개인정보

쇼핑몰 고객 데이터로 인공지능 챗봇을 학습시키려면 동의를 다시 받아야 하나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.13 갱신

모두 다시 받을 필요는 없습니다. 상담 기록을 상담 챗봇에 쓰는 것처럼 당초 목적 범위이거나 합리적으로 관련된 이용이면 동의 없이 쓸 수 있습니다. 다른 사업용 인공지능이라면 가명처리해 과학적 연구로 쓰거나 별도 동의를 받아야 하고, 2027. 3. 9.부터는 개인정보보호위원회 심의를 거치는 인공지능 개발 특례가 시행될 예정입니다.

고객 데이터를 인공지능 학습에 쓴다고 모두 새로 동의를 받아야 하는 것은 아닙니다. 원래 서비스를 더 잘하려는 학습이라면 수집 목적 안에서 쓸 수 있고, 목적과 관련 있는 새 기능이라면 동의 없는 추가적 이용을 검토할 수 있습니다. 문제가 되는 것은 전혀 다른 사업에 원본 데이터를 그대로 넣는 경우입니다. 이때는 가명처리나 별도 동의가 필요합니다. 같은 데이터로 여러 모델을 만든다면 모델마다 근거를 따로 정해 두어야 나중에 설명할 수 있습니다.

이런 상담이 많습니다

A사는 회원 30만 명의 생활용품 쇼핑몰을 운영합니다. 2026. 8. A사는 3년치 상담 채팅 기록과 주문 내역으로 교환·반품 상담 챗봇을 학습시키기로 했습니다. 마케팅팀은 같은 데이터로 수요예측 모델을 만들어 납품업체에 팔자고 제안했습니다. 가입 때 받은 동의서에는 「주문 처리와 고객 상담」만 목적으로 적혀 있었습니다. A사 대표는 2026. 9. 21. 두 사업 모두 새로 동의를 받아야 하는지, 가명처리만 하면 되는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

상담 챗봇 학습은 원래 수집 목적 안에서 쓸 수 있나요?

상담 기록을 상담 품질을 높이는 데 쓰는 것은 「고객 상담」이라는 당초 목적의 범위로 볼 수 있습니다. 범위를 조금 넘더라도 당초 목적과 합리적으로 관련된 범위라면 동의 없이 추가로 이용할 수 있습니다.

추가적 이용을 하려면 네 가지를 따져 기록해 둡니다. 당초 목적과의 관련성, 수집 정황에 비춘 예측 가능성, 정보주체 이익을 부당하게 침해하는지, 가명처리나 암호화 같은 안전조치를 했는지입니다. 학습처럼 이용이 계속된다면 판단 기준을 개인정보 처리방침에 공개하고 개인정보 보호책임자가 점검해야 합니다. 채팅에 섞인 건강 정보 같은 민감정보는 별도 동의 없이는 처리할 수 없으므로 학습 전에 걸러 냅니다.

사례에 대입하면 교환·반품 상담 챗봇은 고객이 상담을 받으려고 남긴 기록을 같은 상담에 다시 쓰는 것이어서 목적 범위 또는 추가적 이용으로 볼 여지가 큽니다. 반면 납품업체에 팔 수요예측 모델은 고객이 쇼핑몰에 가입하면서 예상하기 어려운 별개의 사업입니다. 이 부분은 추가적 이용으로 설명하기 어렵고, 아래의 가명처리나 별도 동의로 근거를 갖춰야 합니다.

다른 사업용 인공지능은 가명처리하면 동의 없이 써도 되나요?

가명정보는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 동의 없이 처리할 수 있습니다. 과학적 연구에는 기술의 개발과 실증, 민간 투자 연구도 들어가므로, 새 모델 개발도 가명정보로 할 여지가 있습니다.

대신 의무가 따라옵니다. 원래대로 되돌리는 추가 정보는 따로 보관하고, 처리 목적과 제3자 제공 내역 등 기록을 남겨 파기 뒤에도 3년 이상 보관합니다. 특정 개인을 알아보려는 목적으로 처리하면 과징금 대상이고, 처리 중 개인을 알아볼 수 있는 정보가 생기면 즉시 멈추고 회수·파기해야 합니다. 대법원은 가명처리 자체는 정보주체가 처리정지를 요구할 수 있는 「처리」에 해당하지 않는다고 보았습니다. 다만 채팅 원문처럼 이름·주소·전화번호가 문장 속에 흩어진 데이터는 가명처리가 제대로 되지 않기 쉽습니다. 가명정보를 납품업체에 넘길 때 특정 개인을 알아보는 데 쓰일 수 있는 정보가 남아 있으면 그 자체로 위반이 되므로, 제공 전에 재식별 가능성을 따로 검토합니다.

인터넷에 공개된 개인정보를 모아 학습시켜도 되나요?

동의가 없다면 정당한 이익 조항이 근거가 될 수 있습니다. 회사의 정당한 이익을 위해 필요하고, 그 이익이 정보주체 권리보다 명백하게 우선하며, 합리적인 범위를 넘지 않아야 합니다. 개발 목적과 관계없는 정보는 빼고, 수집 사실을 알리고 삭제 요청을 받을 창구를 두어야 명백성 요건을 설명하기 쉽습니다. 게시판 글이나 리뷰처럼 정보주체가 스스로 올린 글이라도, 그 사람이 예상한 공개 범위를 넘어 상업적 모델에 대량으로 쓰이면 이익형량에서 불리해질 수 있습니다.

