2026년 11월 12일, 이베로아메리카 개인정보보호 네트워크(RIPD)는 'AI 시스템에서의 개인정보 이용에 관한 이베로아메리카 기준'을 만장일치로 채택했고, 스페인 개인정보보호청(AEPD)이 당일 이를 발표했다. 이 문서는 라틴아메리카, 스페인, 포르투갈의 6억 명 이상을 대상으로 하며, AI 환경에서 개인정보 보호를 체계적으로 규정한 세계 최초의 국제 문서다. 새로운 법을 만드는 것은 아니지만, 각국 개인정보보호 당국이 AI에 대해 공유하는 입장을 항목별로 대조할 수 있는 문서로 만들었다.
공개 데이터는 무료 학습 자료가 아니다
가장 직접적인 규칙은 이렇다. 개인정보가 인터넷에 공개돼 있다고 해서 AI 학습에 써도 되는 것은 아니다. 사용하려면 법적 근거가 필요하고, 당사자가 공개할 당시 합리적으로 예상할 수 있었던 범위도 고려해야 한다. 인터넷에서 볼 수 있는 게시물, 이력서, 사진이 자동으로 학습 데이터가 되는 것은 아니다. AI가 추론한 데이터도 개인정보다. 시스템이 겉보기에 중립적인 정보에서 건강 상태, 정치적 성향, 성적 지향을 추론한다면 민감정보로서 강화된 보호를 받아야 하며, 추론에는 불확실성이 따르므로 추측을 확정된 결론으로 다뤄서는 안 된다.
고객 데이터로 모델을 학습시키기 전에, 허가가 있는지부터 묻자
기준은 책임의 연결 고리를 세세하게 나눈다. 공급업체가 고객 데이터를 이용해 자사 모델을 학습시키거나 개선하려면 먼저 충분한 법적 근거가 있어야 하고, 제3자 AI 시스템을 사용한 기업도 책임을 공급업체에 떠넘길 수 없다. 목적과 핵심 수단을 정한 자가 책임을 진다. 투명성도 강화됐다. 페이지 구석에 'AI를 사용합니다'라고 한 줄 적는 것만으로는 정보 제공 의무를 다한 것이 아니며, 기업은 일반인이 이해할 수 있는 말로 시스템의 용도와 결과를 설명해야 하고, 영업비밀은 설명하지 않을 이유가 되지 않는다. 이미 학습된 모델에 대해 개인은 자신의 데이터가 사용됐는지 알 권리, 자동화된 결정에 이의를 제기하고 진정한 인간 개입을 요구할 권리가 있다. AI 제안을 그대로 승인만 하는 심사는 유효한 개입이 아니다. 개인정보를 완전히 삭제할 수 없을 때는 이유를 설명하고 당사자에게 알리며, 해당 데이터를 향후 학습에서 제외해야 한다.
라틴아메리카에서 AI 사업을 한다면, 먼저 이 네 가지를 확인하자
첫째, 학습 데이터 출처를 점검한다. 어떤 데이터가 공개된 인터넷에서 왔는지, 법적 근거가 있는지, 당사자가 공개할 당시 합리적으로 예상할 수 있었던 범위는 무엇인지. 둘째, 공급업체와의 계약을 살펴보고 고객 데이터를 공급업체 자신의 모델 학습에 쓸 수 있는지 확인한다. 명확한 허가가 없으면 먼저 사용을 중단하고 다시 협상한다. 셋째, 자동화된 의사결정 절차를 점검한다. 대출, 채용, 고객 상담 분류에서 인간의 검토가 AI 결론을 실제로 뒤집을 수 있는지, 아니면 형식에 불과한지. 넷째, 개인정보처리방침과 제품 안내를 고쳐 'AI를 무엇에 쓰고, 어떤 결과가 나오는지'를 사용자가 이해할 수 있는 곳에 적는다.
이 기준 자체에는 직접적인 구속력이 없고, 각국 법률과 나란한 새로운 의무를 만들지도 않는다. 각국 규제 당국의 공통된 해석이라는 위치다. 그러나 바로 그 점이 위험이다. 라틴아메리카 각국의 개인정보보호 당국은 법 집행과 입법 과정에서 이 기준을 참고할 것이며, 오늘의 '권고'가 내일의 처벌 근거가 될 수 있다. 적용 범위도 한정돼 있다. 이베로아메리카 회원국만을 대상으로 하며, EU나 미국에는 적용할 수 없고, EU 역내에서는 여전히 GDPR과 AI법이 적용된다. 유럽의 법 집행은 이미 앞서 나가고 있다. Scale AI는 noyb로부터 GDPR 위반 혐의로 고발됐다. 라틴아메리카에서 AI 제품을 전개하는 기업은 각국 입법을 기다릴 것이 아니라, 이 기준을 컴플라이언스 하한선으로 삼아 대조하는 것이 좋다.
