가명정보와 AI 학습 데이터 차이, 소규모 사업자가 먼저 확인할 것

• 가명정보는 추가 정보 없이는 특정인을 알아보기 어렵게 처리한 개인정보이고, AI 학습 데이터는 학습에 쓰이는 데이터 전체를 뜻합니다.
• 가명처리했다고 해서 바로 자유롭게 사용할 수 있는 것은 아니며, 통계·과학적 연구·공익적 기록보존 등 처리 목적과 안전조치를 함께 확인해야 합니다.
• 소규모 사업자는 데이터 출처와 목적을 정한 뒤 위험성 검토, 가명처리, 적정성 검토, 접근권한 관리와 기록 보관 순서로 점검하면 됩니다.

가명정보와 AI 학습 데이터는 같은 말이 아닙니다

AI 서비스를 준비하다 보면 고객 문의 내용이나 구매 기록, 상담 녹취를 학습 데이터로 써도 되는지부터 고민하게 되는데요. 이때 ‘가명정보로 바꾸면 괜찮다’고 단순하게 생각하기 쉽습니다.

하지만 가명정보와 AI 학습 데이터는 서로 다른 기준의 용어입니다. 가명정보는 개인정보를 처리한 결과에 관한 법적 개념이고, AI 학습 데이터는 인공지능 모델을 학습시키는 데 사용하는 데이터의 용도에 가까워요.

예를 들어 이름을 임의의 번호로 바꾸고 연락처를 삭제한 고객 구매 기록은 가명정보가 될 수 있습니다. 반면 AI 학습 데이터에는 가명정보뿐 아니라 공개 라이선스 데이터, 저작권이 정리된 콘텐츠, 합성데이터, 익명정보, 기업 내부 비개인정보도 들어갈 수 있죠.

결국 먼저 물어봐야 할 질문은 ‘AI 학습 데이터인가?’가 아니라 ‘이 데이터에 개인을 알아볼 수 있는 정보가 남아 있는가?’, ‘어떤 목적으로 처리하려는가?’입니다.

가명정보란 무엇이고 왜 여전히 조심해야 할까요?

개인정보 보호법상 가명정보는 원래 상태로 복원하기 위한 추가 정보의 사용이나 결합 없이는 특정 개인을 알아보기 어렵게 처리한 정보입니다. 이름을 삭제하는 것만으로 충분한 게 아니라, 다른 항목을 조합했을 때 개인이 다시 드러나는지도 함께 봐야 해요.

가명정보는 익명정보와도 다릅니다. 익명정보는 합리적인 수단을 사용해도 개인을 알아볼 수 없는 정보라면, 가명정보는 추가 정보나 다른 데이터와 결합할 경우 재식별 위험이 남아 있습니다. 그래서 가명정보는 개인정보 보호 규율의 대상에서 완전히 벗어나는 데이터가 아니에요.

특히 소규모 사업자가 자주 놓치는 부분이 있습니다. 고객번호를 바꿨더라도 구매일시, 지역, 희귀한 상품, 상담 내용이 함께 남아 있으면 특정 고객을 추정할 가능성이 커질 수 있습니다. 데이터가 적을수록 오히려 한 사람의 특징이 눈에 잘 띄는 경우도 있고요.

AI 학습 데이터에 개인정보가 들어갈 수 있는 경우

AI 학습 데이터는 그 자체로 개인정보라는 뜻은 아닙니다. 다만 데이터를 모으고 정제하는 과정에서 개인정보가 섞이는 일이 흔합니다.

• 고객 문의 게시판과 상담 채팅에 이름, 전화번호, 주소가 포함된 경우
• 상품 리뷰에 주문번호나 배송지 일부가 남아 있는 경우
• 사진이나 영상에 얼굴, 차량번호, 출입증이 찍힌 경우
• 음성 데이터에 이름이나 건강 상태 같은 민감한 내용이 포함된 경우
• 로그 데이터에 계정 ID, IP 주소, 위치정보가 저장된 경우

이런 데이터를 모델 학습에 사용하려면 단순히 ‘내부 개발용’이라고 정하는 것만으로는 부족합니다. 수집 당시 고지한 목적과 실제 학습 목적이 맞는지, 가명처리만으로 위험을 충분히 낮출 수 있는지, 외부 AI 솔루션에 전송하는지까지 따로 확인해야 하죠.

가명정보 처리와 AI 학습 데이터의 핵심 차이

따라서 ‘가명정보니까 AI 학습에 써도 된다’거나 ‘AI 학습 데이터니까 개인정보와 무관하다’는 식의 판단은 모두 위험합니다. 가명정보를 AI 학습에 활용할 수 있는지는 처리 목적과 위험도, 데이터의 성격, 보유·제공 방식에 따라 달라져요.

