리뷰 답글을 쓰려고 고객이 남긴 문장을 AI 창에 붙여넣는다. 이름과 주문 내역도 같이 들어간다. 답글은 금방 나오지만, 고객 정보까지 AI에 건넸다는 사실은 눈에 잘 띄지 않는다.
AI를 쓰는 것 자체가 문제는 아니다. 문제는 누구인지 알아볼 수 있는 정보를 그대로 넣는 것이다. 이름, 연락처, 주소, 주문번호가 여기에 해당한다.
최종 책임의 자리가 법에 적혔다
9월 11일부터 개정 개인정보 보호법이 시행됐다. 여러 내용이 함께 바뀌었지만 작은 가게가 알아둘 것은 하나다. 사업주·대표자가 개인정보를 안전하게 처리하고 고객의 권리를 지킬 최종 책임자로 법 조문에 적혔다(제30조의3 신설).
이 조항 자체에 벌금이나 과태료가 붙은 것은 아니다. 달라진 것은 책임의 자리다. 직원이 없어도 가게에는 개인정보가 있다. 예약 명단, 배달 주문, 리뷰를 남긴 사람, 단골 연락처가 모두 그것이다.
보호책임자를 따로 두고 이사회 의결과 신고까지 해야 하는 의무는 매출 규모가 큰 기업에 붙는다. 반면 대표자의 최종 책임과 뒤에 나올 유출 통지에는 매출이나 고객 수 기준이 달려 있지 않다. 개인정보보호위원회 자료와 법률 전문가 해설이 같은 설명이다.
AI에 넣는 일도 이 책임 안에 있다
고객 정보를 다루는 일을 외부 서비스에 맡기는 것을 법에서는 처리위탁이라고 부른다. 법무법인 디엘지 황혜진 변호사는 고객의 개인정보를 AI 서비스에 입력하는 행위가 대부분 이 처리위탁에 해당할 가능성이 높다고 설명했다.
규제기관이 확정한 해석은 아니다. 쓰는 서비스의 약관과 정보가 처리되는 방식에 따라 판단이 달라질 수 있다. 다만 처리위탁으로 본다면 서면 계약, 개인정보 처리방침에 그 업체를 적는 일, 해외 서비스라면 국외 이전을 알리는 일까지 따라붙는다. 작은 가게 대부분이 하지 않는 절차다.
유출이 확정되기 전에도 72시간 시계가 돈다
이번 개정에는 유출이 확인되지 않았더라도 객관적으로 유출 가능성이 높다고 판단되면 고객에게 알리도록 한 내용이 들어갔다. 시한은 그 사실을 안 때부터 72시간이다. 이후 사실관계가 확인되면 확인하거나 바로잡는 통지를 다시 보낸다.
고객 정보를 AI에 한 번 넣었다고 곧바로 유출이 되는 것은 아니다. AI에 입력한 경우에 이 기준을 어떻게 적용할지에 대한 규제기관의 구체적 해석도 아직 나오지 않았다. 다만 사장에게는 그 정보가 어디까지 갔는지 확인할 방법이 없다. 확인할 수 없는 것은 처음부터 넣지 않는 편이 낫다.
AI에 일을 맡길 수는 있어도, 고객 정보를 지킬 책임까지 넘길 수는 없다.
과징금 기사와 이 기사는 다른 이야기다
같은 날 나온 보도 대부분은 과징금이 매출의 몇 퍼센트까지 오른다는 내용이었다. 그 상향에는 같은 위반을 3년 안에 되풀이했거나 피해 규모가 대단히 큰 경우 같은 요건이 붙는다. 보호책임자 지정과 신고 의무도 대기업 기준이다.
작은 가게가 오늘 당장 준비할 것은 서류가 아니다. 매일 반복하는 입력 한 번이다.
바꿀 것은 넣기 전에 한 번 지우는 습관이다
지금 할 수 있는 일은 네 가지다.
- 최근 한 달 동안 AI에 붙여넣은 내용에 고객 이름·연락처·주소·주문 내역이 섞여 있었는지 되짚어 본다.
- 쓰고 있는 AI의 설정에서 학습 활용 거부(옵트아웃) 기능과 대화 기록 저장·삭제 설정을 확인한다. 메뉴 위치는 서비스마다 다르고 자주 바뀌므로 설정 화면에서 직접 본다.
- 넣을 때의 규칙을 하나 정한다. 이름은 ‘A 고객’으로 바꾸고 연락처·주소·주문번호는 지운 뒤 넣는다.
- 예약·상담·번역처럼 고객 정보를 다루는 도구를 쓰고 있다면, 개인정보 처리방침에 그 업체가 적혀 있는지 확인한다.
직원이 없는 1인 사업자에게 개인정보 처리방침을 반드시 두어야 하는 의무가 있는지는 이번 취재에서 확정하지 못했다. 개인정보 포털(privacy.go.kr)이나 개인정보 침해 상담(국번 없이 118)에서 확인할 수 있다.
AI를 쓰지 말라는 이야기가 아니다. 새 도구를 들이는 속도만큼 고객을 알아볼 수 없게 만드는 습관도 같이 들이라는 뜻이다. 넣기 전에 한 줄을 지우는 일, 이번에 생긴 책임에 맞는 크기의 대응은 거기서 시작한다.
자료 출처
- 개인정보보호위원회, 개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시 9월 11일 시행 보도자료, 2026-09-10
- 개인정보보호위원회, 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」, 2026-05-19
- 황혜진 법무법인 디엘지 파트너변호사, 생성형 AI와 개인정보 처리위탁 해설, ZDNet Korea, 2026-06-15
- 법률신문, 9·10월 시행 개인정보·정보통신망법 주요 개정사항 해설(법무법인 린), 2026
- 검증 경계: 개정 법령 원문 직접 대조는 하지 못했다. 조문 번호와 내용은 개인정보보호위원회 보도자료와 법률 전문가 해설 두 계열이 일치하는 범위에서 썼고, AI 입력의 법적 성격과 1인 사업자의 처리방침 의무는 단정하지 않았다.