GDPR과 빅데이터는 양립 불가능한 것은 아니지만, 많은 조직이 미루는 선택을 강요합니다. 대규모 데이터 세트를 수집하거나 재사용하기 전에, 그렇게 하는 법적 근거를 명확히 제시하고 해당 처리가 그 목적에 필수적임을 입증해야 합니다. 실제로 이는 GDPR 제6조에 따른 근거를 문서화하고, 알고리즘 학습을 위한 후속 사용이 데이터의 원래 수집 목적과 부합하는지 여부를 검토하며, 첫 번째 모델을 구축하기 전에 위험을 평가하는 것을 의미합니다. 이 글에서는 네덜란드에서 대규모 분석 및 AI 학습에 이러한 규칙이 어떻게 적용되는지, 그리고 네덜란드 개인정보보호청(Autoriteit Persoonsgegevens)이 어디까지 허용 범위를 설정하는지 설명합니다.
빅데이터 세트에서 개인 데이터로 간주되는 것은 무엇일까요?
GDPR은 식별되었거나 식별 가능한 자연인과 관련된 정보에 적용됩니다. 빅데이터 환경에서는 조직이 예상하는 것보다 훨씬 더 자주 이러한 기준을 넘어서게 되는데, 이는 식별 가능성이 데이터 관리자 또는 다른 누군가가 특정인을 식별하는 데 합리적으로 사용할 가능성이 있는 모든 수단을 기준으로 평가되기 때문입니다. 따라서 기기 식별자, 위치 추적, 거래 기록 또는 클릭 스트림 데이터 세트는 이름이 한 열에 나타나지 않더라도 거의 항상 개인 데이터에 해당합니다.
두 가지 개념이 자주 혼동되는데, 이 차이에 따라 규정 적용 여부가 결정됩니다. 식별자는 대체되었지만 핵심 정보가 어딘가에 여전히 존재하는 가명 처리된 데이터는 개인 데이터로 간주되어 GDPR의 적용을 받습니다. 반면, 누구도 합리적으로 재식별할 수 없는 익명화된 데이터는 GDPR의 적용을 받지 않습니다. 진정한 익명화의 기준은 높습니다. 데이터 집계, 해싱 또는 직접 식별자 제거는 일반적으로 특정 당사자가 개인을 재식별할 수 있을 만큼의 흔적을 남기기 때문에, 특히 데이터 세트가 방대하고 장기간에 걸쳐 수집된 경우 더욱 그렇습니다.
이는 데이터셋이 익명이라는 주장이 전체 AI 프로그램의 핵심 전제인 경우가 많기 때문에 중요합니다. 만약 이 전제가 무너지면, 학습 실행부터 보존 일정에 이르기까지 모든 후속 단계가 법적 근거 없이 수행된 것이 됩니다. 더 안전한 접근 방식은 문서화된 재식별 분석에서 달리 명시되지 않는 한 데이터셋을 개인 데이터로 취급하고, 데이터셋이 보강되거나 다른 데이터셋과 결합될 때 해당 분석을 재검토하는 것입니다. 유럽 데이터 보호 위원회(EDP)는 AI 모델 자체가 언제 익명으로 간주될 수 있는지에 대해서도 논의했으며, 그 결론은 익명이라고 가정할 수 없다는 것입니다. 개인 데이터로 학습된 모델이라도 추출 가능한 형태로 해당 데이터를 포함할 수 있으므로 사례별로 평가해야 합니다.
빅데이터 및 AI 학습을 위한 법적 근거 선택
모든 처리 작업에는 제6조에 명시된 6가지 근거 중 하나가 필요하며, 해당 근거는 처리 시작 전에 선택되어야 하고 사후에 재구성되어서는 안 됩니다. 대규모 분석의 경우, 현실적으로 가능한 근거는 3가지뿐입니다.
