법은 그대로인데 실무 기준이 바뀌었습니다
개인정보보호위원회는 2026년 3월 31일 「가명정보 처리 가이드라인」을 전면 개정했습니다. 법률 조문이 바뀐 것이 아니어서 놓치기 쉽지만, AI 학습 데이터 프로젝트의 설계 방식에는 직접적인 영향을 줍니다. 개정의 핵심은 두 가지입니다. 판단 기준을 '위험도 기반'으로 표준화한 것, 그리고 절차와 서류 부담을 위험 수준에 따라 차등화한 것입니다.
기존에는 처리 규모나 민감도와 무관하게 비슷한 수준의 문서를 요구받는 경우가 많았습니다. 이제는 재식별 위험을 먼저 평가하고, 그 결과에 따라 적정성 검토와 안전조치의 깊이를 조절하는 흐름으로 정리되었습니다.
위험도 기반 체계가 실무에서 바꾸는 것
가이드라인이 입문자용 본권과 실무자용 별권으로 나뉜 점도 시사적입니다. 현업 부서는 '이 데이터를 써도 되는가'를 판단하고, 데이터 실무자는 '어떤 기법으로 어디까지 처리할 것인가'를 설계하는 역할 분담이 전제되어 있습니다.
비정형 데이터라는 난제
텍스트·이미지·음성은 식별 위험이 문맥에 따라 달라집니다. 같은 문장이라도 앞뒤 맥락이 붙으면 특정 개인을 지목하게 됩니다. 고객 상담 로그, 계약서, 현장 사진을 LLM 학습이나 RAG 인덱스에 넣기 전에는 다음을 점검해야 합니다.
'지웠다고 생각했지만 남아 있는' 재식별 경로는 대부분 정형 컬럼이 아니라 이 세 곳에 숨어 있습니다.
AI 프로젝트에 심는 데이터 파이프라인 설계
자주 나오는 질문
사내 데이터로 파인튜닝하면 가명처리를 해야 하나요?
수집 당시 고지한 목적 범위 안이라면 가명처리 없이 가능한 경우도 있습니다. 목적을 벗어난 활용이라면 가명처리가 현실적인 경로입니다.
외부 LLM API에 넘기는 프롬프트는 어떻게 보아야 하나요?
프롬프트에 담긴 개인정보는 제3자 제공 또는 처리위탁 이슈가 됩니다. 위탁 계약, 학습 사용 여부, 데이터 리전 설정을 확인하고 전송 직전에 마스킹 계층을 두는 것이 안전합니다.
협력사 데이터를 결합해 모델을 만들 때 책임은 누가 지나요?
각 사가 자사 데이터에 대한 처리자 책임을 지되, 결합 이후 산출물의 관리 주체와 재식별 금지 의무를 계약서에 명시해야 합니다.
준비 체크리스트
POLYGLOTSOFT는 이렇게 접근합니다
저희는 컴플라이언스 요건을 문서가 아니라 코드로 심습니다. 수집 API 스키마에 처리 목적과 법적 근거 필드를 필수값으로 두고, 파이프라인에 마스킹과 검증 단계를 넣어 위험 항목이 학습 데이터셋으로 흘러 들어가지 않도록 차단합니다. 구독형 개발 방식이라 가이드라인이나 고시가 개정되면 그다음 스프린트에 곧바로 반영해 드립니다. AI 도입을 준비하시면서 데이터 처리 근거가 불안하시다면 언제든 문의해 주십시오.