⑤개인정보·감시사회 ‘AI 인프라’ 전락한 데이터
일러스트 | 김상민 기자 yellow@kyunghyang.com
‘자기결정권 보장’ 외치던 1990년대를 지나
2005년 헌재의 기본권 인정 이후
2026년 ‘AI 개발 목적’ 개인정보 원본 활용 허용
추출된 정보·다수 데이터 결합…다시 개인 분석
노동·정치·전쟁 영역서 이미 일방적 추론 적용
정보권 되찾고 ‘만들어진 나’에 대한 이의제기권까지 확장을
# 첫 번째 결정적 장면
“헌법 규정은 개인의 사생활 활동이 타인으로부터 침해되거나 사생활이 함부로 공개되지 아니할 소극적인 권리는 물론, 오늘날 고도로 정보화된 현대사회에서 자신에 대한 정보를 자율적으로 통제할 수 있는 적극적인 권리까지도 보장하려는 데에 그 취지가 있는 것으로 해석‘된다’(대법원 1998. 7. 24. 선고 96다42789 판결).”
이 판결은 우리나라 개인정보 보호 역사에서 첫 번째로 결정적인 장면이었다. 사생활을 공개당하지 않을 권리를 넘어 자신에 관한 정보를 통제할 권리까지 제도적으로 인정된 순간이기 때문이다. 그 배경에는 디지털화하는 세계와 정보기관의 감시가 있었다.
1990년 10월4일, 윤석양 이병은 양심선언을 해 국군보안사령부의 민간인 사찰을 폭로했다. 군 정보기관이 정치인·언론인 등 민간인 1300여명에 대한 사찰 자료를 컴퓨터로 작성·보관해온 사실이 드러났다. 국가는 ‘사찰카드’만 작성했을 뿐 사생활을 침해하지 않았다고 맞섰지만, 대법원은 국가기관이 직무범위를 벗어나 개인 활동과 사생활 정보를 비밀리에 수집·관리한 것 자체가 개인정보에 대한 기본권 침해라고 보았다.
“자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리”, 즉 개인정보 자기결정권은 컴퓨터의 등장으로 정보 역량이 커진 국가와 시민사회 간의 긴장 속에서 형성됐다. 기존의 사생활 보호만으로는 새로운 감시 기술로부터 시민을 보호하기 어렵다는 문제의식이 세계 각국에서 커졌다. 독일에서는 1983년 인구조사 결과를 주민등록자료와 결합하도록 한 인구조사법에 대해 연방헌법재판소가 위헌 결정을 내리면서 ‘정보자기결정권’을 선언했다. 개인정보를 처리하는 원칙, 목적·범위, 절차를 통제하는 국제 기준과 각국 법률도 발전했다.
한국 시민들은 민주주의를 향한 분투 속에서 국가 감시로부터 자유롭기를 열망했다. 1990년대 통합전자주민카드 사업을 둘러싼 논란도 정보기관에 대한 깊은 불신에서 유래했다. 주민등록정보뿐 아니라 운전면허·의료보험 등 국민의 정보들을 통합한다는 사업에 국가안전기획부가 관여했기 때문이다. 1999년에는 전 국민의 열 손가락 지문정보를 법적 근거 없이 경찰이 전산화해 상시 검색에 쓴다는 사실이 알려지며 헌법소원이 제기됐다. 2000년대에는 교육행정정보시스템(NEIS)이 학생 보건정보 등 민감한 정보를 중앙정부 전산망에 통합한다는 소식이 알려지면서 ‘정보인권’을 요구하는 목소리가 터져 나왔다.
결국 헌법재판소는 2005년 개인정보 자기결정권을 헌법이 보호하는 기본권으로 인정하면서 그 이유를 이렇게 밝혔다. “오늘날 현대사회는 개인의 인적 사항이나 생활상의 각종 정보가 정보주체의 의사와는 전혀 무관하게 타인의 수중에서 무한대로 집적되고 이용 또는 공개될 수 있는 새로운 정보환경에 처하게 되었‘다’(헌법재판소 2005. 5. 26. 선고 99헌마513).”
이후 여러 논란과 입법을 거쳐 2011년 지금과 같은 ‘개인정보보호법’이 제정·시행됐다. 공공기관이 필요하면 개인정보를 처리할 수 있었던 이전 법과 달리 공공·민간 모두에 대해 국제적 수준의 엄격한 원칙 준수를 요구했다. 대규모 유출 사고가 빈번한 시대이지만 이 법은 미약하나마 디지털 시대의 파수꾼 역할을 해왔다. 그러나 이제 우리는 헌법재판소 결정 후 20여 년 만에 정반대 방향에서 또 다른 결정적 장면을 맞닥뜨리고 있다.