동의는 이론적으로는 가장 깔끔하지만 실제로는 가장 취약합니다. 동의는 자유롭게 주어져야 하고, 구체적이어야 하며, 충분한 정보를 바탕으로 명확해야 하고, 동의를 철회하는 것도 동의를 주는 것만큼 쉬워야 합니다. 일반적인 용어로 묶여 있거나, 데이터가 필요하지 않은 서비스를 제공하는 조건으로 얻어졌거나, 너무 포괄적이어서 개인이 무엇에 동의하는지 알 수 없는 동의는 효력이 없습니다. 동의가 철회될 경우, 이미 학습된 모델이 어떻게 처리되는지에 대한 기술적인 해답이 필요합니다.
계약 이행의 필요성이라는 기준은 겉보기보다 훨씬 좁습니다. 핵심은 상업적 유용성이 아니라 개인이 실제로 요청한 서비스에 대한 객관적인 필요성입니다. 추천 엔진 개선을 위해 고객 프로파일링을 하는 것은 일반적으로 고객이 구매한 제품 제공에 필수적인 것이 아니며, 유럽사법재판소는 행동 기반 광고 및 개인화에까지 이 기준을 확대 적용하려는 시도를 여러 차례 기각해 왔습니다.
그렇다면 남은 것은 정당한 이익인데, 이는 대부분의 대규모 데이터 처리가 의존해야 하는 근거입니다. 정당한 이익을 입증하려면 다음 세 단계를 순서대로 거쳐야 합니다. 첫째, 실질적이고 합법적인 이익을 확인해야 합니다. 둘째, 해당 이익을 달성하는 데 있어 덜 침해적인 방법이 없으므로 데이터 처리가 필수적임을 입증해야 합니다. 셋째, 해당 이익과 관련 당사자의 권리 및 합리적인 기대 사이의 균형을 평가해야 합니다. 네덜란드 테니스 협회와 관련된 네덜란드 법원의 사건에서 유럽사법재판소는 2024년 순수 상업적 이익도 정당한 이익으로 인정될 수 있지만, 필요성과 균형 기준이 진정으로 충족되어야 한다고 판시했습니다. 따라서 상업적 가치는 허용 가능한 이익이지, 허가는 아닙니다.
특수 범주 및 추론된 특성
인종 또는 민족적 기원, 정치적 견해, 종교적 신념, 노동조합 가입 여부, 건강 상태, 성생활 또는 성적 지향을 드러내는 데이터와 신원 확인에 사용되는 유전 및 생체 인식 데이터는 제9조에 명시된 몇 가지 예외 사항에 해당하지 않는 한 처리될 수 없습니다. 명시적 동의가 일반적인 방법이며, 다른 예외 사항들은 상업적 데이터 세트에 적용되는 경우가 드뭅니다.
빅데이터의 함정은 특수 범주 데이터를 의도적으로 수집하지 않아도 된다는 점입니다. 구매 패턴, 위치 기록 또는 자유 입력 필드의 내용 등을 통해 보호 대상 특성을 추론할 수 있는 데이터 세트의 경우, 직접적으로 질문한 사람이 없더라도 해당 데이터 처리에 대해 더욱 엄격한 규제가 적용됩니다. 보호 대상 특성을 대리하는 모델 특징은 불만 제기 후가 아니라 개발 단계에서 식별해야 합니다.
목적 제한: 모델 학습에 데이터를 재사용할 수 있습니까?
가능은 하지만 자동으로 되는 것은 아닙니다. GDPR은 개인 데이터가 명확하고 합법적인 특정 목적을 위해서만 수집되어야 하며, 해당 목적과 양립할 수 없는 방식으로 추가 처리되어서는 안 된다고 규정하고 있습니다. 주문 처리, 고객 지원 또는 사기 방지를 위해 수집된 데이터를 기반으로 알고리즘을 학습시키는 것은 추가 처리 작업에 해당하며, 규정에서 정한 적합성 테스트를 통과하는 경우에만 합법적입니다.
