BECUAI

지난 10월 20일, 정보보호 공시 의무를 전체 상장사로 넓히는 시행령 개정안이 국무회의를 통과했습니다. 상장사가 공개해야 할 정보가 하나 늘어난 소식처럼 보일 수 있어요. 그런데 올해 시행된 다른 제도와 나란히 놓고 보면, 기업이 데이터를 다루는 방식을 바라보는 시선이 달라지고 있다는 점이 보입니다.

그리고 그 변화는 흔히 떠올리는 '보안'보다 조금 더 넓은 범위를 향하고 있어요.

정보보호 공시, 이제 전체 상장사로

정보보호 공시는 기업이 정보보호에 얼마를 투자하고, 몇 명의 인력을 두고, 어떤 인증과 점검을 받고 있는지를 공개하는 제도입니다. 2022년부터 일정 기준을 충족하는 기업을 대상으로 의무화됐고, 상장기업에는 매출액 3,000억 원 이상이라는 기준이 적용돼 왔어요.

이번 개정으로 이 매출 기준이 사라집니다. 2027년 1월 1일부터 기업인수목적회사(SPAC)를 제외한 코스피·코스닥 전체 상장법인으로 공시 의무가 확대되고, 정보보호 관리체계(ISMS) 인증 의무 대상자도 새롭게 포함됩니다. 공공기관·금융회사·전자금융업자 등에 대한 기존 예외 규정도 삭제되며, 소기업은 준비 기간을 고려해 2029년 1월 1일부터 의무가 적용돼요.

올해 시행된 제도와 함께 보면

2026년에는 AI와 개인정보 보호를 둘러싼 제도도 함께 바뀌었습니다. 이번 글과 관련된 내용만 추리면 다음과 같아요.

구분	시행 시점	주요 내용
AI기본법	2026년 1월 22일	고영향 AI·생성형 AI를 이용한 제품·서비스의 사전 고지, 생성형 AI 결과물 표시 등 투명성 의무
개정 개인정보 보호법 및 하위 규정	2026년 9월 11일	일정 요건의 반복·중대한 침해에 매출액 최대 10% 과징금 특례 적용, 사업주·대표자의 최종 책임 명시, 사전 예방 노력에 대한 감경
정보보호 공시 확대	2027년 1월 1일	상장기업의 매출 기준 삭제, ISMS 인증 의무 대상자 포함 등 공시 대상 확대. 소기업은 2029년 적용

세 제도의 대상과 의무는 서로 다릅니다. 다만 AI 활용 사실을 알리고, 경영진의 책임을 분명히 하고, 관리 현황을 외부에 공개하게 한다는 점에서 공통된 흐름이 있어요. 기업이 데이터를 어떻게 다루고 있는지 스스로 설명할 수 있어야 한다는 것입니다.

유출보다 먼저 물어야 할 것, 데이터의 권리

정보보호라고 하면 보통 해킹과 유출을 막는 일을 먼저 떠올립니다. 이번 공시 확대 역시 기업의 보안 투자와 인력 현황을 공개하게 하는 제도고요.

그런데 기업이 데이터를 다루면서 마주하는 리스크는 유출만이 아닙니다. 아무리 안전하게 보관하고 있어도, 그 데이터를 쓸 권리가 불분명하다면 그 자체로 리스크가 됩니다. 이용 조건을 벗어난 활용이 문제가 되면 서비스를 멈추거나, 데이터를 걷어내고 다시 작업해야 하는 상황이 생길 수 있어요. 데이터를 잘 지키는 것만큼, 처음부터 정당하게 확보하는 것이 중요한 이유입니다.

물론 이번 공시 확대가 데이터의 출처나 이용 권리 공개를 직접 의무화하는 것은 아닙니다. 하지만 데이터를 다루는 방식 전반에 설명 책임이 커지는 흐름 속에서, 권리관계 역시 기업이 답할 수 있어야 하는 질문이 되고 있어요.

데이터를 공급하거나 활용하는 기업이라면 다음 질문에 답할 수 있어야 합니다.

• 이 데이터는 어디에서 왔는가
• 어떤 계약과 조건에 따라 확보했는가
• 허용된 이용 목적과 범위는 어디까지인가
• 가공, 재배포, AI 학습 같은 2차 활용이 허용되는가

AI 데이터에서 더 중요해지는 출처와 조건

AI 학습데이터에서는 이 질문들이 더 직접적으로 다가옵니다. EU AI법은 범용 AI 모델 제공자에게 학습에 사용한 콘텐츠를 요약해 공개하도록 요구합니다. 모델이 어떤 콘텐츠로 만들어졌는지 외부에서 확인할 수 있게 하려는 장치예요.

기업이 AI에 쓸 데이터를 확보할 때도 양과 품질만으로 판단하기는 어렵습니다. 출처를 확인할 수 있는지, 예정한 활용 목적이 계약상 허용되는지, 그 조건을 내부 담당자와 거래 상대방에게 설명할 수 있는지를 함께 살펴야 해요.

정당하게 확보한 데이터가 리스크 관리의 출발점입니다

규제가 넓어질수록 기업은 데이터를 "안전하게 관리하고 있는가"와 함께 "정당하게 확보해 쓰고 있는가"라는 질문을 받게 될 거예요. 앞의 질문이 보안의 영역이라면, 뒤의 질문은 데이터가 시작되는 지점의 문제입니다.

출처를 확인할 수 있는 기록, 이용 범위가 분명한 계약. 데이터를 믿고 쓸 수 있는지 판단하는 기준은 여기서 시작됩니다. 필요한 순간에 이 근거를 제시할 수 있는 데이터가, 앞으로 기업이 가장 먼저 갖춰야 할 리스크 관리가 될 것입니다.

함께 읽으면 좋은 글

• AI기본법 시행 첫해, 데이터 기업이 답해야 할 3가지 질문
• 15억 달러가 바꾼 AI 데이터의 기준