본문바로가기

AI 보안기술 기업의 고영향 인공지능 해당 여부 및 생체인식정보 처리 법률자문 제공

[자문 핵심 요약]

  • 의뢰인: 인공지능 기반 정보보안 기술을 개발하는 기업
  • 주요 쟁점: AI 보안기술의 고영향 인공지능 해당 여부, 생체인식정보의 민감정보 처리 요건, 개인정보 처리위탁·재위탁 관계의 적법성
  • 자문 내용: 인공지능기본법상 영향평가 관련 규정 검토, 개인정보 처리의 적법성 및 참여 사업자별 책임범위 분석, AI 기술 실증을 위한 법률의견 제공

AI 보안기술 실증사업의 법률적 검토 필요성

법무법인 민후(現 법무법인 원)는 인공지능 기반 정보보안 기술을 개발하는 기업으로부터 AI 기술 실증사업에 관한 법률자문을 요청받았습니다.

의뢰기업은 인공지능을 활용하여 디지털 콘텐츠의 위·변조 여부를 탐지하고, 기존 보안서비스의 신뢰성을 높이기 위한 기술 검증을 추진하고 있었습니다.

이 과정에서 해당 기술이 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」상 고영향 인공지능에 해당하는지, 개인정보를 활용하는 실증 과정에서 별도의 민감정보 처리 동의가 필요한지 등이 문제되었습니다.

법무법인 민후(現 법무법인 원)는 실증사업의 운영구조와 개인정보 처리방식을 분석하여 AI 관련 규제의 적용 여부 및 법률상 유의사항에 관한 의견을 제공하였습니다.

고영향 인공지능 해당 여부 및 AI 영향평가 검토

인공지능기본법은 인공지능이 활용되는 분야와 사람의 권리·안전에 미치는 영향을 고려하여 고영향 인공지능을 규율하고 있습니다.

따라서 인공지능을 이용하여 생체정보를 분석한다는 사실만으로 모든 시스템이 고영향 인공지능에 해당하는 것은 아닙니다.

법무법인 민후(現 법무법인 원)는 해당 AI 기술의 활용 목적과 실제 기능, 분석 결과가 이용자에게 미치는 영향을 검토하였습니다.

특히 기술 실증 단계와 실제 서비스에 적용되는 상용화 단계를 구분하고, AI 분석 결과가 이용자의 권리나 서비스 이용 여부에 직접 영향을 미치는지를 살펴보았습니다.

또한 인공지능기본법상 고영향 인공지능 해당 여부의 사전 검토, 안전성·신뢰성 확보 조치 및 영향평가 관련 규정의 법적 성격을 구분하여 검토하였습니다.

AI 기술 실증 과정의 생체인식정보 처리 적법성

AI 기반 보안서비스에서는 얼굴 등 개인의 생체적 특징에 관한 정보가 처리될 수 있습니다.

이러한 정보가 개인을 식별하기 위한 목적으로 기술적으로 처리되는 경우에는 개인정보 보호법상 민감정보에 해당할 수 있으므로, 별도의 법적 처리 근거가 필요합니다.

법무법인 민후(現 법무법인 원)는 생체인식정보를 AI 모델로 분석하는 행위가 개인정보 처리에 해당하는지, 기존 서비스에서 확보한 개인정보 처리 근거를 실증 과정에도 적용할 수 있는지 검토하였습니다.

특히 원본정보를 장기간 보관하지 않거나 분석 직후 삭제한다는 사정만으로 개인정보 처리에 관한 법적 의무가 면제되는 것은 아니라는 점을 고려하였습니다.

아울러 기존 수집 목적과 새로운 분석 목적의 관계를 살펴보고, 정보주체의 권익 보호를 위한 확인사항을 검토하였습니다.

개인정보 처리위탁 및 재위탁 관계 검토

여러 기업이 참여하는 AI 기술 실증사업에서는 개인정보를 실제로 처리하는 사업자와 개인정보 처리 목적 및 방법을 결정하는 주체가 다를 수 있습니다.

개인정보처리자에 해당하는지 여부는 단순히 데이터를 취급했다는 사실만이 아니라 처리 목적과 방법에 관한 결정권, 실질적인 지휘·감독 관계 등을 종합적으로 고려하여 판단해야 합니다.

법무법인 민후(現 법무법인 원)는 실증에 참여하는 사업자별 역할과 개인정보 처리에 관한 권한을 검토하였습니다.

또한 기존 개인정보 처리위탁 관계에서 수행되는 업무와 별도의 재위탁에 해당할 수 있는 업무를 구분하여 법적 책임범위를 분석하였습니다.

이를 통해 참여 사업자의 계약상 지위와 실제 개인정보 처리관계를 함께 확인해야 한다는 법률의견을 제공하였습니다.

