I. 들어가며 - 피지컬 AI의 특징 및 법적 쟁점 개관
피지컬 AI는 로봇, 드론, 스마트 가전, 자율주행차 등 물리적인 형태를 갖춘 인공지능 기술로, 실제 환경 속에서 데이터를 수집·처리하며 자율적으로 작동합니다. 이러한 기술은 물류, 보안, 헬스케어, 환경관리 등 다양한 분야에서 빠르게 도입되고 있으며, 그 활용 범위도 지속적으로 확장되고 있습니다.
하지만 피지컬 AI는 그 기술적 특성상 영상, 음성, 위치정보 등 개인 식별이 가능한 정보를 실시간으로 수집할 가능성이 높고, 이에 따라 개인정보 보호법상 다양한 법적 의무를 준수하여야 할 필요가 있습니다. 특히 피지컬 AI는 사람의 개입 없이 자동으로 작동하는 경우가 많아, 정보주체의 인지 또는 동의가 확보되지 못한 상태에서 개인정보가 수집될 수 있는 구조적 특성을 갖고 있습니다.
이에 따라 피지컬 AI의 도입 및 운용 과정에서 개인정보 수집의 적법성, 영상정보처리기기 관련 규제 적용 가능성, 개인정보의 국외 이전 가능성 등 복합적인 법적 검토가 선행되어야 하며, 기술 구현 초기 단계부터 관련 법률적 리스크를 고려한 사전 설계가 필요합니다.
II. 개인정보 관련 주요 법적 쟁점 및 준수사항
가. 개인정보 수집 관련 법적 요건
피지컬 AI는 공공장소 또는 개인의 공간에서 영상, 음성, 위치 등 다양한 형태의 정보를 수집하게 되며, 이 과정에서 개인정보 보호법상 개인정보, 일정한 경우에는 민감정보의 수집이 발생할 수 있습니다. 「개인정보 보호법」상 원칙적으로 개인정보를 수집 시에는 정보주체의 동의를 받아야 하며{「개인정보 보호법」(이하 “법”) 제15조 제1항 제1호}, 이를 위반할 경우 행정제재 또는 형사책임이 부과될 수 있습니다.
그러나 피지컬 AI는 그 특성상 불특정 다수를 대상으로 작동하는 경우가 많아, 현실적으로 모든 정보주체로부터 동의를 받는 것이 곤란한 상황이 빈번하게 발생되고 있습니다. 이에 사업자는 정보주체의 동의 없이 개인정보를 수집할 수 있는 예외 사유(법 제15조 제1항 제2호~제7호)의 적용 가능성을 사전에 면밀히 검토할 필요가 있습니다.
<법 제15조 제1항 제2호~제7호의 예외 사유>
2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우
4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우
5. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우.
이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.
7. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우
한편, 피지컬 AI가 수집하는 정보가 얼굴, 홍채, 보행 패턴, 음성 등 개인의 신체적, 생리적, 행동적 특징에 관한 정보에 해당할 경우, 이는 개인정보 보호법상 ‘민감정보’로 분류되며, 보다 엄격한 법적 요건이 적용됩니다. 민감정보를 수집하려면 (법령상 민감정보의 처리를 요구·요구되는 예외적인 경우를 제외하고) 정보주체의 별도 동의를 받아야 하며(법 제23조 제1항 제1호), 단순 고지나 통합 동의로는 요건을 충족할 수 없습니다. 따라서 민감정보 수집 가능성이 있는 피지컬 AI의 경우, 기술 구현 초기 단계부터 민감정보의 수집을 기술적으로 차단하거나, 수집 전 별도의 고지·동의 절차를 마련해야 합니다.
나. 영상정보처리기기 관련 준수사항
피지컬 AI가 카메라를 탑재하고 이동하면서 촬영을 수행하는 경우, 해당 기기는 ‘이동형 영상정보처리기기’에 해당할 수 있으며, 이에 따라 별도의 법적 의무가 부과될 수 있습니다.