개인정보보호위원회 가이드라인의 기본 처리 순서

개인정보보호위원회가 2026년 3월 개정한 가명정보 처리 가이드라인은 위험도에 따라 검토 절차와 서류를 다르게 적용하는 방향을 제시하고 있습니다. 특히 누가, 어디서, 어떤 환경에서 데이터를 활용하는지가 위험도 판단에 중요하게 반영됩니다.

1. 목적과 데이터 범위부터 정하기

먼저 ‘AI를 개발한다’처럼 넓게 적기보다 어떤 기능을 만들고 어떤 결과를 얻으려는지 구체화해야 합니다. 예를 들어 고객 문의 자동분류 모델 개발, 상품 추천 정확도 분석처럼 목적을 좁혀 적는 방식이 좋습니다.

이때 학습에 꼭 필요한 항목만 남겨야 합니다. 이름과 연락처가 필요하지 않다면 처음부터 제외하고, 자유기재 문장에 개인정보가 들어올 가능성도 따로 표시해 두는 편이 안전합니다.

2. 위험성을 검토하기

데이터를 누가 사용하는지, 어디에 저장하는지, 외부 업체가 접근하는지, 다른 데이터와 결합되는지를 살펴봅니다. 내부 직원 몇 명만 접근하는지, 외부 클라우드나 AI API로 전송하는지에 따라 위험도가 달라질 수 있어요.

특정 개인을 다시 알아볼 가능성이 높거나 민감정보가 포함된 경우에는 단순한 이름 삭제만으로 끝내기 어렵습니다. 데이터 항목을 줄이거나 범주화하고, 필요하면 별도의 전문가 검토를 받는 편이 낫습니다.

3. 가명처리하고 적정성을 확인하기

직접 식별자는 삭제·대체하고, 생년월일이나 주소처럼 조합으로 개인을 알아볼 수 있는 항목은 범위화하거나 일부만 남기는 방법을 검토합니다. 처리 전후 데이터를 비교하면서 재식별 가능성이 줄었는지도 확인해야 하고요.

그다음에는 가명처리가 목적에 맞게 됐는지, 남은 위험이 관리 가능한 수준인지 적정성 검토를 진행합니다. 2026년 개정 가이드라인은 위험도에 따라 검토 방식과 서류 부담을 차등화하고, AI의 반복학습과 확장 활용을 고려한 기준도 담고 있습니다.

4. 안전하게 보관하고 기록 남기기

가명정보와 원래 상태로 복원할 수 있는 추가 정보는 분리해 관리해야 합니다. 접근권한을 최소화하고, 누가 언제 어떤 데이터를 조회했는지 로그를 남기며, 외부 업체에 제공할 때는 제공 범위와 목적을 계약서에 명확히 적어두는 게 좋습니다.

개인정보 보호법은 가명정보를 처리할 때 목적과 제공받는 자, 처리 기간 같은 사항을 기록하도록 하고 있습니다. 가명정보를 파기했다면 파기한 날부터 3년 이상 관련 기록을 보관해야 하는 점도 기억해 두세요.

소규모 사업자가 실제로 확인할 체크리스트

1. 데이터 출처를 적습니다. 직접 수집한 고객 데이터인지, 제휴사에서 받은 데이터인지, 공개 데이터인지 구분하세요.
2. AI 사용 목적을 한 문장으로 정합니다. 모델 학습, 성능 검증, 통계 분석, 서비스 운영 중 무엇인지 나눠야 합니다.
3. 개인정보 항목을 찾습니다. 이름뿐 아니라 얼굴, 음성, 계정 ID, 위치, 자유기재 문장도 살펴봐야 합니다.
4. 불필요한 항목을 먼저 삭제합니다. 가명처리보다 더 좋은 방법은 애초에 필요 없는 정보를 수집·보관하지 않는 것이니까요.
5. 재식별 가능성을 확인합니다. 다른 내부 자료나 공개 자료와 결합했을 때 한 사람을 추정할 수 있는지 봅니다.
6. 외부 전송 여부를 확인합니다. AI API나 클라우드 분석 서비스에 원자료가 넘어가는지, 저장 국가와 보관 기간은 어떤지 점검하세요.
7. 검토 결과와 파기 기록을 남깁니다. 작은 사업장이라도 목적, 담당자, 처리일, 검토 내용 정도는 문서로 보관하는 편이 좋습니다.

개인이라면 무엇을 확인하면 될까요?

개인이 직접 AI 서비스를 이용하면서 입력하는 정보도 주의가 필요합니다. 고객 명단, 주민등록번호, 진료기록, 계약서 원문처럼 다른 사람의 개인정보가 들어간 자료는 가명처리 여부와 상관없이 먼저 입력 필요성을 따져봐야 해요.

