[오늘의 경제사] GDPR 8년, 규제는 정착했지만 AI 앞에 무력해졌다

2018년 5월25일 유럽 GDPR 발효
누적 과징금 71억 유로 돌파…AI 학습 데이터 통제는 여전히 공백

2018년 5월 25일, 유럽연합은 인터넷 역사상 가장 강력한 개인정보보호법을 시행했다. ‘유럽에서 벌벌 떨고 있는 기업들’이라는 당시 헤드라인이 상징하듯, 법 시행 이전 글로벌 IT 업계는 공황에 가까운 반응을 보였다. 일부 미국 기업들은 아예 유럽 서비스를 접었다.

그로부터 8년. 공황은 가라앉았고, 시장은 적응했다. 그런데 정작 더 큰 문제가 수면 위로 떠올랐다. 생성형 AI가 개인정보 보호의 판 자체를 뒤흔들기 시작한 것이다.

◇ GDPR, 99개 조항으로 만든 개인정보 헌법

GDPR(General Data Protection Regulation·일반개인정보보호법)은 EU 거주자의 개인정보를 처리하는 기업이라면 전 세계 어디에 있든 예외 없이 적용되는 규정이다. 한국 기업이 유럽인을 대상으로 서비스를 운영한다면 한국 회사에도 그대로 적용된다.

핵심은 네 가지다. 이용자 동의 없이는 데이터를 수집할 수 없고, 이용자는 언제든 자신의 데이터 삭제를 요구할 수 있으며(잊힐 권리), 데이터를 국외로 옮길 때는 별도 요건을 충족해야 한다. 위반 시 전 세계 연간 매출액의 최대 4% 또는 2000만 유로 중 더 높은 금액을 과징금으로 낸다. 관련 조항만 99개에 달해 ‘개인정보 헌법’으로 불린다.

EU 규정(Regulation)으로 직접 법적 효력을 가지기 때문에 회원국별로 별도 입법이 필요 없다는 점도 기존 지침(Directive) 방식과 구별되는 특징이다. 이 법이 중요한 이유는 영향력이 EU에 그치지 않는다는 점이다. 브라질·일본·싱가포르 등이 유사 규제를 도입했고, 한국도 대응 입법을 단행했다. GDPR은 사실상 글로벌 개인정보 규제의 표준이 됐다.

◇ ‘GDPR 쇼크’는 어떻게 ‘일상’이 됐나

GDPR 발효 이후 8년이 경과한 현재, 초기 시장에서 제기됐던 파멸적 수준의 규제 혼란 우려는 규제 준수 체계의 고도화와 내재화를 통해 상당 부분 완화됐다. 숫자가 이를 증명한다. 유럽 감독당국이 공개한 통계에 따르면, 2018년 5월 집행 개시 이후 누적 과징금 총액은 이미 71억 유로를 초과했으며, 공식 집행 건수도 2245건을 넘어섰다. 당초 우려됐던 무차별 제재가 아니라, 정교하게 작동하는 법 집행 체계로 자리를 잡은 셈이다.

글로벌 빅테크 기업들은 대규모 컴플라이언스 예산과 전담 프라이버시 법무 팀을 구축해 규제 대응 비용을 비즈니스 운영의 일환으로 흡수했으며, 이것이 대외적인 논란이 초기보다 잦아든 주요 요인이다. 쉽게 말해, GDPR이 ‘사업 비용’의 하나로 내재화됐다는 뜻이다.

주목할 것은 제재의 질적 변화다. 전체 누적 과징금 총액의 60% 이상이 2023년 1월 이후에 집중적으로 부과됐다. 이는 사법당국의 조사 절차가 가속화되고 고액의 행정 제재가 표준화되는 질적 전환기에 돌입했음을 정량적으로 보여준다.

◇ 그러나 규제는 ‘강자의 방어막’이 됐다

GDPR이 성공적으로 정착했다는 평가 이면에는 불편한 진실이 있다. 막대한 법무 및 정보보호 인프라 예산을 상시 조달할 수 있는 빅테크 기업들과 달리, 혁신적인 비즈니스 모델을 무기로 진입하려는 스타트업과 중소기업들은 GDPR의 모호하고 엄격한 조항들을 맞춤형으로 준수하기 위해 생존을 위협받는 수준의 비용을 투입하고 있다.

그 결과 다수의 중소 신생 기업들이 유럽 디지털 시장 진입을 포기하거나 서비스를 축소하면서 역내 혁신 생태계가 위축되는 왜곡 현상이 나타나고 있다. 엄격한 프라이버시 규제가 독과점적 지위를 지닌 기존 지배적 플랫폼 기업들의 시장 통제력을 오히려 공고히 해주는 역설적 보호막이 됐다는 비판은 이러한 연유에서 비롯된다.

집행 체계에도 병목이 있다. GDPR의 ‘일원화 창구(One-Stop-Shop)’ 시스템은 특정 다국적 기업의 주된 사업장이 소재한 국가의 감독기구가 유럽 전체의 조사를 전담하도록 규정한다. 그러나 이 설계는 아일랜드 데이터보호위원회(DPC) 등 소수 규제 기관에 유럽 전체 빅테크 조사 업무가 집중되는 만성적 과부하 현상을 유발했다. 한 국가의 규제 기관이 글로벌 플랫폼 전체를 관할하는 구조적 한계다.