AI 보안기술의 개인정보 안전조치 및 운영상 유의사항

AI 기술 실증에서는 개인정보 처리의 적법한 근거를 확보하는 것과 함께 개인정보 유출이나 목적 외 이용을 방지하는 조치가 중요합니다.

법무법인 민후(現 법무법인 원)는 개인정보의 보관·삭제, 접근권한 관리 및 개인정보 처리방침과 관련된 법적 의무를 검토하였습니다.

또한 AI 분석 결과가 이용자에 대한 자동화된 결정으로 활용되는 경우와 단순한 기술 검증에 사용되는 경우를 구분하여 관련 규제의 적용 가능성을 살펴보았습니다.

특히 서비스 운영방식이 변경되면 고영향 인공지능 해당 여부와 개인정보 처리의 적법성을 다시 검토할 필요가 있다는 의견을 제시하였습니다.

AI 기술 실증사업 법률자문의 의의

법무법인 민후(現 법무법인 원)는 이번 자문을 통해 AI 보안기술의 고영향 인공지능 해당 여부와 생체인식정보 처리의 적법성, 개인정보 처리위탁 및 재위탁 관계를 종합적으로 검토하였습니다.

특히 기술의 활용 목적과 개인정보 처리주체의 역할을 구분하고, 관련 법령의 적용 가능성 및 추가 확인이 필요한 법률적 쟁점에 관한 의견을 제공하였습니다.

이번 사례는 AI 기술의 안전성과 신뢰성을 확보하기 위해 기술적 보호조치뿐 아니라 실제 서비스 구조에 맞는 개인정보 처리 근거와 사업자 간 책임관계를 명확히 검토해야 한다는 점에서 의미가 있습니다.

자주 묻는 질문(Q&A)

Q. AI가 얼굴정보를 분석하면 무조건 고영향 인공지능에 해당하나요?

그렇지는 않습니다. 인공지능기본법에서 정한 활용 분야에 해당하는지, 사람의 생명·신체 안전이나 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는지 등을 종합적으로 판단해야 합니다.

Q. AI 분석 후 생체인식정보를 즉시 삭제하면 별도의 개인정보 처리 근거가 필요 없나요?

그렇지 않습니다. 개인정보를 일시적으로 분석하는 행위도 개인정보 보호법상 처리에 해당할 수 있습니다. 원본정보의 삭제 여부와 별개로 민감정보 처리에 필요한 적법한 근거를 확인해야 합니다.

Q. 개인정보 처리업무에 여러 기업이 참여하면 모두 개인정보처리자가 되나요?

반드시 그렇지는 않습니다. 개인정보 처리의 목적·방법을 결정하는 권한과 사업자 간 위탁·재위탁 관계, 실제 지휘·감독 구조 등을 종합적으로 검토하여 법적 지위를 판단해야 합니다.

관련 법조문

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제2조 제4호

고영향 인공지능의 정의 및 해당 활용 영역에 관한 규정입니다.

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제33조

고영향 인공지능 해당 여부의 사전 검토와 확인절차에 관한 규정입니다.

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제34조

고영향 인공지능 관련 사업자의 안전성·신뢰성 확보 조치에 관한 규정입니다.

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제35조

고영향 인공지능을 이용한 제품·서비스의 영향평가에 관한 규정입니다.

개인정보 보호법 제2조

개인정보의 처리 및 관련 용어의 정의를 규정합니다.

개인정보 보호법 제15조

개인정보의 수집·이용에 관한 적법한 처리 근거를 규정합니다.

개인정보 보호법 제23조

민감정보의 처리 제한 및 허용 요건에 관한 규정입니다.

개인정보 보호법 제26조

개인정보 처리업무의 위탁 및 재위탁에 관한 요건과 의무를 규정합니다.

개인정보 보호법 제29조

개인정보 보호를 위한 기술적·관리적 및 물리적 안전조치에 관한 규정입니다.

개인정보 보호법 제37조의2

자동화된 결정에 대한 정보주체의 권리 등에 관한 규정입니다.

관련 판례

대법원 2026. 2. 26. 선고 2024도14998 판결

개인정보처리자의 지위는 실제 개인정보 처리행위의 수행 여부만이 아니라, 개인정보 처리의 목적·방법 등에 관한 최종 결정권과 실질적인 지휘·감독 관계 등을 종합하여 판단해야 한다는 취지의 판례입니다.

서울고등법원 2020. 9. 24. 선고 2020노544 판결

민감정보의 처리위탁에서 위탁자가 적법한 개인정보 처리 근거를 갖추었다면, 수탁자가 정보주체로부터 별도의 민감정보 처리 동의를 받아야 하는 것은 아니라는 취지의 판례입니다.

관련 업무분야

기업자문 / R&D / IT / SW / 신기술 / 개인정보 / 정보보안 / 공공기관 자문

최근 유사 업무사례
더보기 +