김효봉 변호사 “개인정보 동의만 받으면 된다는 만능주의 안 통해”

김효봉 법부법인 태평양 변호사가 11일 오후 서울 여의도 한국거래소에서 열린 ‘AI 경쟁 시대, 데이터 활용 규제 체계 정비와 디지털 금융혁신’ 세미나에서 주제발표를 하고 있다. <사진=백종훈>

인공지능(AI)이 대출 심사나 보험 인수 등 금융 의사결정에 활용되기 시작하면서 ‘금융데이터’라는 단일 개념이 흔들리고 있다는 분석이 나왔다. 같은 데이터라도 수집 단계에서는 일반 개인정보였다가 AI 학습을 거쳐 금융 의사결정에 투입되는 순간 사실상 금융데이터로 볼 수 있는데, 정작 규제는 단계마다 다르게 적용된다는 것이다.

문제는 첫 단추다. 수집 시점에는 금융업법이 적용되지 않아 정확성 검증이나 설명의무, 공정성 요건, 이의제기권 등 금융소비자 보호 장치가 제대로 설계돼 있지 않다. 가장 원천이 되는 데이터가 규제 공백 지대에서 수집된 뒤 금융 의사결정에 활용되는 역설적인 구조가 만들어지는 셈이다.

김효봉 법무법인 태평양 변호사는 11일 서울 여의도 한국거래소 IR룸에서 열린 ‘AI 경쟁 시대, 데이터 활용 규제 체계 정비와 디지털 금융혁신’에서 ‘AI 시대의 금융데이터 확장과 국내외 규제 현황’을 주제로 발표하며 이같이 밝혔다.

김 변호사는 “AI가 금융 섹터에 들어온 이후에는 예전과 같은 단일 개념의 금융데이터라고 정의하기보다 관할권과 이용 맥락에 따라 법적 지위가 달라지는 복합적인 개념으로 봐야 한다”고 전제했다.

그에 따르면 전통적인 금융거래 정보가 없는 이른바 ‘씬 파일(thin file)’ 고객의 소셜미디어 활동이나 모바일 사용 패턴, 전자상거래 구매 이력을 분석해 신용점수를 산출하면 해당 데이터가 금융 의사결정에 활용되는 데이터로 성격이 달라질 수 있다. 위성 이미지도 마찬가지다.

김 변호사는 “그냥 공개된 이미지일 텐데 AI가 분석해 해당 이미지를 가진 사람에게 대출을 하거나 보험료를 산정하는 데 쓰면 그때는 그 이미지 자체가 보험 인수나 담보 평가에 사용되는 금융데이터로 전환될 수 있다”고 언급했다.

생성형 AI 기반 로보어드바이저가 고객과의 대화에서 투자 성향을 추론하는 경우도 마찬가지다. 대화 데이터 자체는 일반 개인정보지만 투자 적합성 판단에 활용되면 적합성 원칙을 따라야 한다. 웨어러블 기기에서 수집한 데이터가 보험 판단에 활용되는 경우도 같은 구조다.

김 변호사는 국내 실무에서 굳어진 접근법에도 경고를 보냈다. 그는 “우리는 개인정보의 경우 동의를 받으면 별 문제없이 다 괜찮을 것이라는 막연한 생각을 갖고 있다”며 “그런데 AI 데이터 처리에 있어서는 동의를 받는 것만으로는 대부분 불충분하다”고 지적했다.

유럽 일반개인정보보호법(GDPR)에는 적법한 처리 근거가 여섯 가지 있는데, 동의는 그중 하나일 뿐이다. 정당한 이익을 적용하려 해도 목적과 필요성, 정보주체와의 이익 형량을 개별적으로 검토해야 한다는 설명이다. 동의를 받았더라도 공정성 유지 의무와 데이터 최소화 의무는 별도로 지켜야 한다.

11일 오후 서울 여의도 한국거래소에서 열린 ‘AI 경쟁 시대, 데이터 활용 규제 체계 정비와 디지털 금융혁신’ 세미나 참석자들이 기념 촬영을 하고 있다. <사진=백종훈>

◇ “AI 썼다고 설명의무 면제 안 돼”…삭제하라는 개인정보법, 보관하라는 금융규제

김 변호사는 “AI를 썼다는 이유로 기존 금융규제가 비켜가지도 않는다”며 “미국 소비자금융보호국(CFPB)이 2023년 낸 리포트를 보면, AI가 아무리 복잡한 모델을 사용하더라도 결국 불리한 결정을 하면 실제 결정한 이유를 구체적으로 설명해야 한다는 것”이라고 말했다. 이어 “기존 금융업법상 설명의무 같은 것들이 AI를 사용했다는 이유만으로 면제되지 않는다는 취지”라고 덧붙였다.