◇ AI가 ‘잊힐 권리’를 불가능하게 만들다

GDPR이 보장하는 핵심 권리 가운데 ‘잊힐 권리(Right to be Forgotten·제17조)’가 있다. 이용자가 요청하면 기업은 개인정보를 영구 삭제해야 한다는 규정이다. 그런데 생성형 AI와 거대언어모델(LLM)의 등장으로 이 권리가 기술적으로 공허해지고 있다.

심층 신경망(Deep Neural Networks) 모델에서는 개별 데이터셋의 영향력이 수억 개에 달하는 모델의 가중치와 노드에 통계적으로 완전히 분산되어 융합된다. 그 결과 소스 데이터셋에서 특정 정보를 물리적으로 소거하더라도, 이미 학습을 마친 모델 내부에는 해당 정보의 잠재적 패턴이 영구히 잔존한다. 데이터베이스에서 특정 행(行)을 삭제하는 것과 AI 모델에서 특정 정보를 지우는 것은 근본적으로 다른 문제다.

‘기계 망각(Machine Unlearning)’이라는 기술적 해법 연구가 진행 중이지만 한계가 뚜렷하다. 특정 데이터셋의 추론 경로를 과도하게 소거하는 과정에서 생성 능력의 다른 축까지 함께 무너지는 ‘파괴적 망각’이 동반되어 AI 모델 본연의 유효성과 성능이 심각하게 저하될 수 있다.

또한 완벽한 정보 소멸을 담보하기 위한 현실적 대안은 해당 데이터를 제외한 뒤 전체 모델을 처음부터 다시 학습시키는 방법뿐이나, 이는 초대형 모델 기준 수십억 원 이상의 재학습 비용을 강제한다.

AI의 대규모 데이터 학습 방식도 GDPR의 ‘목적 제한(Purpose Limitation)’ 원칙(제5조)과 정면충돌한다. 정보주체가 특정 웹사이트나 블로그에 개인정보와 게시물을 등록했을 때의 본래 의도와 무관하게, AI 개발 주체가 이를 대규모 데이터셋으로 무단 흡수해 기계 학습에 활용하는 일련의 처리는 정보주체의 입장에서 ‘추가된 목적에 대한 예견가능성’을 완전히 상실한 처리에 해당한다.

◇ 한국은 어디에 서 있나

한국은 2021년 12월 ‘한-EU 적정성 결정’을 확보했다. 이 결정의 채택으로 기존에 각 개별 계약 건마다 요구되던 수천만 원에서 수억 원대의 표준계약조항(SCC) 수속 비용이 획기적으로 절감됐으며, 법리 검토 지연으로 인한 서비스 배포 지연 우려가 대폭 개선됐다.

그러나 혜택은 제한적이다. 금융위원회가 개별 감독하는 신용정보법 체제 하의 금융 부문 개인식별정보는 본 적정성 결정 대상 범위에서 원천적으로 제외되어 있어, 핀테크 및 금융 진출 기업들은 여전히 복잡한 SCC나 구속력 있는 기업규칙(BCR)을 독자적으로 관철해야 하는 규제 사각지대에 놓여 있다.

미국과의 갈등도 부상했다. 미국 무역대표부(USTR)가 발표한 2025년 및 2026년도 국가별 무역장벽보고서(NTE)는 한국의 개정 개인정보보호법을 ‘디지털 무역 비관세 장벽’으로 명시해 통상 마찰을 가시화했다. 미국 측은 과징금 산정 기준이 전 세계 총매출액의 3%로 확대된 것이 해외 빅테크 기업에 부당하게 편향된 징벌적 조치라고 공세를 펴고 있다.

◇ 규제의 다음 단계, 어떻게 설계해야 하나

2024년 확정된 EU 인공지능법(AI Act)은 기업들에게 GDPR과의 이중 컴플라이언스(동시 준수 의무) 체계를 강제하고 있다. 실제로 인공지능 엔진이 수집한 개인정보를 활용하는 서비스의 약 90%가 두 법안의 규제 범위에 동시에 귀속된다. AI Act의 적용 일정은 단계적으로 진행 중이다. 허용 불가능한 위험 AI에 대한 금지는 2025년 2월부터 시작됐고, 고위험 AI 시스템에 대한 전면 의무 부과는 2026년 8월로 예정돼 있다.

전문가들 사이에서는 사후 처벌 위주의 현행 프레임워크를 넘어선 설계 전환이 필요하다는 목소리가 높다. 향후의 규제 거버넌스는 인위적인 장벽 설정이 아니라, 기술적 설계와 사법적 권리 규제 간의 동시적 조화를 촉진하는 방식으로 질적 전환을 꾀해야 한다는 것이다.

규제 당국은 사후적 처벌에 머무르지 않고, 기계 망각의 한계성을 인정하는 실증적 삭제 입증 기법의 허용 기준을 고도화하고, 인공지능법의 위험 평가와 GDPR의 프라이버시 영향평가를 단일의 통합 플랫폼으로 흡수 설계해야 한다는 제언이다.

GDPR 8년은 절반의 성공이다. 데이터 거래에 최소한의 윤리적 제동을 거는 데는 성공했지만, 생성형 AI가 만들어낸 새로운 전장에서는 아직 유효한 무기를 찾지 못했다. 규제가 기술을 따라잡을 수 있을지가 향후 8년의 핵심 과제로 떠올랐다.