해당 테스트는 단순한 형식적인 절차가 아닙니다. 이 테스트는 원래 목적과 새로운 목적 간의 연관성, 데이터 수집 맥락 및 그 맥락에서 개인이 합리적으로 기대할 수 있는 사항, 데이터의 성격 및 특수 범주 관련 여부, 새로운 처리 방식의 잠재적 결과, 그리고 가명화 또는 암호화와 같은 보호 조치의 존재 여부를 묻습니다. 의료 기록이나 금융 기록 데이터 세트는 이 테스트를 통과하지 못하지만, 익명화된 운영 로그 데이터 세트는 통과할 것입니다.
지름길이 하나 있긴 하지만, 일반적으로 생각하는 것보다 훨씬 좁습니다. 공익을 위한 아카이빙, 과학적 또는 역사적 연구, 혹은 통계적 목적을 위한 추가 처리는 연구 처리에 필요한 안전장치가 마련되어 있다면 적합한 것으로 간주됩니다. 상업적 모델 개발을 연구로 위장하는 것은 이에 해당하지 않습니다. 예외는 제품 개선이 아닌, 방법론적 및 윤리적 기준을 준수하는 진정한 연구에만 적용됩니다. 적합성 기준을 충족하지 못하는 경우에는 새로운 법적 근거가 필요하며, 대부분의 경우 관련 당사자에게 새로운 정보를 제공해야 합니다.
실질적으로는 수집 시점에 목적 제한을 명확히 해야 합니다. 목적을 모호하게 설명하여 의미가 없어지는 개인정보 처리방침은 나중에 실시되는 학습 테스트에서 문제가 될 수 있습니다. 테스트는 개인정보가 합리적으로 기대할 수 있는 내용을 기준으로 하지, 기술적으로 허용되는 내용을 기준으로 하지 않기 때문입니다. 네덜란드 개인정보 처리방침 작성 가이드에서는 정직하면서도 유용하게 목적을 설명하는 방법을 안내합니다.
모델이 모든 것을 원할 때 최소화, 유지 및 정확성
데이터 최소화 원칙은 개인 데이터가 적절하고 관련성이 있으며 필요한 범위로 제한되어야 함을 요구합니다. 이 원칙은 데이터가 많을수록 더 나은 모델을 만든다는 개발 방법론과 진정으로 상충하며, 이 상충 관계는 이를 무시하는 것으로는 해결할 수 없습니다. 해결할 수 있는 방법은 문서화된 논리를 제시하는 것입니다. 즉, 명시된 목적에 필요한 필드는 무엇이며, 해당 필드 없이 어떤 테스트를 진행했는지, 그리고 나머지 필드는 왜 폐기되었는지를 명확히 제시해야 합니다. 이러한 분석을 통해 데이터셋 규모가 크더라도 타당한 근거를 제시할 수 있는 데이터 관리자는 정당성을 확보할 수 있습니다. 반면, 단순히 저장 비용이 저렴하다는 이유로 모든 데이터를 보관하는 데이터 관리자는 정당성을 확보할 수 없습니다.
저장 용량 제한은 시간이 지남에 따라 동일한 문제를 야기합니다. 학습 데이터, 특징 저장소, 모델 체크포인트 및 추론 로그는 모두 보존 의무에 해당하며, 각각 목적에 맞는 보존 기간이 필요합니다. 추론 로그는 자주 잊혀지며, 학습 데이터 세트보다 더 많은 개인 정보를 포함하는 경우가 많습니다.
