고객 데이터로 AI를 쓸 때, 제재는 어디서 났을까?

결론부터 말하면, 제재는 「AI를 썼다는 사실」이 아니라 「고객 데이터를 다루는 구조」에서 났습니다. 2021년 이루다 사건부터 2025년 카카오페이·애플 합계 83억 7,520만원 제재, 2026년 빗썸 시정명령까지, 개인정보보호위원회(개인정보위) 처분의 공통분모는 국외이전·목적 외 이용·공개와 고지 미흡입니다. 이 글에서는 공개된 제재 사례를 공식 발표 기준으로 정리하고, AI로 고객응대를 자동화하려는 소상공인이 얻을 실무 교훈 3가지를 뽑습니다.

이루다 사건은 왜 아직도 기준점인가요?

「이미 갖고 있는 고객 데이터라도 마음대로 AI 학습에 쓸 수 없다」는 원칙을 처음으로 분명히 한 사건이기 때문입니다. 개인정보위는 2021년 AI 챗봇 「이루다」의 개발사 스캐터랩을 제재했습니다. 쟁점은 기술이 아니었습니다. 다른 서비스에서 특정 목적으로 수집한 이용자 대화 데이터를, 적법한 근거 없이 별개의 AI 서비스 개발에 사용한 것이 문제였습니다(개인정보보호위원회, 2021).

소상공인에게 옮기면 이런 뜻입니다. 문의 응대·예약 접수 과정에서 쌓인 고객 상담 기록은 「이미 갖고 있으니까」 자유롭게 쓸 수 있는 학습 코퍼스가 아닙니다. 수집한 목적(문의 응대)과 다른 목적(AI 모델 학습·개선·별도 분석)에 쓰려면 별도의 법적 근거가 필요합니다. 개인정보보호법 제18조의 목적 외 이용 제한이 그 근거 조항입니다.

이루다 사건은 2024~2026년의 AI 가이드들이 나오기 전 사건이지만, 이 직관은 지금도 그대로 유효합니다. 이후의 대형 제재들도 결국 같은 질문에서 출발합니다. 「그 데이터, 그 목적으로 써도 된다고 어디서 허락받았습니까?」

최근에는 어떤 제재가 있었나요?

2025~2026년 사이 국외이전 관련 제재가 연이어 나왔습니다. 공식 발표 기준으로 세 건을 정리하면 아래와 같습니다.

표 — 개인정보위 주요 제재 사례(공식 발표 기준)

첫째, 개인정보위는 2025년 카카오페이·애플에 국외이전 관련 위법 처리를 이유로 합계 83억 7,520만원의 제재를 부과했습니다(개인정보보호위원회, 2025). 둘째, 같은 2025년 테무는 국외이전과 주민등록번호 처리, 위탁 사항 공개 미흡 등을 이유로 과징금 13억 6,900만원과 추가 처분을 받았습니다(개인정보보호위원회, 2025). 셋째, 2026년 빗썸은 국외이전 위반으로 과징금 2억 1,000만원과 함께 시정명령을 받았습니다(개인정보보호위원회, 2026).

세 건 모두 개인정보위가 공식 발표한 처분 사실이며, 여기서의 관심은 특정 기업이 아니라 「무엇이 위반으로 판단됐는가」입니다. 대형 사업자도 걸린 지점이라면, 같은 구조를 그대로 들여온 작은 사업자에게도 똑같이 적용되는 기준이기 때문입니다.

제재 사례의 공통 패턴은 무엇인가요?

네 가지가 반복됩니다. 국외이전, 목적 외 이용, 공개·고지 미흡, 그리고 책임 회피입니다.

첫째, 국외이전입니다. 2025~2026년 제재 세 건의 공통 축이 모두 국외이전 적법성이었습니다. 고객 데이터가 해외 서버나 해외 사업자에게 넘어가는 구조라면, 그 이전 자체의 적법한 근거와 보호조치가 갖춰져 있어야 합니다.

둘째, 목적 외 이용입니다. 이루다 사건의 핵심으로, 한 목적으로 모은 데이터를 다른 목적(특히 AI 학습)에 쓰는 순간 별도의 근거가 필요해집니다.

셋째, 공개·고지 미흡입니다. 테무 건에서는 위탁 사항 공개 미흡이 함께 지적됐습니다. 무엇을 처리하고 누구에게 맡기는지 개인정보 처리방침으로 공개하는 것 자체가 법정 의무입니다.

