① AI 판사가 내 인생을 결정하는 시대, 자동화결정 거부권이란?

개인정보 자동화결정 거부권은 사람의 개입 없이 오직 알고리즘과 AI만으로 이루어지는 결정에 대해 정보주체(= 나)가 거부하거나 설명을 요구할 수 있는 법적 권리입니다. 2024년 3월 15일부터 개정 개인정보 보호법 제37조의2가 시행되면서 한국에도 EU GDPR의 ‘자동화된 의사결정 반대권(Article 22)’에 준하는 권리가 정식으로 도입되었습니다.

이 권리가 왜 중요한지를 한 가지 사례로 설명하겠습니다. 직장인 A씨는 인터넷 전문은행 앱에서 대출 심사를 신청했다가 단 3초 만에 “거절”이라는 결과를 받았습니다. 상담원을 연결하려 해도 “AI 심사 결과이므로 재심사 불가”라는 답변만 돌아왔습니다. 이제는 다릅니다. 법 개정 이후 A씨는 해당 금융기관에 “어떤 기준으로 거절됐는지 설명하라”고 공식 요구하고, 필요하면 “사람이 직접 재검토하라”고 요청할 수 있습니다.

▲ 목차로 돌아가기

② 어디까지 적용되나? 대출·채용·보험·콘텐츠 추천까지

이 권리의 적용 범위를 이해하려면 먼저 「자동화된 결정」의 정의를 알아야 합니다. 개인정보보호법에서 말하는 자동화된 결정이란, 오로지 자동화된 시스템에만 의존하여 정보주체의 권리나 의무에 중대한 영향을 미치는 결정을 뜻합니다. 여기서 “중대한 영향”이 핵심인데, 개인정보위가 발표한 안내서에 따르면 단순히 긍정적 혜택(추천 쿠폰, 취미 콘텐츠 추천 등)은 해당하지 않으며, 아래와 같은 영역이 주요 적용 대상입니다.

중요한 것은 사람이 최종 결정에 전혀 개입하지 않은 경우에만 이 법이 적용된다는 점입니다. AI가 후보군을 추리더라도 사람 담당자가 최종 검토했다면 해당 법 조항의 직접 적용 대상이 아닐 수 있습니다. 하지만 현실에서는 AI 결과를 그대로 통보하는 경우가 압도적으로 많기 때문에 사실상 대부분의 디지털 심사 영역이 이 권리의 적용 대상이라고 봐도 무방합니다.

▲ 목차로 돌아가기

③ 3가지 권리 완전 해부: 거부권·설명요구권·검토요구권

개인정보 보호법 제37조의2는 하나의 권리가 아니라 세 가지 독립적인 권리의 묶음입니다. 각각의 차이를 명확히 이해해야 상황에 맞게 행사할 수 있습니다.

1) 거부권(Opt-out Right)

AI 자동화 결정 자체를 거부하는 권리입니다. 예를 들어 금융기관에서 AI만으로 대출 심사를 진행하려 할 때, 사전에 또는 결정 후에 “이 자동화 결정 과정에서 나를 배제해 달라”고 요구할 수 있습니다. 기업은 정당한 사유 없이 이를 거부하지 못합니다.

2) 설명요구권(Explanation Right)

AI가 내린 결정의 근거와 로직에 대한 설명을 요청하는 권리입니다. “내 대출이 왜 거절됐나요?”라고 물으면 기업은 단순히 “AI가 판단한 결과입니다”라고 답변하는 것으로 의무를 다할 수 없습니다. 개인정보위 안내서에 따르면, 의미 있는 정보(meaningful information)를 선별하여 제공해야 합니다. 예를 들어 “소득 대비 기존 부채 비율이 기준 초과, 최근 6개월 연체 이력 반영”과 같이 구체적인 설명 의무가 부여됩니다.

3) 검토요구권(Human Review Right)

자동화 결정에 이의가 있을 경우, 사람이 직접 재검토하도록 요구하는 권리입니다. 이것이 사실상 가장 강력한 권리입니다. 기업은 AI 결과를 사람 담당자가 실제로 재검토하고 그 결과를 정보주체에게 알려야 합니다. “검토했지만 결과는 동일합니다”라는 답변도 가능하지만, 검토 자체를 생략하는 것은 위법입니다.