정확성은 이러한 맥락에서 가장 자주 간과되는 원칙이며, 간과하기 쉬운 법적 중요성을 지닙니다. 개인 데이터는 정확해야 하며, 필요한 경우 최신 상태로 유지되어야 하고, 개인은 정정할 권리가 있습니다. 모델이 식별 가능한 개인에 대한 결과를 도출하는 경우, 그 결과 자체는 개인 데이터에 해당합니다. 누군가가 신용 위험이 높거나, 사기 가능성이 높거나, 부적합한 후보자라는 추론은 그 사람에 대한 데이터이며, 부정확할 수 있고 이의를 제기할 수 있습니다. 이러한 결과를 수정할 수 없는 시스템을 구축하는 것은 어떤 문서화로도 해결할 수 없는 규정 준수 문제를 야기합니다.
데이터 보호 영향 평가가 의무적인 경우
개인정보보호 영향평가는 특정 유형의 데이터 처리가 개인의 권리와 자유에 심각한 위험을 초래할 가능성이 있는 경우 의무적으로 수행해야 하며, 규정에서는 특히 다음 세 가지 경우를 명시하고 있습니다. 첫째, 프로파일링을 포함한 자동화된 처리를 기반으로 개인의 특성을 체계적이고 광범위하게 평가하여 법적 또는 이와 유사하게 중대한 영향을 미치는 결정을 내리는 경우; 둘째, 특수 범주 데이터 또는 형사 유죄 판결 데이터를 대규모로 처리하는 경우; 셋째, 공개적으로 접근 가능한 영역을 대규모로 체계적으로 모니터링하는 경우입니다. 대부분의 중요한 빅데이터 프로젝트는 첫 번째 또는 두 번째 경우에 해당합니다.
네덜란드 개인정보보호청(Autoriteit Persoonsgegevens)은 대규모 프로파일링, 직원 체계적 평가, 건강 데이터 플랫폼, 카메라 시스템 사용 등 네덜란드에서 항상 평가가 필요한 처리 작업 목록을 발표했습니다. 이 목록은 프로젝트 시작 시 가장 먼저 참조해야 할 문서로, 평가 필요 여부에 대한 논쟁을 없애줍니다.
시기와 관련하여 두 가지 중요한 점이 있습니다. 평가는 데이터 처리가 시작되기 전에, 즉 AI 프로젝트의 경우 배포 전이 아니라 학습 데이터 수집 전에 이루어져야 합니다. 또한 평가 결과 완화할 수 없는 높은 잔여 위험이 발견될 경우, 진행하기 전에 감독 당국과 협의해야 합니다. 이러한 협의를 생략하는 것 자체가 데이터 처리가 합법적인지 여부와 관계없이 규정 위반입니다.
알고리즘 시스템에 대한 유용한 평가는 표준 템플릿을 넘어서야 합니다. 모델에 입력되는 데이터 소스와 그 근거, 모델이 스스로 결정할 수 있는 사항과 사람이 결정하는 사항, 영향을 받는 사람에게 출력 결과를 설명하는 방식, 훈련 데이터가 보호 대상 집단에 대한 편향성을 검사하는 방법, 그리고 모델이 오류를 범했을 때 발생하는 상황 등을 기록해야 합니다. 이러한 질문들은 규제 기관이 가장 먼저 묻는 질문들입니다.
Autoriteit Persoonsgegevens가 이를 시행하는 방법
네덜란드의 감독 기관은 개인정보보호청(Autoriteit Persoonsgegevens, AVG)이며, 이 기관은 GDPR과 시행법을 함께 집행합니다. AVG의 권한은 경고 및 질책부터 벌금 부과 명령, 개인정보 처리의 일시적 또는 영구적 금지, 행정 벌금에 이르기까지 다양합니다. 규정은 벌금 상한선을 다음과 같이 설정합니다. 낮은 위반의 경우 최대 1천만 유로 또는 전 세계 연간 총 매출액의 2%, 기본 원칙, 법적 근거, 정보 주체의 권리 및 국제 데이터 전송 규칙 위반의 경우 최대 2천만 유로 또는 총 매출액의 4% 중 더 높은 금액입니다.
