A Study on Measures to Resolve the Tension Between Artificial Intelligence (AI) and Personal Data Protection Norms

이 글은 개인정보가 대규모로 처리되는 생성형 AI의 개발 ∙ 학습 ∙ 활용 전 과정에서 기존 개인정보 보호규범이 인공지능의 생애주기 전반을 충분히 포섭하지 못함으로써 발생하는 구조적 긴장관계를 분석하였다. 특히 목적 제한 원칙, 개인정보 최소화 원칙, 정보주체의 권리(열람권 ∙ 삭제권 ∙ 이의제기권 등)가 AI 학습과 모델 운용 과정에서 실질적으로 약화되거나 형해화될 위험에 주목한다. 이 글은 ChatGPT에 대한 유럽 규제 사례, Clearview AI 사건, 미국 내 AI 관련 집단소송 등을 검토하여, 공개된 개인정보라 하더라도 AI 학습 목적의 무제한적 수집 ∙ 재이용이 정당화될 수 없다는 확인하였다. 또한 AI 모델의 학습 과정에서 개인정보가 모델 내부에 내재화되고, 모델 역추론 ∙ 멤버십 추론 등의 공격을 통해 개인정보가 재식별 ∙ 추출될 수 있다는 점에서, 학습 완료 이후에도 개인정보 보호 문제가 지속된다는 문제점을 제기하였다. 나아가 이 글은 학습이 완료된 AI 모델에서 개인정보 삭제를 요구하는 것이 단순한 데이터 삭제를 넘어 사실상 ‘모델 차원의 삭제’ 또는 ‘모델 언러닝’을 요구하는 것으로 확장될 수 있음을 지적하고, 이는 기술적 ∙ 비례성 측면에서 심각한 규범적 긴장을 초래할 수 있다고 분석하였다. 이에 따라 현행 개인정보 규범을 AI에 그대로 적용하기보다는, 목적 제한 원칙의 기능적 재해석, 최소화 원칙의 위험 기반 적용, 그리고 정보주체 권리의 절차적 ∙ 사후적 보완을 중심으로 한 규범 재구성이 필요하다는 점을 제시하였다.