법 제25조의2 및 시행령 제27조에 따라 (i) 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하는 경우에는 불빛, 소리, 안내판, 안내서면, 안내방송 등으로 정보주체가 촬영 사실을 쉽게 알 수 있도록 표시하고 알려야 하며, (ii) 이동형 영상정보처리기기 운영자는 이동형 영상정보처리기기의 운영 근거 및 목적, 촬영 범위, 관리책임자, 촬영시간, 영상정보의 보관기간, 보관장소 및 처리방법 등에 관한 운영∙관리 방침을 마련하여야 합니다. 또한, (iii) 개인정보가 분실∙도난∙유출∙위조∙ 변조 또는 훼손되지 아니하도록 암호화, 접근 권한 제한 등 법 제29조 및 시행령 제30조에서 정하고 있는 영상정보의 안전성 확보 조치를 이행하여야 합니다.
참고로, 개인정보보호위원회는 2024. 9. 「이동형 영상정보처리기기를 위한 개인영상정보 보호∙활용 안내서」(링크)를 배포하여 개인영상정보 처리 원칙, 개인영상정보 처리 단계별 준수사항, 개인영상정보 처리 유형별 시나리오 등을 상세히 안내하고 있습니다.
<안내서상 개인영상정보 처리 단계별 준수사항 총괄표>
결국 피지컬 AI를 도입하는 기업은 (단순히 카메라 장착 여부에 그치는 것이 아니라) 그 운영 방식 및 환경에 따라 해당 피지컬 AI가 이동형 영상정보처리기기에 해당하는지 여부를 판단하고, 해당할 경우에는 기획∙설계∙개발 단계에서부터 개인정보보호 중심 설계(Privacy by Design)를 고려하는 등 법적 요건을 충실히 준수해야 하는 점을 유념하시기 바랍니다.
다. 개인정보의 국외 이전 관련 준수사항
피지컬 AI는 수집된 데이터를 해외 서버에 저장하거나, 외국 제조사의 AI 모델 학습 등에 활용하는 방식으로 운용되는 경우가 많아, 개인정보의 국외 이전에 대한 법적 쟁점도 중요한 이슈로 부상하고 있습니다. 최근 언론보도에 따르면 로봇청소기와 관련하여 소비자가 인지하지 못한 상태에서 촬영된 영상정보가 외국 제조사 및 그 계열사나 다른 서비스 업체에게 제공될 가능성이 있다는 점에 대한 문제가 제기되는 등 피지컬 AI가 수집한 개인정보의 국외이전에 대한 이슈가 제기되고 있습니다.
수집된 개인정보를 국외로 이전하려는 경우, 원칙적으로 정보주체에게 ① 이전되는 개인정보 항목, ② 이전되는 국가, 시기 및 방법, ③ 이전받는 자의 성명, ④ 이전받는 자의 개인정보 이용목적 및 보유∙이용 기간 등을 고지한 후 명시적인 동의를 받아야 합니다(법 제28조의8 제1항 제1호). 「개인정보 보호법」은 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우 등 국외 이전 동의 예외사유를 마련하고 있으나(법 제28조의8 제1항 제2호~제5호), 이 경우에도 개인정보 국외이전 관련 세부사항을 개인정보 처리방침을 통해 공개하고 안정성 확보 조치 등 보호조치를 충실히 이행해야 합니다(법 제28조의8 제1항 제3호, 동조 제4항).
특히, 현재 「개인정보 보호법」 법 제28조의8 제5호에 따라 동등성 평가가 인정된 사례는 확인되지 않으므로, 많은 경우 개인정보 국외이전에는 정보주체의 동의를 받아야 하는 상황입니다. 따라서 피지컬AI를 운영함에 있어 국외 서버를 활용하는 등 국외 이전이 수반되는 경우에는 관련 법령상 요건을 확인하고 필요한 경우 정보주체의 동의를 받는 절차를 사전에 체계적으로 마련하는 것이 바람직합니다.
III. 시사점
피지컬 AI가 기술적 가능성을 넘어 산업의 핵심 인프라로 자리잡고 있는 만큼, 개인정보 보호와 관련된 법적 리스크에 대한 선제적 대응이 그 어느 때보다 중요해지고 있습니다. 기술 구현 초기 단계에서부터 관련 법령을 면밀히 검토하고, 프라이버시 중심 설계(Privacy by Design)를 적용하는 한편, 내부 운영 절차에 법적 요건을 체계적으로 통합하는 것이 장기적인 법적 안정성과 기업 신뢰 확보의 관건이 될 것입니다.
법무법인 태평양의 AI팀은 피지컬 AI 기술의 도입과 운영 과정에서 발생할 수 있는 법적 리스크를 최소화할 수 있도록, 산업 맞춤형 법률 자문과 전략적 대응 방안을 제공해 드리겠습니다.