네덜란드에서는 두 가지 주요 집행 방향이 눈에 띄는데, 둘 다 빅데이터와 직접적인 관련이 있습니다. 첫 번째는 투명성입니다. 최근 조치의 상당 부분은 어떤 데이터가 어떤 목적으로 얼마나 오랫동안 사용되는지 명확하게 설명하지 않은 개인정보 보호 정책과 관련이 있습니다. 모호한 목적 설명은 단순한 작성상의 결함이 아니라 그 자체로 위반 행위로 간주됩니다. 두 번째는 알고리즘 감독입니다. 당국은 알고리즘 감독 전담 부서를 두고 있으며, 알고리즘 위험에 대한 정기 보고서를 발표합니다. 이 보고서는 당국이 조사 대상이 되기 전에 기대하는 바를 명확히 보여주는 자료이므로 읽어볼 가치가 있습니다.
법 집행과 더불어 개인정보 유출 신고 의무도 존재합니다. 개인정보 유출은 지체 없이, 가능하면 유출 사실을 인지한 후 72시간 이내에 당국에 신고해야 합니다. 단, 유출로 인해 개인에게 위험이 발생할 가능성이 낮은 경우는 예외입니다. 개인에게 심각한 위험이 발생할 경우에는 해당 개인에게도 알려야 합니다. 인공지능(AI) 환경에서는 학습 데이터셋이나 특징 저장소가 손상될 경우 해당 데이터의 모든 사용자에게 영향을 미치고, 그 결과는 모델이 내린 모든 결정에까지 미치기 때문에 평가가 더욱 어려워집니다. 이는 2026년 8월 15일부터 시행된 네덜란드 사이버보안법(Cyberbeveiligingswet, NIS2의 네덜란드 시행법)에 따른 사고 보고 의무와는 별개입니다. 네덜란드 사이버보안법은 적용 대상 기업에 대해 24시간 및 72시간의 신고 기한을 규정하고 있습니다. NIS2와 네덜란드 사이버보안법 에 대한 개요에서 두 법률 체계가 어떻게 상호 작용하는지 자세히 설명합니다.
인공지능법은 GDPR을 대체하는 것이 아닙니다.
EU 인공지능법은 AI 시스템을 제품으로 규제하며, 위험도에 따라 분류하고 제공업체와 배포자에게 의무를 부과합니다. 이 법은 개인 데이터 처리에 대한 법적 근거를 제공하지 않으며, 이 법을 준수한다고 해서 GDPR을 준수해야 하는 것은 아닙니다. AI 시스템이 개인 데이터를 처리하는 경우, 두 법규가 모두 완전하고 병행적으로 적용됩니다.
계획 수립에 있어 일정은 중요합니다. 용납할 수 없는 관행 금지, 범용 AI 모델에 대한 의무, 사람과 상호 작용하거나 합성 콘텐츠를 생성하는 시스템에 대한 투명성 의무는 이미 시행 중입니다. 고위험 시스템에 대한 규제는 디지털 종합 법안에 의해 연기되었으며, 부록 III에 나열된 고위험 시스템에 대한 의무는 2027년 12월 2일부터, 부록 I에 따라 규제 대상 제품의 안전 구성 요소인 시스템에 대한 의무는 2028년 8월 2일부터 적용됩니다. AI 책임 지침에 대한 별도 제안은 철회되었으므로 AI 시스템으로 인한 손해 배상 책임은 네덜란드의 일반 계약 및 불법 행위 관련 법률과 유럽 제품 책임 제도에 따라 계속해서 규정됩니다.
데이터 중심 조직의 경우, 실질적인 결과는 GDPR 분석이 현재 구속력 있는 제약 조건으로 남아 있는 반면, AI법은 동일한 시스템에 대해 2020년대 말까지 필요한 문서화, 테스트 및 인적 감독 사항을 규정한다는 것입니다. 두 가지 작업을 별도로 수행하면 작업량이 중복되지만, 함께 수행하면 그렇지 않습니다. EU AI법 및 고위험 AI 시스템 에 대한 가이드에서 분류 및 의무 사항을 자세히 설명하고 있습니다.
