 원)는 인공지능 기반 정보보안 기술을 개발하는 기업으로부터 딥페이크 탐지 기술의 실증사업과 관련한 법률자문을 요청받았습니다.

고객사는 AI 기술을 활용하여 디지털 콘텐츠의 위·변조 여부를 판별하고, 비대면 본인확인 과정에서 발생할 수 있는 부정 인증 위험에 대응하는 기술을 실증하고자 하였습니다.

이 과정에서 해당 AI 시스템이 인공지능기본법상 고영향 인공지능에 해당하는지, 생체인식정보를 이용한 실증에 별도의 동의가 필요한지, 참여사업자 사이의 개인정보 처리관계를 어떻게 판단해야 하는지가 쟁점이 되었습니다.

법무법인 민후(現 법무법인 원)는 관련 법령과 판례, 실증사업의 운영방식을 검토하고 주요 법률문제에 대한 의견서를 제공하였습니다.

고영향 인공지능 해당 여부 및 AI 영향평가 검토

인공지능기본법상 고영향 인공지능 해당 여부는 AI 기술의 성능이나 명칭만으로 결정되지 않습니다. 실제 활용되는 영역과 사람의 권리·의무 및 안전에 미치는 영향을 함께 고려해야 합니다.

법무법인 민후(現 법무법인 원)는 딥페이크 탐지 결과가 이용자에게 참고정보로 제공되는 경우와 본인확인 절차에서 활용되는 경우를 구분하여 검토하였습니다.

특히 실증 단계에서 AI의 판단이 실제 본인인증 결과나 서비스 이용 여부에 영향을 주지 않는다는 점을 고려하여 고영향 인공지능 해당 가능성을 분석하였습니다.

또한 인공지능기본법 제33조부터 제35조까지의 규정을 검토하여 고영향 인공지능 사전 검토의무와 안전성·신뢰성 확보조치, 영향평가에 관한 규정의 법적 성격을 구분하였습니다.

아울러 법정 의무와 별개로 실증사업의 신뢰성을 확보하기 위한 자율적인 윤리영향 점검의 필요성에 대해서도 의견을 제공하였습니다.

생체인식정보 처리와 별도 동의의 필요성 검토

AI를 활용한 안면정보 분석에서는 개인정보 보호법상 민감정보 처리 문제가 발생할 수 있습니다.

특히 안면 이미지의 원본을 분석 직후 삭제하거나 외부 서버에 보관하지 않더라도, 이를 AI 모델에 입력하여 분석하는 행위 자체는 개인정보 처리에 해당할 수 있습니다.

법무법인 민후(現 법무법인 원)는 기존 본인확인 과정에서 수집한 안면정보를 딥페이크 탐지에 활용하는 행위가 당초 동의받은 목적의 범위에 포함되는지 검토하였습니다.

또한 기존 민감정보 처리 동의의 내용과 법령상 처리 근거, 실증의 목적 및 이용자에게 미치는 영향을 종합적으로 고려하여 별도 동의의 필요성을 분석하였습니다.

특히 수탁자가 별도의 동의를 받을 필요가 없다는 점과 개인정보처리자인 위탁자에게 적법한 민감정보 처리 근거가 있어야 한다는 점을 구분하여 검토하였습니다.

개인정보 처리위탁과 재위탁 여부 관련 검토

AI 실증사업에는 기술 개발기업과 시스템 운영기업, 실제 서비스를 제공하는 기업 등 여러 사업자가 참여할 수 있습니다.

이 경우 개인정보를 실제로 분석하거나 시스템을 운영한다는 이유만으로 모든 참여기업이 독립적인 개인정보처리자가 되는 것은 아닙니다.

법무법인 민후(現 법무법인 원)는 개인정보 처리의 목적과 방법을 최종적으로 결정하는 주체가 누구인지, 각 사업자가 어떤 지휘·감독 관계에서 업무를 수행하는지 검토하였습니다.

특히 기존 개인정보 처리위탁 관계에서 기술 제공 및 운영을 담당하는 사업자의 참여가 새로운 재위탁에 해당하는지, 개인정보취급자를 통한 업무 수행으로 평가할 수 있는지 관련 법리를 분석하였습니다.

아울러 참여기업 사이의 계약관계와 실제 업무 수행방식이 일치하는지 확인하고, 별도의 법적 위험이 남을 수 있는 사항에 관하여 의견을 제공하였습니다.

원본 데이터 파기 및 개인정보 안전조치 검토

생체인식정보를 활용하는 AI 시스템에서는 처리 목적뿐 아니라 개인정보가 보관되는 기간과 접근권한, 파기방식도 중요한 검토사항입니다.

법무법인 민후(現 법무법인 원)는 원본 데이터의 보관을 최소화하고 분석 이후 삭제하는 실증 구조를 개인정보 보호법상 안전조치 및 파기 의무와 연계하여 검토하였습니다.

또한 접근권한 관리와 처리기록 확인, 개인정보의 목적 외 이용 방지, 분석 결과의 비식별성 확보 등 정보주체 보호에 필요한 사항을 살펴보았습니다.

특히 기술 검증을 위해 수집한 정보가 별도의 AI 학습 목적으로 이용되는 경우에는 당초 수집·이용 목적을 벗어나는 문제가 발생할 수 있다는 점을 검토하였습니다.

실증 단계와 상용화 단계의 법적 규제 구분

AI 기술의 실증 단계에서 적용되는 법적 판단이 향후 상용화 단계에도 그대로 유지되는 것은 아닙니다.

