AI 거버넌스 공백과 개인정보 유출 사례
2026년 6월 18일, 국회전자청원 홈페이지에 청원 하나가 올라왔어요. 바로 ‘개인정보 원본의 AI 활용을 허용하는 「개인정보 보호법」 개정안 반대에 관한 청원’이었는데요. 청원이 올라오기 한 달 전인 5월 14일 국회 정무위원회를 통과한 개인정보보호법 개정안에 반대하며 철회를 요구하는 시민사회의 목소리를 담은 청원이었어요.
이번에 통과된 개인정보보호법 개정안은 AI 기술 개발을 위해 정보주체의 동의 없이도 얼굴, 음성, 지문 같은 개인정보를 원본 그대로 활용할 수 있도록 해요. 물론 안전장치를 마련하도록 하고, 권익 침해 우려가 낮은 경우로 활용 범위를 한정하기는 했지만, 시민단체들이 이 법안을 ‘위헌적’이라고까지 표현하며 강하게 반대한 이유는 법안이 개인정보 자기결정권을 침해할 소지가 있다고 봤기 때문입니다. 개인정보 자기결정권은 자신의 개인정보를 언제, 어떻게, 어떤 목적으로 수집·이용할지 스스로 결정할 권리를 말하는데요, 이번 개정안은 개인정보보호위원회의 심의만 거치면 처음 정보를 수집한 목적과 관계없이 AI 학습에 개인정보를 활용할 수 있도록 했어요. 다시 말해, 개인정보의 활용 여부를 정보주체가 직접 결정하는 것이 아니라 행정기관의 판단에 맡긴다는 겁니다.
이번 청원을 주도한 AI시민행동은 이걸 ‘AI 예외주의’라고 비판했습니다. 목적을 벗어난 개인정보 활용은 그동안 엄격하게 제한되어 왔는데, 오직 AI 기술 개발이라는 이유로만 예외를 허용하는 것이 과연 정당한 것인지 지적한건데요. 또한 개인정보 보호 원칙에 이러한 예외를 두는 순간, 앞으로 다른 분야에서도 비슷한 예외를 허용하는 위험한 선례를 남길 수 있다는 우려도 제기했어요.
데이터와 AI, 떼려야 뗄 수 없는 관계입니다. 예전에 다뤘던 공익데이터 이야기, 혹시 기억하시나요? AI가 학습할 데이터가 부족하면 그만큼 기술 발전에서 소외되는 사람들이 생긴다는 것이 그 글의 핵심이었습니다. 잘못 수집된 데이터나 미비한 데이터는 더 나아가 AI 편향으로까지 이어질 수 있고요.
다만 이 모든 이야기에는 하나의 중요한 전제가 있습니다. 바로 책임 있는 데이터 활용과 책임 있는 AI 활용이라는 전제입니다. 개인정보가 잘못 활용되거나 유출될 경우 가장 큰 피해를 입는 사람들은 사회적 약자와 취약계층인 경우가 많기 때문인데요, 이들의 민감한 데이터를 다루는 비영리 단체들이 반드시 주의에 주의를 거듭해야 하는 이유이기도 합니다.
그리고 이러한 개인정보의 잘못된 활용이 그저 단순한 우려에 그치지 않는다는 사실을 보여주는 사례가 공교롭게도 청원이 올라왔던 시기 해외에서 발생했어요.
[사진 출처: WFP]
가자 지구, 60만 가구의 정보가 새어 나가다.
지난 6월, 세계식량계획(WFP)이 해킹당했습니다. 유출된 건 가자 지구에서 식량 지원을 신청한 약 60만 가구의 이름, 신분증 번호, 전화번호, 위치 정보였는데요. 이미 전쟁과 강제 이주, 그리고 정교한 폭격과 AI 기반 표적 시스템을 경험한 사람들이 생존을 위해 국제구호단체에 맡긴 정보 때문에 또 다른 위험에 노출된 겁니다. (텔레그램에 게시된 WFP 성명서)
이 사건 이후 Tech Policy에는 이 문제를 정면으로 다룬 칼럼이 실렸어요. Danai Nhando가 쓴 “Uncovering the Humanitarian and Nonprofit Sector’s AI Governance Crisis” (2026.7.9)입니다.
칼럼은 WFP 해킹만을 이야기하지 않고, 인도적 지원 현장 전반의 AI 거버넌스 공백에 대해 이야기하며, 144개국 구호 활동가 2,500여명 중 93%가 이미 AI 도구를 업무에 쓰고 있는데, 소속 기관에 공식 AI 정책이 있다고 답한 사람은 22%뿐이었다는 인도주의 분야 AI 활용 현황 조사 결과를 인용합니다. 연구는 AI가 이미 도입되었지만, 그걸 관리할 체계는 거의 만들어지지 않은 이런 상태를 “인도주의 AI 역설(humanitarian AI paradox)”이라고 부릅니다.
데이터를 수집하고 활용하는 과정이 관리가 안된다는 점 외에도 또 다른 문제가 있는데요, 칼럼은 아무리 정보 활용에 동의를 받았다고 하더라도, 그게 진정한 의미의 동의가 아니라는 점을 지적해요. 전쟁이나 기근 같은 위급한 상황에서는 자신의 데이터가 어떻게 활용되는지 충분히 따져볼 여유가 없고, 필요한 지원을 받기 위해서는 개인정보를 제공할 수밖에 없다는 거에요. 더군다나 AI 활용 가이드나 정책이 따로 없는 조직인 경우, 구성원이 개인적으로 사용하는 AI 도구의 보안을 파악하기란 어려워요. WFP의 사례처럼 누군가 악의적으로 해킹하지 않더라도, 의도치 않은 실수로 나도 모르게 누군가의 중요한 개인정보를 유출시킬 수 있는거죠.
“나는 누구의 데이터를, 누구의 동의 없이, 누구의 관리 밖에서 AI에 쓰고 있는가?”
현장에서 활동하고 일하는 사람들이 반드시 스스로에게 해야 할 질문인 것 같습니다. 개인정보 보호법 개정안 반대 청원은 동의 수 미달로 종료되었지만, AI 시대 개인정보가 어떻게 활용될지에 대해 청원이 던진 문제의식도 앞으로 점점 더 중요해질 것이라 생각됩니다.
🖇️ 함께 읽어보면 좋은 자료
인도주의 분야의 AI 활용 현황 보고서 | HLA & DFS
🖍️참고문헌:
“개인정보 침해 우려…’AI 예외주의’ 반대 국민청원” – 뉴스토마토 (2026.06.22)
“동의 없는 개인정보 활용 법안과 반대 청원” – AI 윤리 레터 (2026.06.29)
“｢개인정보 보호법」 개정안 국회 정무위원회 통과 – 인공지능기술 개발을 위한 개인정보 처리의 특례 신설” – 법률신문 (2026.05.26)
“Data of 600,000 Gaza households exposed in WFP cyber-attack” – The New Humanitarian (2026.06.02)
“Uncovering the Humanitarian and Nonprofit Sector’s AI Governance Crisis.” – Tech Policy (2026.07.09)