PDPC 생성형 AI 개인정보 사용 지침

2026년 7월 20일 개인정보 보호위원회(PDPC)는 싱가포르 데이터 페스티벌(Singapore Data Festival)에서 《생성형 AI 개인정보 사용 자문 지침》을 발표했습니다. 이 지침은 새로운 법적 의무를 추가하지 않습니다——PDPA에 이미 존재하는 「데이터 주체로부터 동의를 얻어야 한다」는 요구 사항이 생성형 AI 상황에서 구체적으로 어떻게 적용되는지 설명합니다.

핵심 요구 사항: 고지는 구체적이어야 하며 모호해서는 안 됩니다. 조세핀 테오 장관이 발표 현장에서 든 예시가 문제를 가장 잘 보여줍니다: 어떤 고객 서비스 팀이 통화 녹음으로 생성형 AI 모델을 개선하여 더 빠르고 정확하게 답변하고자 합니다. 우리 모두 이런 전화를 받아본 적이 있으며 「통화가 품질 점검 및 개선을 위해 녹음될 수 있습니다」라는 안내를 들었습니다——그러나 녹음에는 이름, 주소, 청구 정보 같은 개인정보가 포함됩니다. 그렇다면 이 데이터로 모델을 훈련하기 전에 고객 서비스 팀은 고객에게 어떤 의무가 있을까요?

지침의 답은 명시하라입니다. 조직은 개인정보 처리방침에 「동의한 고객의 통화 녹음이 AI 모델 훈련 및 개선에 사용됩니다」라고 명확히 기재하고, 직원이 동의를 구할 때 사용하는 스크립트도 함께 갱신하여, 고객이 목적을 이해한 후 정보에 입각한 선택을 하도록 해야 합니다. 사용자가 전혀 알아차리지 못하고 이해할 수도 없는 광범위한 설명에 의존해서는 안 됩니다.

고지 의무를 넘어서는 두 가지. PDPC는 「많은 조직이 이미 오늘날 AI 전용 고지를 제공하고 있으므로 지침은 더 나아간다」고 명시합니다: (1) AI 밸류체인 각 주체의 역할과 책임 구분——모델 개발자, 파인튜닝 주체, 애플리케이션 배포자가 각각 무엇을 부담하는지; (2) 공개적으로 이용 가능한 데이터에 의존할 때의 실사 의무——「공개된 것은 마음대로 써도 된다」가 아닙니다.

2024년판과의 관계. PDPC는 2024년 3월 《AI 추천 및 결정 시스템 개인정보 사용 자문 지침》을 발표했으며, 이는 판별형 AI(추천, 점수화, 의사결정)를 다룹니다. 이번 2026년 신규 지침은 생성형 AI의 훈련 및 개선 상황을 대상으로 하며, 두 지침은 병행하며 대체 관계가 아닙니다.

같은 날 IMDA는 《생성형 AI 챗봇 투명성 지침》도 발표하여 「챗봇 정보 카드」(Chatbot Information Card)를 요구했습니다——의약품 포장의 라벨처럼 용도, 한계, 데이터 처리 방식, 사용자 구제 경로를 한곳에 공개하며, 서비스 약관과 개인정보 처리방침에 흩어지지 않도록 합니다. 두 문서는 함께 싱가포르의 생성형 AI에 대한 「데이터 계층 + 애플리케이션 계층」의 이중 책임 설계를 구성합니다.