집단 소송 및 손해 배상: 위험의 민사적 측면
규제 벌금만이 유일한 위험 요소는 아니며, 네덜란드에서는 벌금이 가장 큰 위험 요소도 아닐 수 있습니다. 집단 소송을 통한 집단 피해 배상 청구법(WAMCA)은 엄격한 지배구조 및 자금 요건을 충족하는 재단이나 협회가 특정 집단을 대표하여 손해 배상을 청구할 수 있도록 허용하며, 네덜란드 거주자는 소송 대상에서 제외될 수 있는 선택권을 제공합니다. 데이터 기반 처리는 이러한 소송의 명확한 대상입니다. 단 하나의 설계 결정이 모든 사용자에게 동일한 방식으로 영향을 미치기 때문에, 집단 소송에 필요한 동질성이 확보되기 때문입니다.
GDPR은 이러한 점을 자체적으로 강화합니다. GDPR은 개인정보 침해로 인해 물질적 또는 비물질적 손해를 입은 모든 사람에게 데이터 관리자 또는 처리자로부터 보상을 받을 권리를 부여하며, 데이터 보호 분야에서 활동하는 비영리 단체가 데이터 주체를 대신하여 소송을 제기할 수 있도록 허용합니다. 경우에 따라서는 데이터 주체의 위임 없이도 소송을 진행할 수 있습니다. 유럽사법재판소는 소비자 보호 단체가 이러한 근거로 소송을 제기할 수 있음을 확인했습니다.
배상액에는 한계가 있으며, 이는 피고에게 유용한 기준이 됩니다. 유럽사법재판소는 GDPR 위반 자체만으로는 배상 청구권이 발생하지 않는다고 판시했습니다. 청구인은 실제 손해와 인과관계를 입증해야 하며, 다만 비물질적 손해의 경우에는 일단 입증되면 심각성 기준이 적용되지 않습니다. 따라서 네덜란드에서는 개별 배상액이 비교적 적은 편이지만, 수십만 명에 달하는 집단 소송의 경우에는 상황이 완전히 달라집니다. 대규모 손해에 대한 집단 소송 절차에 관한 저희 기사에서 이러한 소송이 어떻게 진행되는지 자세히 설명합니다.
데이터가 사방에서 쏟아져 들어올 때 누가 통제권을 쥐고 있는 걸까요?
빅데이터 프로젝트는 드물게 하나의 조직 내에만 머무르지 않습니다. 데이터는 브로커를 통해 보강되고, 클라우드 제공업체에서 호스팅되며, 분석 기관에서 정제되고, 공급업체가 제공하는 모델에 입력됩니다. 이러한 각 관계의 특성을 정확하게 파악하는 것이 중요한데, 역할 분담을 통해 누가 어떤 책임을 지고 누가 규제 기관에 보고해야 하는지가 결정되기 때문입니다.
데이터 처리자는 데이터 처리의 목적과 수단을 결정하는 주체이며, 데이터 처리자는 데이터 처리자의 문서화된 지시에 따라서만 행동합니다. 둘 이상의 당사자가 공동으로 목적과 수단을 결정하는 경우, 이들은 공동 데이터 처리자가 되며, 특히 정보 제공 및 개인의 요청 처리와 관련하여 각자의 책임을 계약서에 명시해야 합니다. 개인은 어떠한 경우에도 어느 당사자에 대해서든 자신의 권리를 행사할 수 있습니다. 계약서에 사용된 명칭이 결정적인 것은 아닙니다. 중요한 것은 누가 실제로 데이터 처리의 목적과 방법을 결정하는가입니다. 자사 제품 개선을 위해 귀하의 데이터를 사용할 권리를 보유하는 공급업체는 계약서의 명칭과 관계없이, 그 목적에 있어서는 데이터 처리자가 된 것으로 간주됩니다.