# 두 번째 결정적 장면
“개인정보처리자는 인공지능기술 개발(성능 개선을 포함한다)을 위하여…(중략)…이 법 또는 다른 법령에 따라 적법하게 수집한 개인정보를 당초 수집한 목적 외로 이용할 수 있다.”
이 조문은 지난 9월8일 공포된 개정 개인정보보호법에 신설된 ‘인공지능기술 개발을 위한 개인정보 처리의 특례’ 일부이다. 이재명 정부는 인공지능(AI) 산업계를 지원하기 위해 “가명 처리하지 않은 개인정보를 AI 학습에 활용할 수 있는” 규정을 만들었다(대한민국 인공지능행동계획 2026~2028).
이 개정은 개인정보보호법의 원칙을 근본적으로 바꾼다. 지금까지는 동의받은 특정 목적으로 수집된 개인정보가 다른 목적으로 이용될 수 없었지만, 개정법은 정보주체 의사를 넘어 ‘인공지능기술 개발’이라는 목적으로 이를 허용한다. 개인정보 보호위원회의 심의·의결 절차를 뒀지만 산업계에 그다지 어려운 조건은 아닐 것이다. 세계적으로 선례도 없고 불복 절차도 없다.
인공지능이라는 특정 기술 개발을 이유로 기본 원칙을 허무는 예외주의가 확대된다. 올해 3월 개정된 ‘자율주행자동차 상용화 촉진 및 지원에 관한 법률’은 이미 “자율주행시스템의 성능 및 안전성을 향상시키기 위한 목적”으로 개인정보를 익명·가명 처리 없이 활용할 수 있도록 허용했다. 6월 발의된 ‘피지컬 인공지능 개발 촉진 및 지원에 관한 특별법안’ 역시 “피지컬 인공지능‘의’ 성능 및 안전성을 향상시키기 위한 목적”으로 개인정보 원본을 활용할 수 있도록 하고 국회 심사를 기다리고 있다.
인공지능의 핵심 개발방법인 머신러닝은 데이터에 기반한다. 산업계는 일찍이 데이터를 새로운 시대의 천연자원에 비유하며 추출의 필요성을 강조해왔다. 그러나 이 비유는 데이터에 때로 사람의 정체성과 삶의 순간이 담겨 있다는 사실을 간과한다. 오늘날 생성형 인공지능의 글과 그림이 유창한 것은 사람들이 생산한 글과 그림을 학습했기 때문이다.
이제 산업계는 새로운 데이터를 요구한다. 인터넷에 공개되지 않았던 개인정보·의료정보는 물론, 사람의 신체와 행동에서 실시간으로 만들어지는 데이터가 필요하다고 목소리를 높인다. 콜센터 상담사의 대화, 사무직 노동자의 업무 수행, 과거에는 쉽게 데이터화하기 어려웠던 숙련 노동자의 ‘암묵지’까지 데이터로 추출하려는 흐름이 빨라지고 있다.
우리의 개인정보는 개발 자원이 되고 우리 자신은 추출 대상이 돼간다. 이것은 단순히 ‘인공지능 시대’의 불가피한 변화가 아니다. ‘인공지능 산업의 필요를 따르는 시대’가 된 것이다.
# 권력과 추론
이렇게 추출된 개인정보는 수많은 사람의 데이터와 결합되어 다시 당신을 추론하는 데 쓰인다. 인공지능은 데이터에서 발견한 패턴을 바탕으로 우리에 대해 확률적으로 추론한다. 구글의 ‘내 광고센터’를 방문하면 유튜브가 당신의 연령, 혼인 여부, 주택 소유 여부와 같은 특성을 추론하여 ‘맞춤’ 또는 ‘표적’화된 영상과 광고를 표시하고 있었음을 알 수 있다. 직접 정보를 제공하지 않았어도 구글은 당신에 대해 추론할 수 있다. 인공지능 시대의 개인정보 문제는 우리가 제공한 정보뿐 아니라, 우리에 대해 무엇을 추론할 것인가의 문제로 번지고 있다.
광고 산업은 오래전부터 특정한 사람들이 어떤 상품을 구매할 가능성이 높은지 예측하고 집단으로 분류해왔다. 이제 알고리즘이 수행하는 확률적 추론은 쇼핑에서 일터로, 생활 모든 영역으로 확대되고 있다. 추론은 맞을 수도 있고 틀릴 수도 있지만, 그 결과는 당신을 분류하고 대우하는 근거가 된다. 그럼에도 우리는 자신에 대해 어떤 추론이 이뤄지는지조차 알기 어렵다.
