61.9점 — 이 숫자가 의미하는 것

개인정보보호위원회(이하 개인정보위)는 매년 커넥티드카·에듀테크·스마트홈·통신 등
주요 7개 분야를 대상으로 ‘개인정보 처리방침 평가’를 실시합니다.
2024년 전체 평균은 57.9점이었고, 2025년 평가에서는 71점으로 13점 이상 상승해
업계 전반이 개선된 것처럼 보였습니다.

※ 통신·에듀테크 세부 수치는 공식 발표 자료 참조 / 생성형 AI는 2025년 신규 조사 분야

이 숫자가 단순한 행정 점수로 느껴질 수 있지만, 사실 그 이면에는 수천만 명의
대화 데이터가 어디로 가는지 이용자가 전혀 모른다는 현실이 담겨 있습니다.
서비스를 제공하는 기업이 11개사나 참석한 간담회에서 정부가 직접 개선을 촉구했다는 점 자체가
이 문제의 심각성을 방증합니다.

▲ 목차로 돌아가기

내 대화는 AI 학습에 쓰이는가? 불편한 진실

생성형 AI 서비스를 사용할 때, 우리는 끊임없이 프롬프트를 입력합니다.
“오늘 발표 자료 초안 써줘”, “이 계약서 검토해줘”, “내 주소는 OO인데 근처 맛집 알려줘” —
이 모든 문장에는 개인의 맥락 정보, 직업, 때로는 민감한 사생활이 담겨 있습니다.

옵트인 vs 옵트아웃 — 기본값의 함정

개인정보 수집·활용의 핵심은 ‘기본 설정’에 있습니다.
옵트인(Opt-in)은 이용자가 명시적으로 동의해야 데이터를 수집하는 방식이고,
옵트아웃(Opt-out)은 이용자가 직접 거부 의사를 표시해야 수집을 멈추는 방식입니다.
대부분의 생성형 AI 서비스는 옵트아웃 방식을 채택하고 있어,
설정을 바꾸지 않으면 대화 내용이 학습 데이터로 활용될 수 있습니다.

더 심각한 문제는 이 옵트아웃 절차 자체가 숨겨져 있다는 점입니다.
개인정보위가 이번 평가에서 지적한 것처럼, 일부 서비스는
처리방침을 보려면 로그인이 필요하거나 여러 단계를 거치게 설계되어 있습니다.
이용자가 자신의 권리를 행사하려 해도 구조 자체가 방해하고 있는 셈입니다.

▲ 목차로 돌아가기

개인정보위가 적발한 5가지 심각한 문제

개인정보위는 이번 간담회에서 구체적인 적발 사례를 공개했습니다.
단순한 행정적 미흡이 아니라, 이용자의 권리를 실질적으로 침해하는 문제들입니다.

▲ 목차로 돌아가기

챗GPT·제미나이·클로바 별 학습 거부 방법

지금 당장 할 수 있는 가장 중요한 조치는 각 서비스에서 학습 데이터 제공을
거부(옵트아웃)하는 것입니다.
서비스별로 절차가 다르므로, 반드시 직접 확인하고 설정을 변경하시기 바랍니다.

① ChatGPT (OpenAI) — 설정 → 데이터 제어

② Google Gemini — 내 활동 관리

③ 네이버 CLOVA X — 개인정보 설정

▲ 목차로 돌아가기

4월 개정 지침 — 무엇이 바뀌는가

개인정보위는 이번 간담회를 바탕으로 2026년 4월 중 개인정보 처리방침
작성 지침 개정본을 발간할 계획임을 공식 발표했습니다.
단순한 가이드라인 보완이 아니라, 생성형 AI 서비스에 특화된 구체적 기준이
처음으로 마련된다는 점에서 산업 전반에 상당한 파급력이 예상됩니다.

개정 지침에 담길 핵심 내용 (예정)

특히 ‘AX 혁신 지원 헬프데스크’ 운영도 함께 예고됐습니다.
이는 AI 서비스 기획 단계부터 프라이버시 리스크를 함께 점검할 수 있는
전문 지원 창구로, 중소 AI 스타트업에게는 규정 준수 부담을 줄이는
실질적 도움이 될 것으로 기대됩니다.

그러나 한 가지 중요한 사실이 있습니다.
이번 지침은 강제 규정이 아닌 가이드라인입니다.
즉, 준수 여부는 기업의 자율에 맡겨지는 만큼, 이용자 스스로가 서비스를
선택할 때 개인정보 처리방침을 꼼꼼히 확인하는 습관이 더욱 중요합니다.

▲ 목차로 돌아가기

전문가 시각 — 진짜 문제는 따로 있다

이번 개인정보위 발표를 그저 “정부가 기업에게 잘 써라고 한 것”으로 보면
본질을 놓치게 됩니다.
필자가 주목하는 진짜 문제는 세 가지입니다.

첫째, 글로벌 본사 정책과의 충돌

오픈AI, 구글, 메타 등 해외 기업들은 간담회에서 “글로벌 본사 정책과의 조율이 어렵다”고
고충을 토로했습니다. 이는 단순한 변명이 아닙니다.
실제로 미국 본사의 처리방침이 한국 개인정보보호법(개보법) 기준보다 낮을 경우,
국내에서 서비스를 제공하면서도 한국법 기준을 충족시키기 어렵습니다.
정부가 이를 알고도 강제력 없는 가이드라인으로 접근한다는 점에서 실효성 논란은 계속될 것입니다.

둘째, AI 에이전트 시대의 개인정보는 차원이 다르다

2026년 현재, AI는 단순 챗봇을 넘어 ‘에이전트’로 진화하고 있습니다.
에이전트 AI는 이메일을 읽고, 캘린더를 수정하고, 결제를 대신하는 수준에 이르렀습니다.
이 경우 수집되는 개인정보의 범위와 민감도는 기존 텍스트 프롬프트와 비교할 수 없을 만큼 방대합니다.
현재 처리방침 기준이 이 수준의 변화를 따라가지 못하고 있다는 것이 핵심 문제입니다.

셋째, 이용자의 무지가 가장 큰 취약점

아무리 좋은 지침이 나와도, 이용자가 자신의 권리를 모른다면 무의미합니다.
챗GPT 유료 구독자 중 학습 거부 옵션을 켠 사람이 얼마나 될까요?
개인정보위의 이번 발표가 진정한 의미를 갖기 위해서는
기업 대상 가이드라인과 동시에 이용자 대상 권리 고지 캠페인이 병행되어야 합니다.
이것이 이 글을 쓰는 가장 큰 이유이기도 합니다.

▲ 목차로 돌아가기