2027년부터 시행되는 인공지능 개발 특례는 무엇이 다른가요?

2027. 3. 9.부터는 익명·가명처리로는 개발이 어려운 경우 안전장치를 갖추고 개인정보보호위원회 심의·의결을 거쳐 적법하게 수집한 개인정보를 목적 외로 쓸 수 있는 특례가 시행될 예정입니다. 공공의 이익 증진, 정보주체·제3자 이익 보호나 사회적 이익 증진 목적이면서 정보주체 등의 이익을 부당하게 침해할 우려가 현저히 낮아야 하고, 이용 목적과 유형은 처리방침에 적습니다. 의결을 받은 날부터 6개월 안에 특별한 사유 없이 처리를 시작하지 않으면 처리 전부가 제한됩니다. 민감정보·고유식별정보 처리 여부 등을 고려해 대통령령으로 정하는 위험이 큰 경우에는 심의 전에 위험요인평가를 해서 그 결과를 내야 하고, 심의·의결 내용과 평가 결과 요약은 공개됩니다. 안전장치 기준과 심의 절차 같은 세부 사항은 시행령에 맡겨져 있어, 2026. 10. 12. 현재는 현행 근거로 판단하고 특례는 그 뒤 사업 계획에 반영합니다.

고객 데이터 인공지능 학습 대응 순서

• 데이터 목록 - 학습에 넣을 항목과 수집 당시 동의서·처리방침을 대조합니다.
• 근거 선택 - 목적 범위, 추가적 이용, 가명처리, 동의 가운데 사업별 근거를 정합니다.
• 정제 - 민감정보와 주민등록번호를 걸러 내고 필요하면 가명처리합니다.
• 기록과 공개 - 추가적 이용 판단 기준과 가명정보 처리 기록을 작성하고 처리방침을 고칩니다.
• 요구 대응 - 고객의 열람·처리정지 요구에 응할 절차를 정해 둡니다.

여기까지는 일반 기준이고, 데이터에 무엇이 들어 있는지와 학습 결과물을 누가 쓰는지에 따라 필요한 근거가 달라집니다. 법무법인 윤성은 인공지능 학습 데이터의 적법 근거 검토와 개인정보 처리방침 정비를 수행합니다.

이 상황에서 자주 묻는 것

• 고객 상담 기록으로 상담 챗봇을 학습시켜도 되나요?
  상담 품질을 높이려는 학습은 「고객 상담」이라는 당초 목적의 범위로 볼 수 있고, 조금 넘더라도 합리적으로 관련되면 동의 없이 추가로 이용할 수 있습니다. 다만 관련성·예측 가능성·이익 침해·안전조치를 따져 기록해 둡니다.
• 추가적 이용을 하면 처리방침도 고쳐야 하나요?
  학습처럼 추가적 이용이 계속된다면 네 가지 고려사항에 대한 판단 기준을 개인정보 처리방침에 공개하고, 개인정보 보호책임자가 그 기준대로 하고 있는지 점검해야 합니다. 한 번만 쓰고 끝나는 경우와 구분해 관리합니다.
• 가명처리하면 다른 사업용 인공지능에도 동의 없이 쓸 수 있나요?
  통계작성, 과학적 연구, 공익적 기록보존 등을 위해서는 가명정보를 동의 없이 처리할 수 있고, 과학적 연구에는 기술 개발과 민간 투자 연구도 들어갑니다. 추가 정보 분리 보관과 처리 기록 작성 의무가 따릅니다.
• 고객이 가명처리를 멈춰 달라고 하면 따라야 하나요?
  대법원은 가명처리 자체는 정보주체가 처리정지를 요구할 수 있는 개인정보 「처리」에 해당하지 않는다고 보았습니다. 다만 가명처리한 뒤의 이용 목적과 방식이 적법한지는 따로 따져야 합니다.
• 인터넷에 공개된 글을 모아 학습시켜도 되나요?
  동의가 없으면 정당한 이익 조항을 근거로 검토합니다. 회사 이익을 위해 필요하고, 그 이익이 정보주체 권리보다 명백하게 우선하며, 합리적 범위를 넘지 않아야 합니다. 관계없는 정보는 빼고 삭제 요청 창구를 둡니다.
• 2027년 인공지능 개발 특례가 시행되면 무엇이 달라지나요?
  익명·가명처리로는 개발이 어려운 경우 안전장치를 갖추고 개인정보보호위원회 심의·의결을 거치면 적법하게 수집한 개인정보를 목적 외로 쓸 수 있습니다. 2027. 3. 9. 시행 예정이고 세부 기준은 시행령으로 정합니다.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 통신사에 내 개인정보 가명처리를 멈춰 달라고 요구할 수 있나요?
• 공개된 내 정보로 교수 평가 사이트가 영업하면 위자료를 받을 수 있나요?
• 인터넷쇼핑몰은 고객 개인정보를 모을 때 무엇을 알리고 동의받아야 하나요?
• 헬스장 지문 출입 정보나 회원 병력도 개인정보 보호법이 보호하나요?
• 보험설계사가 고객 정보를 다른 용도로 쓰면 개인정보처리자 위반인가요?
• 직원 3명인 소규모 쇼핑몰도 개인정보 보호책임자를 따로 지정해야 하나요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기