어떤 AI 채용도구는 지원자가 입력하는 정보, 언어와 표정 등을 분석해 ‘야망 있는’ ‘논리가 부족한’ 사람이라고 추론한다. 아마존이 소유한 미국 홀푸드 마켓은 매장 직원의 이직률과 인종적 구성, 인근 노동조합과의 거리와 가입률 등 여러 변수를 분석해 500여개 매장의 ‘노조 조직화 위험도’를 평가했다. 특정 노동자가 실제 노조원인지를 확인한 것이 아니라 해당 매장에서 앞으로 노동조합이 조직될 가능성을 예측한 것이다.
이런 방식의 추론은 대상이 되는 사람에게 권력을 행사한다. 인공지능 알고리즘이 추론한 내용이 개인의 정체성과 삶에 중대한 영향을 미치는데도 당사자가 이를 알고 반박하기 어렵다. 그 확률이 99% 정확하면 권리 침해가 아닌 것일까? 우리에겐 자신에 대한 일방적 추론을 알고 거부할 권리가 없을까?
추론 권력은 정치와 전쟁에도 미치고 있다. 2016년 도널드 트럼프 대통령 당선을 지원했던 케임브리지 애널리티카는 페이스북에서 ‘신경이 예민한 유권자’ 집단을 추론해 이들에게 위협 상황을 묘사하는 광고를 내보냈다. 유권자는 자신이 그런 사람으로 표적화됐는지 모르는 채 총기를 사용할 수 있게 하는 후보를 떠올렸을 수 있다. 팔레스타인 집단학살에 동원됐던 이스라엘의 AI 무기 라벤더는 전투원으로 ‘추론’된 팔레스타인 사람들을 말 그대로 ‘표적’으로 분류했다. 전투원과 민간인을 엄격히 구분했던 국제인도법의 원칙이 확률 계산으로 대체되고 있는 것이다.
알고리즘 추론을 이용하는 국가와 기업의 책임을 묻는 구조는 현재 매우 모호하다. 그래서 추론으로부터 개인을 보호할 것을 요구하는 목소리가 커지고 있다. 개인정보보호법은 2023년 개정을 통해 완전히 ‘자동화된 결정’에 대해 정보주체가 ‘거부’할 수 있는 권리를 신설했다(제37조의2). 그러나 이 거부권은 정보주체가 동의했거나 근로계약 등을 체결한 관계에서는 인정되지 않는다. 집단을 대상으로 일방적으로 적용되는 추론에 대해 어느 개인이 진정한 동의권을 행사할 수 있을까.
지금 개인정보는 권리라기보다 인공지능을 개발하고 구동하기 위한 인프라가 돼버렸다. 케이트 크로퍼드가 저서 <AI 지도책>에서 지적했듯, 사람에게서 나온 데이터가 인공지능 인프라로 취급되는 순간 그것이 살아 있는 개인에게서 나온 정보라는 맥락과 이를 추출하고 분류하는 권력관계가 지워진다.
따라서 개인정보에 대한 권리를 권리 영역으로 다시 재구성할 필요가 있다. 나의 정보를 통제할 권리를 넘어, 데이터로부터 추론된 ‘만들어진 나’에 대해 알고 이의를 제기할 권리까지 확장돼야 한다. 그런데 동의를 비롯해 정보주체의 기존 권리마저 해체되는 마당에, 추론에 대한 새로운 권리를 보장받을 수 있을까?
회사가 당신의 위험성을 추론하고, 경찰이 미래 행동을 예측할 때, 이들은 과거의 정보기관과 크게 다르지 않다. 우리가 실제로 한 일이 아니라 할 것으로 예측되는 행동과 위험에 대해 해명해야 하는 시대가 돌아왔다. 개인정보에 대한 권리가 먼 길을 돌아 다시 거대한 정보 권력 앞에 서게 된 셈이다.
▶장여경
1996년부터 정보인권운동 분야에서 활동해왔으며, 진보네트워크센터 창립 때부터 상근하면서 한국 사회에 정보인권의 개념을 소개하고 정책에 반영하기 위해 노력해왔다. 2018년부터 정보인권연구소 상임이사로 활동하면서 개인정보보호위원회 비상임위원을 역임하였고 현재는 국가인권위원회 정보인권전문위원회 위원이다.
댓글
0