▲ 목차로 돌아가기

④ 실전 행사 방법: 클릭 한 번으로 AI 결정에 이의 제기하기

권리가 있어도 행사하는 방법을 모르면 무용지물입니다. 아래 4단계 절차를 따라가면 됩니다.

▲ 목차로 돌아가기

⑤ 2026년 달라지는 것: 마이데이터 전 분야 + 징벌적 과징금 10%

2026년은 개인정보 자동화결정 거부권의 실질적 파급력이 한층 강해지는 해입니다. 크게 두 가지 변화가 눈에 띕니다.

마이데이터 제3자 전송 서비스, 에너지·교육·고용·문화여가로 확대

2025년 의료·통신 분야에서 시작된 마이데이터 본인전송요구권이 2026년에는 에너지(전기·가스 사용량), 교육(성적·수강 이력), 고용(급여·근로계약), 문화여가(도서관 대출, 공연 이용 이력) 분야까지 확대됩니다. 이 데이터들은 AI가 나를 평가할 때 활용하는 핵심 정보들입니다. 내 데이터를 직접 통제·이동할 수 있게 되면, AI 모델에 입력되는 데이터 자체를 관리하는 것도 가능해집니다.

징벌적 과징금 매출액 3% → 10%로 상향 추진

2026년 초 현재 개인정보 보호법 개정안이 국회 법제사법위원회를 통과한 상태로, 고의·중과실로 개인정보를 침해하거나 자동화결정 관련 의무를 위반한 기업에 대한 과징금 상한이 전체 매출액의 3%에서 최대 10%로 대폭 상향됩니다. 3년 이내 반복 위반 또는 피해자 1,000만 명 이상의 경우에도 상향된 과징금이 적용됩니다. 매출액 산정이 어려운 경우 최대 50억 원까지 부과 가능합니다.

▲ 목차로 돌아가기

⑥ 기업이 거부권 요청을 무시하면? 처벌과 구제 절차

자동화결정 거부권의 실효성은 “위반 시 어떤 일이 벌어지는가”에 달려 있습니다. 현행법 체계와 2026년 예정된 강화 내용을 함께 정리합니다.

현행 제재 체계 (2024년 3월 시행 이후)

개인정보 보호법 제37조의2를 위반하여 정보주체의 권리 행사를 방해하거나 정당한 이유 없이 거부하는 경우, 개인정보보호위원회의 시정명령 대상이 됩니다. 더불어 정보주체는 침해가 있었음을 이유로 민사상 손해배상을 청구할 수 있으며, 입증 책임 일부가 기업에 전환되는 구조입니다.

구제 신청 3단계 경로

▲ 목차로 돌아가기

⑦ 알아야 할 한계: 모든 AI 결정에 통하지 않는 이유

이 권리가 강력한 것은 사실이지만, 맹목적으로 믿으면 실망할 수 있습니다. 실무적으로 주의해야 할 한계를 솔직하게 짚겠습니다.

첫째, 법적으로 허용된 자동화 결정은 예외입니다. 법령에 근거한 자동화 결정(예: 세금 자동 산정 시스템, 교통 단속 카메라 벌점 처리)에는 이 거부권이 적용되지 않습니다. 국가가 법률로 정한 행정 처분은 개별 거부 요청의 대상이 아닙니다.

둘째, 적용 대상 사업자 범위의 현실적 한계가 있습니다. 마이데이터 전송 의무를 지는 대형 사업자(평균 매출 1,800억 원 초과 + 이용자 100만 명 이상)는 의무 대상이지만, 중소 스타트업이나 영세 사업자는 현실적 이행 역량이 부족한 경우가 많습니다.

셋째, 설명요구를 했더라도 결과가 뒤집히지 않을 수 있습니다. 기업이 설명 의무를 성실히 이행하더라도 결론 자체를 번복할 의무는 없습니다. 설명 자체가 납득할 만하다면 거부 결정은 유효하게 유지됩니다. 다만, 설명 내용이 부당하거나 차별적 요소가 발견된다면 별도의 불합리한 처우 금지 법령(예: 금융소비자보호법, 차별금지법 논의) 위반으로 문제를 제기할 수 있습니다.

▲ 목차로 돌아가기