넷째, 책임 회피입니다. 「벤더가 글로벌 기업이니 벤더가 알아서 하겠지」라는 논리는 통하지 않습니다. 개정 개인정보보호법의 국외이전 규정(제28조의8·9)과 시행령은 이전 구조를 선택한 국내 사업자에게 보호조치와 적법성 확인 책임을 지웁니다. 도구를 고른 쪽이 구조에 대한 책임도 집니다.

「우리는 작으니까 조사 대상이 아니다」는 말이 맞나요?

아니요, 기준은 사업 규모가 아니라 처리 유형입니다. 개인정보위의 2026년 조사 계획은 AI 자동화된 결정 솔루션, 프로파일링, 대규모 데이터 결합, 생체정보 서비스, 과다수집, 그리고 국외이전의 적법성을 중점 분야로 지목했습니다(개인정보보호위원회, 2026). 이 목록 어디에도 「일정 규모 이상 기업만」이라는 단서는 없습니다. AI로 고객 데이터를 다루는 사업자라면 규모와 무관하게 같은 질문을 받게 됩니다.

시장 상황을 보면 이 방향이 더 분명해집니다. 중소기업중앙회 서울지역본부의 2025년 서울시 소상공인 AI 실태조사에서 「이미 AI를 사용 중」이라는 응답은 9.7%에 그쳤고, 67.3%는 사용 경험도 계획도 없다고 답했습니다(중소기업중앙회 서울지역본부, 2025). 같은 조사에서 가장 필요한 정책으로 54.7%가 자금 지원을 꼽았습니다(중소기업중앙회 서울지역본부, 2025). 정부도 이에 맞춰 2026년 소상공인 지원 예산 5조 4,000억원을 AI·디지털 전환 중심으로 편성했습니다(중소벤처기업부, 2026).

즉 도입은 이제 시작 단계이고, 정부 예산이 도입을 밀어 올리는 국면입니다. 앞으로 AI를 쓰는 소상공인이 늘어날수록, 위의 제재 기준 아래로 들어오는 사업자도 함께 늘어납니다. 준비 상태도 아직 이릅니다. KISDI가 2026년 발간물에서 인용한 2023년 중소기업 정보화 수준조사(4,300개사)에 따르면 절반인 50%가 데이터를 아예 수집하지 않는다고 답했습니다(KISDI, 2026). 도입 실태의 전체 그림은 한국 중소기업 AI 도입의 현실에서 따로 정리했습니다.

소상공인이 지금 챙길 실무 교훈 3가지는?

제재 패턴을 뒤집으면 그대로 체크리스트가 됩니다. 세 가지만 챙겨도 위 사례들의 핵심 쟁점은 대부분 커버됩니다.

첫째, 위탁·국외이전 구조를 먼저 확인합니다. 외부 AI 도구로 고객 데이터를 처리하면 보통 개인정보보호법 제26조의 위탁에 해당합니다. 목적 외 이용 금지와 보호조치를 담은 위탁계약을 서면으로 갖추고, 데이터가 국내에 저장되는지 국외로 나가는지를 도입 전에 물어봐야 합니다. 국외이전이 있다면 법정 사항의 공개까지가 사업자 몫입니다. 참고로 정부 지원으로 도입하는 경우에도 이 확인은 생략되지 않습니다. 2026년 AI바우처 사업은 등록된 공급기업 풀 1,428개사와의 컨소시엄 구조로 운영됐는데(정보통신산업진흥원, 2026), 공급기업이 정해져 있다는 것과 데이터 처리 구조가 적법하다는 것은 별개의 문제입니다.

둘째, 상담 데이터의 학습 사용 여부를 계약에 명시합니다. 이루다 사건의 교훈이 바로 이 지점입니다. 벤더가 우리 가게의 고객 상담 기록을 자사 모델 개선·학습에 쓰는지, 쓴다면 어떤 근거로 쓰는지를 계약서와 처리방침에서 명시적으로 확인해야 합니다. 「약관 어딘가에 묻혀 있는」 상태로 두면, 목적 외 이용의 책임 문제가 벤더가 아니라 데이터를 맡긴 사업자에게 돌아올 수 있습니다.