딥페이크 탐지 결과가 실제 본인확인이나 서비스 이용 제한에 반영된다면 이용자의 권리·의무에 미치는 영향이 달라질 수 있기 때문입니다.

법무법인 민후(現 법무법인 원)는 실증 과정에서의 AI 활용범위와 향후 실제 서비스 적용 가능성을 구분하여 검토하였습니다.

또한 상용화 단계에서 고영향 인공지능 해당 여부와 개인정보 보호법상 자동화된 결정 관련 규정을 다시 검토해야 할 수 있다는 점을 설명하였습니다.

AI 보안기술 실증사업 법률자문의 의의

법무법인 민후(現 법무법인 원)는 이번 자문을 통해 딥페이크 탐지 AI 실증사업에 적용될 수 있는 인공지능기본법과 개인정보 보호법상 주요 쟁점을 종합적으로 검토하였습니다.

특히 고영향 인공지능 해당 여부와 영향평가의 법적 성격, 생체인식정보의 처리 근거, 사업자별 개인정보 처리 책임 및 재위탁 여부를 구분하여 법률의견을 제공하였습니다.

이번 사례는 AI 기술의 안전성을 검증하는 실증사업에서도 기술의 실제 이용 목적과 개인정보 처리구조, 정보주체에게 미치는 영향을 함께 검토해야 한다는 점에서 의미가 있습니다.

자주 묻는 질문(Q&A)

Q. 딥페이크 탐지 AI는 반드시 고영향 인공지능에 해당하나요?

반드시 그렇지는 않습니다. 인공지능기본법에서 정한 활용 영역과 AI의 판단이 사람의 권리·의무 및 안전에 미치는 영향을 종합적으로 검토해야 합니다. 실증 단계와 실제 서비스 적용 단계의 판단도 달라질 수 있습니다.

Q. 안면 이미지를 분석한 즉시 삭제하면 민감정보 처리에 관한 동의가 필요 없나요?

원본을 보관하지 않더라도 AI로 안면정보를 분석하는 행위는 개인정보 처리에 해당할 수 있습니다. 따라서 민감정보 처리에 관한 적법한 근거가 필요하며, 기존 동의의 범위와 관련 법령을 확인해야 합니다.

Q. AI 실증사업에 참여한 기술기업도 모두 개인정보처리자나 수탁자에 해당하나요?

그렇지는 않습니다. 개인정보 처리의 목적과 방법에 관한 최종 결정권, 실제 업무관계 및 지휘·감독 구조 등을 종합적으로 판단해야 합니다. 기술 제공이나 시스템 운영에 참여했다는 사실만으로 법적 지위가 자동으로 결정되지는 않습니다.

관련 법조문

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제2조 제4호

사람의 생명·신체 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 고영향 인공지능의 정의와 활용 영역에 관한 규정입니다.

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제33조

인공지능사업자의 고영향 인공지능 해당 여부에 대한 사전 검토와 관계 행정기관에 대한 확인 요청에 관한 규정입니다.

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제34조

고영향 인공지능과 관련한 위험관리, 이용자 보호 및 안전성·신뢰성 확보 등 사업자의 책무에 관한 규정입니다.

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제35조

고영향 인공지능을 이용한 제품·서비스가 사람의 기본권에 미치는 영향에 대한 평가와 관련된 규정입니다.

개인정보 보호법 제23조 (민감정보의 처리 제한)

생체인식정보 등 민감정보의 처리와 별도 동의 또는 법령상 처리 근거에 관한 규정입니다.

개인정보 보호법 제26조 (업무위탁에 따른 개인정보의 처리 제한)

개인정보 처리업무의 위탁과 재위탁, 수탁자 관리·감독 등에 관한 규정입니다.

개인정보 보호법 제29조 (안전조치의무)

개인정보의 분실·도난·유출 등을 방지하기 위한 기술적·관리적 및 물리적 안전조치에 관한 규정입니다.

개인정보 보호법 제37조의2 (자동화된 결정에 대한 정보주체의 권리 등)

개인정보를 이용한 완전히 자동화된 결정에 관하여 정보주체가 행사할 수 있는 권리 등에 관한 규정입니다.

관련 판례

대법원 2026. 2. 26. 선고 2024도14998 판결

개인정보처리자 해당 여부의 판단기준

개인정보처리자에 해당하는지는 실제 개인정보를 취급한 사실만이 아니라 처리 목적·방법 등에 관한 최종 결정권과 지휘·감독 관계 등을 종합하여 판단해야 한다는 취지의 판례입니다.

대법원 2025. 2. 13. 선고 2020도14713 판결

개인정보 처리위탁과 제3자 제공의 구분

개인정보처리자의 업무를 수행하기 위해 개인정보를 이전받아 처리하는 경우와 개인정보의 지배·관리권이 제3자에게 이전되는 경우를 구분하는 데 관한 판례입니다.

서울고등법원 2020. 9. 24. 선고 2020노544 판결

민감정보 처리위탁과 수탁자의 별도 동의 여부

개인정보 및 민감정보의 처리위탁과 관련하여, 위탁자에게 적법한 처리 근거가 있는 경우 수탁자가 정보주체로부터 별도의 민감정보 처리 동의를 받을 필요는 없다는 취지의 판례입니다.

관련 업무분야

기업자문 / 공공기관 자문 / R&D / 개인정보 / 정보보안 / IT / SW / 신기술 / 바이오헬스

최근 유사 업무사례
더보기 +