[청계광장]인공지능 시대의 데이터 주권

최경진 가천대 법대 교수

세계가 인공지능(AI) 혁신 경쟁에 열을 올리는 사이 데이터 주권을 지키기 위한 보이지 않는 전쟁도 격화하고 있다. 인공지능 경쟁력은 데이터의 양과 질에 좌우되는 만큼 자국 데이터를 인공지능 개발뿐만 아니라 개발된 인공지능모델을 자국의 수요나 특정 영역의 서비스에 적용하기 위해 파인튜닝하는 데도 우선 활용하거나 타국의 인공지능에 활용되는 데 대해 적절히 통제할 수 있어야 한다는 목소리에 직면했다.

미래 국가 경쟁력의 핵심이 될 인공지능은 경제·사회·문화 등 우리 삶의 모든 영역에 지대한 영향을 미치고 기본적 인프라가 될 것으로 예상되는 만큼 영국, 프랑스, 인도, 싱가포르, 브라질 등 세계 각국은 인공지능을 기반으로 전 분야의 혁신을 촉진해 미래 경쟁력을 확보하는 과정에서 타국의 인공지능모델에 종속되지 않게 하려고 자국의 자체 하드웨어·소프트웨어 인프라, 데이터, 인력 및 경제생태계를 활용해 인공지능을 구축하는 역량을 갖추는 '소버린 AI'(Sovereign AI) 전략을 추구한다.

우리나라가 선진국의 인공지능을 활용하는 역량을 키움과 동시에 한국어 기반의 자체적인 LLM(거대언어모델)을 개발하려는 정책을 추진하는 것도 같은 맥락이다. 소버린 AI의 핵심요소 중 하나가 데이터인 만큼 데이터의 생성, 활용, 유통 등 데이터 전 생애주기(lifecycle)에서 우리 개인이든 기업이든 남의 간섭 없이 스스로 결정할 권능을 바탕으로 소버린 AI가 실현될 수 있도록 데이터 주권이 보장돼야 한다. 특히 개인정보를 둘러싼 데이터 주권은 더욱 중요하게 다뤄져야 한다.

전 세계 데이터보호법제 발전에 지대한 영향을 미친 유럽연합(EU) 일반정보보호규정(GDPR)도 EU의 개인정보를 미국 정보당국이 처리하는 데 대한 비판적 시각에서 제정됐다. 최근 일본 정부가 라인에 대한 네이버 측의 지분정리를 행정지도한 것도 과거 라인 시스템 관리를 위탁받은 중국에서 일본 개인정보에 접근 가능했다는 우려가 밑바탕에 깔린 데이터 주권의 확보 차원으로 이해된다. 우리나라에서도 테무와 같은 초대형 글로벌 e커머스 플랫폼이 국내 이용자의 개인정보를 수집·이용하는 과정에서 개인정보보호법을 적절히 준수하는지와 해당 플랫폼에서 처리하는 국민의 개인정보에 특정 국가의 정부기관이 접근할 수 있는 것은 아닌가 하는 의문이 제기되면서 데이터 주권 보장을 위한 우리의 대응도 관심을 모은다.

개인정보보호법에 따르면 우리 국민에게 인공지능이나 e커머스 서비스를 제공하면서 직접 개인정보를 수집·이용하는 이상 국내 기업과 마찬가지로 우리 법을 준수해야 한다. 동의사항을 구분해 정보주체가 명확히 인지할 수 있도록 알리고 동의를 받는 등 수집·이용이나 제3자 제공 등 처리단계에 맞는 합법적 처리근거를 갖춰야 한다. 또한 개인정보 처리목적을 명확히 해야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집해야 하며 개인정보 처리목적에 필요한 범위에서 적합하게 개인정보를 처리하고 그 목적 외 용도로 활용해서는 안 된다. 지난해 개정으로 개인정보의 국가간 이동을 합리적으로 허용하면서도 효과적으로 규율하기 위한 합법적 국외 이전 근거를 규정하고 각종 의무와 과징금 등 실효성 확보수단도 갖췄다.

국민의 개인정보가 외국 기업에 의해 합법적으로 처리되지 못한다면 그에 대한 엄정한 법 집행에 나서야 하고 나아가 제3국 기업으로의 이전이 제한 없이 이뤄지거나 외국 정보기관에 의한 부적절한 접근이 이뤄진다면 데이터 주권을 보장하기 위한 집행력을 실효성 있게 만들기 위한 모든 외교적·정책적 역량을 강구해야 한다. 다만 데이터 주권이 데이터 쇄국으로 잘못 흐르는 것은 철저히 경계해야 한다. 인공지능 시대에 맞게 우리 국민이나 기업의 데이터 주권과 양립 가능한 자유로운 글로벌 데이터 유통환경을 마련해나가야 한다.(최경진 가천대 법대 교수)