인공지능(AI) 관련 계약에서 특히 주의해야 할 두 가지 조항이 있습니다. 첫 번째는 공급업체가 고객 콘텐츠를 교육이나 서비스 개선 목적으로 사용할 수 있도록 허용하는 조항입니다. 이 조항이 있다면, 다른 데이터 관리자에게 개인 정보를 공개하는 것이므로 해당 공개에 대한 근거와 고지가 필요합니다. 두 번째는 하위 처리자 조항입니다. 모델 제공업체는 유럽 경제 지역(EEA) 외부에 있는 다른 공급업체 및 인프라에 의존하는 경우가 많기 때문에 데이터 전송 규칙이 적용됩니다. 필요한 내용을 포함하고 있더라도 데이터가 실제로 어떻게 처리되는지 명시하지 않은 처리 계약은 조사에 거의 도움이 되지 않습니다.
마지막으로, 책임 원칙은 입증 책임을 관리자에게 부과한다는 점을 기억하십시오. 단순히 규정을 준수하는 것만으로는 충분하지 않습니다. 실제 구축된 시스템과 일치하는 기록, 평가 및 계약을 통해 이를 입증할 수 있어야 합니다.
다음 프로젝트 시작 전에 준비해야 할 사항
빅데이터 관련 규정 준수는 설계 단계에서부터 이루어져야 합니다. 규정상 데이터 보호는 설계 단계부터 기본적으로 고려되어야 하기 때문입니다. 즉, 적절한 기술적 및 조직적 조치가 데이터 처리 자체에 통합되어야 하며, 각 특정 목적에 필요한 개인 데이터만 기본적으로 처리되어야 합니다. 사후 조치는 비용이 많이 들고 대개 불완전합니다.
실제로 중요한 다섯 가지 사항은 다음과 같습니다. 첫째, 각 모델을 소유한 부서가 아닌, 모델의 데이터 흐름을 실제로 설명하는 처리 활동 기록을 유지하십시오. 둘째, 교육에 수반되는 추가 처리를 포함하여 각 처리 작업에 대한 법적 근거를 결정하고 문서화하며, 정당한 이익 평가 결과도 함께 보관하십시오. 셋째, 데이터 수집 전에 영향 평가를 수행하고, 잔여 위험이 높은 경우 감독 기관과 협의하십시오. 넷째, 모델 또는 플랫폼 제공업체를 포함하여 데이터에 접근하는 모든 공급업체와 데이터 처리 계약을 체결하고, 해당 공급업체가 자체 목적으로 데이터를 어떻게 사용할 수 있는지 확인하십시오. 필요한 요건은 데이터 처리 계약 가이드에 명시되어 있습니다 . 다섯째, 데이터가 어디로 전송되는지 확인하십시오. 유럽 경제 지역(EEA) 외부로의 전송에는 규정 제5장에 따른 전송 메커니즘과 전송 영향 평가가 필요하며, 개별 제3국의 입장은 변경될 수 있습니다.
무엇보다 중요한 것은 모델을 구축하는 사람과 위험을 평가하는 사람이 동일한 문서를 기반으로 작업하도록 하는 것입니다. 규정 자체의 기본 원칙은 일반 데이터 보호 규정(GDPR) 개요에서 요약되어 있으며, 자동화된 의사 결정부터 영향을 받는 사람들의 권리에 이르기까지 개인 데이터를 AI 시스템에 입력할 때 발생하는 구체적인 문제는 네덜란드의 GDPR 및 AI 관련 기사에서 다루고 있습니다.
자주 묻는 질문 몇 가지
인공지능 모델 학습에 어떤 법적 근거를 사용해야 할까요?