특히 무료 AI 서비스나 외부 분석 도구에 파일을 올릴 때는 입력 데이터가 모델 개선에 사용되는지, 보관 기간은 얼마인지, 삭제 요청이 가능한지 확인하는 것이 좋습니다. 회사 업무라면 개인 계정으로 처리하지 말고, 사업자가 정한 승인된 서비스와 계정을 사용하는 게 안전하겠죠.

이런 경우에는 가명처리만으로 부족할 수 있습니다

민감정보가 많거나, 얼굴·음성처럼 개인의 특징이 강하게 드러나는 데이터라면 가명처리만으로 위험을 충분히 낮추기 어려울 수 있습니다. 또 AI 모델이 학습 데이터를 그대로 재현하거나 특정 문장을 출력할 가능성도 별도로 점검해야 합니다.

서로 다른 사업자의 데이터를 결합하려는 경우에는 더 복잡해집니다. 통계작성, 과학적 연구, 공익적 기록보존을 위한 가명정보 결합은 지정된 결합전문기관을 통해 진행해야 하며, 결합 결과를 외부로 반출할 때도 별도 심사와 승인이 필요합니다.

결론적으로 가명정보는 ‘개인정보 보호 의무가 사라진 데이터’가 아니라 위험을 낮춰 활용할 수 있도록 만든 데이터입니다. AI 학습에 쓸 수 있는지는 가명처리 여부 하나가 아니라 목적, 데이터 항목, 재식별 위험, 보관 환경을 함께 봐야 판단할 수 있어요.

관련 사이트

• 가명정보 처리 가이드라인 – 개인정보보호위원회가 공개한 2026년 3월 개정 가이드라인과 현재 안내서 목록을 확인할 수 있습니다.
• 가명처리·가명정보 결합제도 – 가명정보의 개념, 처리 목적, 기본 절차와 결합 절차를 확인할 수 있습니다.
• 개인정보 보호법 제28조의2부터 제28조의5 – 가명정보 처리, 결합 제한, 안전조치와 재식별 금지에 관한 현행 법 조문을 확인할 수 있습니다.
• 가명정보 처리 가이드라인 개정 안내 – 2026년 개정 가이드라인의 위험도 기반 판단, 절차 간소화와 AI 활용 기준 변경 내용을 확인할 수 있습니다.
• 가명정보 처리 가이드라인(2026.3.) – 본문에 안내된 공식 페이지입니다.

자주 묻는 질문

Q. 가명정보를 만들면 정보주체 동의는 항상 필요 없나요?

A. 항상 그런 것은 아닙니다. 개인정보 보호법상 가명정보 특례는 통계작성, 과학적 연구, 공익적 기록보존 등 법에서 정한 목적을 전제로 합니다. 수집 당시 고지한 내용, 처리 목적과 데이터 제공 방식도 함께 검토해야 합니다.

Q. 고객번호만 바꾸면 가명정보로 볼 수 있나요?

A. 고객번호를 바꾸는 것만으로는 부족할 수 있습니다. 구매일시, 지역, 희귀한 상품, 상담 내용처럼 다른 항목을 결합해 개인을 추정할 수 있다면 추가적인 삭제·범주화·검토가 필요합니다.

Q. AI 학습이 끝난 뒤 원본 데이터를 바로 삭제해도 되나요?

A. 보관 필요성이 사라졌다면 파기를 검토할 수 있지만, 사업자의 보존 의무나 계약상 의무, 분쟁 대응 필요성을 먼저 확인해야 합니다. 파기했다면 파기 일시와 범위 등 관련 기록을 남기는 것이 좋습니다.

Q. 외부 AI API에 가명정보를 보내도 괜찮을까요?

A. 가명정보라고 해서 외부 전송이 자동으로 허용되는 것은 아닙니다. 제공 목적, 수탁·제공 관계, 접근권한, 저장 위치, 재학습 사용 여부와 계약 조건을 확인해야 하며, 가능하면 필요한 최소 데이터만 보내야 합니다.

Q. 두 회사의 가명정보를 합쳐 분석하려면 어떻게 해야 하나요?

A. 서로 다른 개인정보처리자의 가명정보를 결합하는 경우에는 법에서 정한 목적과 절차를 확인해야 합니다. 일반적으로 지정된 결합전문기관을 통한 결합과 반출 심사가 필요하므로 내부에서 파일을 단순히 합치는 방식으로 처리하면 안 됩니다.

가명정보와 AI 학습 데이터는 비슷해 보이지만 출발점이 다릅니다. 하나는 개인정보를 안전하게 바꾼 상태를 말하고, 다른 하나는 AI가 배우는 데 쓰이는 데이터 전체를 뜻하죠. 소규모 사업자라면 ‘가명처리했으니 사용 가능’이라고 결론 내리기보다 데이터 출처와 사용 목적부터 적어보세요. 그다음 필요한 항목만 남기고 위험성과 외부 전송 여부를 확인하면 실무에서 놓치기 쉬운 문제를 꽤 많이 줄일 수 있습니다.