그에 따르면 홍콩 증권선물위원회(SFC)도 모델을 누가 개발했는지가 아니라 라이선스를 받은 금융사가 해당 모델을 어떤 규제 서비스에 활용하는지가 중요하다는 입장이다. 외부에서 모델을 사 왔다고 해서 금융사의 책임이 면제되는 것은 아니라는 의미다.

김 변호사는 “금융사가 AI를 직접 개발하지 않아도 의무는 따라붙는다. 어떤 서비스를 만들면서 AI를 활용했다면 우리 자신은 AI 개발자가 아니더라도 이용사업자로서의 의무를 부담하게 된다”며 “직접 개발해서 서비스까지 제공한다고 하면 두 지위를 모두 갖기 때문에 두 의무를 모두 이행해야 한다”고 강조했다.

그러면서 “규제끼리 정면으로 부딪히는 지점도 있다. 개인정보보호법은 목적을 달성하면 즉시 삭제하고 최소한의 데이터만 보유하라고 요구하는 반면, 금융규제는 사후 책임을 묻기 위해 길게는 10년까지 기록 유지를 요구하기 때문”이라고 부연했다.

김 변호사는 “은행 입장에서는 고객 데이터로 AI 대출심사 모델을 운영하는 하나의 행위로 생각하지만, 각 단계별로 개입되는 데이터마다 적용 법령이 다르고 그에 따라 보존 기간도 각각 다를 수 있다”고 설명했다. 원본 고객 데이터는 대출계약을 기준으로 5년, 학습 스냅샷은 모델 감사를 위해 모델 수명 기간, 답변 로그는 또 별도 기준이 적용될 수 있다는 것이다.

이런 차원에서 규제 충돌이 가장 선명하게 드러나는 영역으로 ‘편향 검증’이 꼽힌다. 신용·보험 AI가 특정 집단을 차별하는지 검사하려면 성별과 인종, 연령 등 보호속성 데이터가 필요한데, 개인정보를 없애기 위해 가명화·익명화만 하면 편향 여부를 검증할 방법이 사라진다.

김 변호사는 “EU의 AI법은 고위험 AI 시스템에 편향 탐지와 시정 의무는 부여하는데 방법은 주지 않는다”며 “유럽 일반개인정보보호법상 특별범주 개인정보 처리는 원칙적으로 금지하면서 데이터 최소화 원칙도 지키면서 알아서 검증하라는 것”이라고 지적했다.

반면 싱가포르 개인정보보호위원회는 2024년 가이드라인에서 식별 가능한 개인정보가 필요한 경우 그 이유를 내부적으로 문서화하도록 해, 편향 검증에 보호속성 데이터가 필요할 수 있다는 점을 감독당국이 공식적으로 인정한 사례로 평가된다고 전했다.

아울러 국내 인공지능기본법은 산업 육성과 규제라는 두 가지 성격을 함께 지니고 있다. 고영향·생성형·고성능 인공지능을 규제 대상으로 삼으며, 세 기준은 서로 달라 하나의 AI가 여러 범주에 중첩 적용될 수 있다. 공교롭게도 한국은 EU보다 먼저 시행에 들어갔다. EU AI법은 올해 8월 2일 시행됐지만 핵심인 고위험 AI 규정은 기존 금융규제와의 충돌을 조율하기 위해 2027년 12월 2일로 적용이 미뤄졌다.

김 변호사는 보완 과제를 제시하며 “금융사의 상업적 AI 모델 학습이 개인정보보호법상 예외에 포섭되지 않는 만큼 데이터 활용의 법적 근거를 정비해야 한다는 것이 첫 번째”라며 “비금융 데이터를 금융 의사결정에 투입할 때 설명의무와 기존 금융규제가 어디까지 적용되는지도 불명확한데 AI 법 하나로 해결될 것 같지는 않고 금융업법별 가이드라인이 나오거나 하위 규정에 설명의무 범주가 더 명확하게 반영돼야 한다”고 했다.

이 밖에 △가명·익명·합성 데이터의 AI 활용 기준 구체화 △인공지능기본법상 데이터 유형별 보존 기간 세부기준 마련 △데이터 국외이전 규율을 국내외 이분법이 아닌 실제 데이터 흐름 기준으로 전환 △AI 자동화평가에 대한 설명의무와 이의제기권의 실효성 확보 등을 과제로 꼽았다.

[CEO스코어데일리 / 백종훈 기자 / jhbaek@ceoscore.co.kr]