AI 시대 프라이버시 법의 한계: 동의 중심 규제에서 데이터 피해 책임으로, 옥스퍼드 AI 윤리연구소 대담

핵심 메시지

• 프라이버시를 ‘내 정보에 대한 통제권’으로 정의하면 많은 사람이 관심 없다고 답하지만, ‘데이터로 인한 피해를 막는 일’로 바꿔 물으면 차별·신원 도용·조작·착취를 막고 싶다고 답한다.
• 오늘날 데이터 피해는 개인의 선택으로 끊어낼 수 없는 관계적 성격을 띤다. 23앤드미 사례처럼 유전 정보는 본인이 동의하지 않은 친족의 정보까지 함께 노출한다.
• 약관 동의는 법적으로는 ‘합의’일 뿐 진짜 동의가 되기 어렵다. ‘제3자와 데이터를 공유한다’는 한 문장이 안전한 서버 위탁부터 데이터 브로커 판매까지 전혀 다른 위험을 덮는다.
• 현행 체계에서는 모두가 손해를 본다. 이용자는 쿠키 배너에 시달리면서도 보호받지 못하고, 기업은 규모와 무관하게 고정적인 준수 비용을 치러 신규 진입이 막힌다.
• 대안은 데이터 ‘수집 방식’ 규제를 줄이고 ‘사용’에 책임을 묻는 것이다. 타인의 정보를 이용해 사적 이익을 얻고 피해를 입혔다면 배상 책임을 지우는 조항 하나가 큰 변화를 만든다.

쉽게 이해하기

옥스퍼드대 AI 윤리연구소의 팟캐스트 ‘Accelerating AI Ethics’에서 캐롤라인 그린 박사가 같은 연구소의 AI 법·규제 담당 교수 이그나시오 코포네를 만나 그의 책 『프라이버시 오류(The Privacy Fallacy)』를 놓고 대담했다. 그는 프라이버시와 데이터 보호를 쓰다 보니 AI를 다루지 않을 수 없었고, 지난 수십 년간 데이터 규제에서 저지른 실수가 AI 규제에 그대로 교훈이 된다고 말한다.

그가 문제 삼는 것은 프라이버시를 ‘개인정보에 대한 통제’로 정의해 온 관행이다. 이렇게 정의하면 데이터를 사회적 편익에 쓰거나 그 대가로 편리한 서비스를 얻는 사람들은 굳이 통제할 이유를 못 느끼고, 결국 ‘나는 프라이버시에 관심 없다’고 답하게 된다. 반대로 차별받지 않을 것, 신원을 도용당하지 않을 것, 조작된 여론 속에서 투표하지 않을 것, 괴롭힘과 착취를 당하지 않을 것을 묻는다면 대부분이 강하게 원한다는 것이다.

데이터 피해가 개인의 선택 문제가 아니라는 점도 강조된다. 유전자 검사 업체 23앤드미가 해킹당하고 파산에 이르렀을 때, 유출된 것은 검체를 보낸 사람들의 정보만이 아니었다. 유전 정보는 본질적으로 가족과 공유되기 때문에 동의한 적 없는 친족의 확률적 정보까지 함께 넘어갔다. 소셜 미디어 앱이 설치 직후 몇 분 만에 취향을 맞히는 것도 같은 원리로, 다른 이용자들이 남긴 정보로 나를 추정하기 때문이다.

그래서 코포네는 ‘동의’라는 장치 자체를 신뢰하지 않는다. 사회·경제 활동에 필요한 모든 서비스의 개인정보 처리방침을 매번 끝까지 읽는 것은 불가능하고, 읽더라도 법을 모르는 사람에게는 위험을 알려주지 않는 기술적 문장뿐이다. 게다가 위험한 것은 우리가 직접 밝힌 데이터보다 그것을 모아 만든 추론이다. 링크드인의 ‘좋아요’ 하나는 무해하지만 수백만 개가 다른 사람들의 경향과 결합하면 민감한 정보가 된다.

대안으로 그가 제시하는 것은 ‘피해 책임(harm liability)’이다. 기업이 타인의 정보를 그 사람에게 불리하게 사용하거나 알려진 위험에 노출시켜 사적 이익을 얻었다면 그 피해에 책임을 지도록 하는 조항이면 충분하다는 것이다. 그러면 동의 절차라는 형식을 어겼는지가 아니라 데이터를 어떻게 썼는지가 규제의 초점이 된다. 나아가 그는 ‘규제 대 혁신’이라는 구도 자체가 잘못됐다고 말한다. 지식재산권도 계약법도 재산법도 모두 규제이며 오히려 혁신을 가능하게 해왔고, 유럽이 AI법을 손보는 상황도 ‘너무 많이 규제했다’가 아니라 ‘규제의 방식이 적절하지 않았다’로 읽는 편이 낫다는 것이 그의 결론이다.

주요 인사이트

• ‘숨길 게 없으면 괜찮다’는 논리는 성립하지 않는다. 눈에 보이지 않는 장애를 가진 동료가 악의적으로 폭로돼 해고됐다면, 부당해고를 바로잡아도 정보를 이용당한 잘못 자체는 남는다. 코포네는 이 눈에 보이지 않는 잘못을 무시하는 것이 바로 ‘프라이버시 오류’라고 부른다.
• 위험 없는 데이터와 위험한 데이터를 나누던 분류법이 무너졌다. 가장 무해해 보이는 데이터도 집계와 확률적 추론을 거치면 민감한 결론을 만들어내기 때문에, 데이터의 종류가 아니라 쓰임새를 봐야 한다.
• 코로나19 접촉자 추적 앱을 둘러싼 ‘프라이버시냐 공중보건이냐’ 논쟁은 거짓 양자택일이었다. 방역에 필요한 정보만 모으고 그것을 사람에게 불리하게 쓰지 않도록 설계했다면 프라이버시 피해 자체가 발생하지 않았을 것이라는 지적이다.
• 규제 비용의 상당 부분은 데이터 관행이 안전하든 아니든 똑같이 드는 고정비다. 안전한 기업의 비용을 낮추고 위험한 기업의 비용을 높이는 구조로 바꿔야 윤리적 투자에도 보상이 돌아간다.
• ‘빠르게 움직이고 부수라’는 구호에 도덕적으로 분개하는 데서 그치지 말고, 부순 것의 값을 치르게 만들면 기업의 계산 자체가 달라진다는 것이 그의 제안이다.

자주 묻는 질문

관련 AI 소식