대부분의 상업적 환경에서 해답은 정당한 이익이며, 이는 이익, 필요성 및 균형 평가를 포함하는 서면 평가로 뒷받침되어야 합니다. 데이터가 민감하거나 데이터 사용 방식이 관련 당사자에게 예상치 못한 경우 동의를 받는 것이 바람직하지만, 동의는 진정으로 자유롭고 철회 가능해야 하며, 이는 학습 데이터 세트의 경우 확보하기 어렵습니다. 계약의 필요성은 모델 개발을 거의 정당화하지 못하는데, 학습은 고객이 요구한 것이 아니기 때문입니다. 어떤 근거를 선택하든 데이터 처리가 시작되기 전에 기록해 두어야 합니다. 사후에 근거를 선택하는 것은 근거가 없는 것으로 간주됩니다.
데이터를 먼저 익명화하면 GDPR이 여전히 적용되나요?
익명화가 진정으로 효과적인 경우에만 해당됩니다. 데이터는 모든 가능한 식별 수단과 결합될 수 있는 다른 데이터 세트를 고려했을 때, 누구도 합리적으로 재식별할 수 없을 때 익명화된 것으로 간주됩니다. 이름을 삭제하거나, 식별자를 해시로 대체하거나, 소규모 그룹으로 집계하는 것은 일반적으로 이러한 기준에 미치지 못하며, 결과적으로 가명 처리된 데이터가 되어 규정의 적용을 온전히 받게 됩니다. 익명화를 근거로 프로젝트가 규정 적용 범위에서 제외되는 경우, 해당 결론은 검증 및 문서화되어야 하며, 데이터 세트가 변경될 때마다 재검토되어야 합니다.
고객 데이터 재사용을 위해 연구 예외 조항에 의존할 수 있을까요?
드물게 허용됩니다. 과학적 또는 통계적 목적을 위한 추가 처리는 원래 목적과 양립 가능한 것으로 간주되지만, 예외는 인정된 방법론적 기준에 따라 수행되고 가명화 및 접근 제한과 같은 안전장치가 적용되는 연구에만 해당됩니다. 상업적 주체가 자사의 이익을 위해 수행하는 제품 개발이나 모델 개선은 데이터 과학을 활용한다는 이유만으로 연구로 간주되지 않습니다. 적합성 기준이 자체적으로 충족되지 않는 경우, 새로운 법적 근거가 필요하며, 대부분의 경우 관련 개인에게 새로운 정보를 제공해야 합니다.
모델 학습이 완료된 후 누군가가 동의를 철회하면 어떻게 될까요?
철회는 장래에 효력이 발생하며 이전의 데이터 처리를 소급하여 불법으로 만들지는 않지만, 해당 데이터가 더 이상 그 근거로 사용될 수 없음을 의미합니다. 실질적으로 이는 학습 데이터 세트, 특징 저장소 및 로그에서 해당 개인을 제거하고, 모델이 더 이상 해당 개인의 데이터를 반영하지 않도록 재학습하거나 다른 방법으로 조치를 취할 수 있어야 함을 의미합니다. 이것이 바로 동의를 모델 학습의 근거로 삼기 어려운 이유 중 하나이며, 첫 번째 요청이 들어온 후가 아니라 설계 단계에서 이 문제를 해결하는 것이 중요합니다.
방법 Law and More 도움이 될 수 있습니다
Law and More 네덜란드 및 해외 기관에 분석 및 AI 관련 데이터 보호 자문을 제공합니다. 적법한 근거 선정 및 문서화, 정당한 이익 평가 및 영향 평가 수행, 철저한 검토를 통과할 수 있는 개인정보 보호 정책 및 처리 계약서 작성, 네덜란드 개인정보보호청(Autoriteit Persoonsgegevens)의 질의응답, 개인 또는 재단 대표가 제기하는 소송 방어 등을 지원합니다. 데이터 기반 프로젝트를 계획 중이시거나 규제 기관으로부터 연락을 받으셨다면, 저희와 함께 관련 자료를 검토해 보시기 바랍니다.