셋째, 개인정보 처리방침을 실제 구조에 맞게 공개합니다. 처리 항목, 위탁 여부와 수탁사, 국외이전 관련 법정 사항, 그리고 자동화된 결정이 있다면 그 기준과 절차까지가 공개 대상입니다. 테무 건에서 위탁 공개 미흡이 별도 쟁점이 됐다는 사실은, 공개 의무가 「부수적인 서류 작업」이 아니라 독립된 제재 사유임을 보여줍니다.

참고로 Omago(오마고)는 중소기업의 고객 상담을 자동화하는 AI 에이전트 플랫폼입니다. 어떤 도구를 쓰든 위 세 가지 확인은 도구가 아니라 사업자 본인의 몫입니다. 항목별 실무 절차는 AI 고객응대 개인정보보호법 체크리스트에서 단계별로 정리했습니다.

참고할 공식 가이드는 어떤 흐름으로 나왔나요?

개인정보위 가이드는 「개발자용」에서 「이용 사업자·소비자용」으로 내려오는 흐름입니다. 2024년 공개된 개인정보의 AI 개발·서비스 활용 가이드가 먼저 나왔고, 2025년에는 생성형 AI를 개발·활용하는 사업자를 위한 개인정보 처리 가이드가 이어졌습니다. 2026년에는 생성형 AI 서비스 소비자 가이드와 비정형 데이터·챗봇 시나리오를 다루는 가명처리 가이드 개정판까지 나왔습니다(개인정보보호위원회, 2024~2026).

이 흐름이 소상공인에게 의미하는 바는 분명합니다. 초기에는 「AI를 만드는 회사」의 문제였던 개인정보 규율이, 이제는 「AI를 가져다 쓰는 사업자」와 「AI 서비스를 쓰는 소비자」 단위까지 구체화되고 있다는 것입니다. 법 조문을 직접 읽지 않아도, 자기 위치에 맞는 가이드 문서가 이미 나와 있는 단계입니다.

자주 묻는 질문

고객 상담 기록으로 AI를 학습시켜도 되나요?

원래 수집 목적을 넘어서면 별도의 법적 근거가 필요합니다. 문의 응대 목적으로 모은 상담 기록을 모델 학습·개선에 쓰는 것은 개인정보보호법 제18조의 목적 외 이용 문제로 검토해야 하며, 이루다 사건(개인정보위, 2021)이 바로 이 지점에서 난 제재입니다. 벤더가 학습에 쓰는 경우도 마찬가지로 계약과 근거를 확인해야 합니다.

해외 서버를 쓰는 AI 도구는 무조건 위법인가요?

아니요, 국외이전 자체가 금지는 아닙니다. 2023년 개정법은 동의 외에도 적법한 이전 경로를 인정합니다. 제재 사례들에서 문제가 된 것은 국외이전을 했다는 사실이 아니라, 적법한 근거와 보호조치·공개 없이 했다는 점입니다. 이전 구조와 법정 공개 사항을 갖추면 해외 인프라 기반 도구도 쓸 수 있습니다.

개인정보가 유출되면 언제까지 알려야 하나요?

지체 없이 알려야 하며, 시행령은 통지 시점을 72시간 틀로 정하고 있습니다(개인정보보호법 제34조·시행령). 소상공인이라도 유출 인지 시 누가 무엇을 하는지 담당자와 절차를 미리 정해 두는 편이 안전합니다.

병원·의원처럼 건강정보를 다루는 업종은 더 조심할 게 있나요?

네, 건강정보는 민감정보라 일반 고객 데이터보다 처리 요건이 무겁고, 개인정보위 2026년 조사 계획도 생체정보 서비스를 중점 분야로 지목했습니다. 의료 업종은 개인정보 규율에 더해 의료광고 규제도 함께 봐야 하는데, 이 부분은 병원·의원의 AI 활용과 의료광고 규제에서 다뤘습니다.

본 글은 일반적인 정보 제공을 위한 것으로 법률 자문이 아닙니다. 구체적인 사안은 개인정보보호 전문 변호사 또는 개인정보보호위원회의 공식 안내를 확인하시기 바랍니다.

출처: 개인정보보호위원회 의결·보도자료(2021·2025·2026), 중소기업중앙회 서울지역본부(2025), KISDI(2026), 중소벤처기업부(2026), 정보통신산업진흥원(2026)