기사 목차 펼치기 / 접기
영국 데이터법, AI 자동결정 규제 완화…기업은 ‘사람 개입’ 보장해야
영국이 인공지능(AI)을 이용한 자동화 의사결정 규제를 완화하면서도 사람의 개입과 이의 제기 절차를 의무화하는 새로운 데이터 규제 체제를 본격 가동하고 있다. 기업이 AI를 활용할 수 있는 법적 근거는 넓어졌지만, 자동화된 결정으로 개인에게 중대한 영향을 줄 경우 설명과 재검토 절차를 갖춰야 한다.
영국의 AI 규제 정보 플랫폼 Regulations.ai는 8월19일 “‘데이터(이용 및 접근)법 2025(the Data (Use and Access) Act 2025·DUAA)‘ 시행 이후 기업의 데이터 처리 규칙이 달라졌다”고 전했다. DUAA는 2025년6월19일 국왕 재가(Royal Assent)를 받아 법률이 됐고 조항별로 단계적으로 시행됐다.
영국 과학혁신기술부(DSIT)의 DUAA 시행 계획에 따르면 첫 시행령이 지정한 일부 조항은 2025년8월20일 발효됐다. 데이터 보호와 프라이버시 관련 주요 조항 대부분은 올해 2월5일 시행됐고, 마지막 단계의 데이터 보호 조항은 6월19일 발효됐다. 영국 개인정보 감독기관인 정보위원회(ICO)도 6월19일 현재 데이터 보호 관련 조항이 모두 시행됐다고 밝혔다.
DUAA는 기존 영국 일반개인정보보호법(UK GDPR), 데이터보호법 2018, 전자통신 개인정보보호 규칙(PECR)을 폐지하거나 대체한 법은 아니다. 기존 법률을 수정해 데이터 이용과 공유를 쉽게 하고 디지털 신원확인, 스마트 데이터 등의 제도적 기반을 확대한 법이다. 영국 정부의 데이터 보호·프라이버시 변경 설명은 규제 간소화와 혁신 촉진을 추진하면서 개인정보 보호 수준을 유지하는 것이 입법 목적이라고 설명한다.
AI 자동결정 허용 범위 넓혔다
AI 기업에 가장 직접적인 변화 가운데 하나는 자동화 의사결정(ADM·automated decision-making) 규제다. 사람이 실질적으로 관여하지 않고 컴퓨터가 개인정보를 분석해 개인에게 법적 또는 이에 준하는 중대한 영향을 미치는 결정을 내리는 경우를 말한다.
DUAA 제80조는 기존 UK GDPR 제22조를 폐지하고 제22A~22D조를 신설했다. DUAA 공식 해설서에 따르면 기존에는 계약 이행에 필요하거나 법률이 허용하거나 정보주체가 명시적으로 동의하는 등의 조건을 충족해야 중대한 자동화 결정을 내릴 수 있었다.
새 제도에서는 일반 개인정보를 이용하는 경우 이 제한이 완화됐다. ICO는 기업이 이제 적절한 보호장치를 마련한다는 조건으로 더 넓은 범위의 적법한 처리 근거를 이용해 중대한 자동화 결정을 할 수 있다고 설명한다. 정당한 이익(legitimate interests)을 근거로 삼는 것도 가능할 수 있다. 그러나 인종·민족, 정치적 견해, 종교, 건강, 성적 지향 등 특별범주 개인정보(special category data)에 대해서는 더 엄격한 제한이 유지된다.
규제 완화가 AI에 의한 무제한 자동결정을 허용한다는 뜻은 아니다. 기업은 결정 사실과 관련 정보를 당사자에게 제공하고, 당사자가 결정에 대해 의견을 제시할 수 있도록 해야 한다. 사람이 결정에 개입해 다시 검토받을 수 있는 방법도 마련해야 한다.
이는 채용 후보자 선별, 신용평가, 보험, 온라인 서비스 이용자 평가 등 AI가 개인에게 중요한 결정을 내리는 분야에서 특히 중요하다. 기업 입장에서는 AI 도입의 법적 선택지가 확대되는 동시에 ‘human-in-the-loop(사람이 자동화 과정에 개입하는 체계)’를 실제 업무 절차에 넣어야 하는 문제가 남는다.
AI·자동결정 별도 실무규범도 만든다
영국은 AI의 개인정보 처리에 관한 별도의 실무규범도 준비하고 있다.
4월16일 제정돼 5월12일 시행된 ‘데이터보호법 2018(인공지능 및 자동화 의사결정 실무규범) 규칙 2026’은 ICO에 AI와 자동화 의사결정에서 개인정보를 처리할 때 적용할 모범 관행에 관한 실무규범(code of practice)을 작성하도록 의무화했다. 이 규범에는 아동 개인정보 처리에 관한 지침도 포함돼야 한다.
여기서 Regulations.ai의 설명에는 주의가 필요하다. 이 시행규칙 자체가 기업에 AI 자동결정의 구체적인 실무 방법을 제시하는 것은 아니다. 영국 정부의 시행규칙 설명서에 따르면 규칙의 역할은 ICO에 실무규범 작성을 의무화하는 것이다. 기업이 따를 상세 지침은 ICO가 만드는 규범에 담기게 된다.
기업 데이터 민원 처리도 법적 의무
기업이 당장 확인해야 할 또 다른 변화는 개인정보 민원 처리 절차다.
6월19일부터 기업 등 개인정보처리자는 개인이 자신의 개인정보 처리에 대해 민원을 제기할 수 있는 절차를 마련해야 한다. ICO는 시행 한 달 전인 5월19일 기업 대상 안내에서 모든 기업이 새로운 민원 처리 절차를 준비해야 한다고 경고했다.
법적 근거는 DUAA 제103조다. 제6차 시행규칙은 제103조와 관련 부속규정을 6월19일 발효시켰다. ICO에 따르면 기업은 민원 제기 방법을 명확히 제공하고 접수 후 30일 이내 이를 확인해야 하며, 부당한 지체 없이 적절한 조치를 취하고 결과를 알려야 한다.
ICO 자체의 조사 권한도 강화됐다. ICO는 6월23일 DUAA 시행 1년 평가에서 새로운 권한 가운데 증인에게 출석해 인터뷰에 응하도록 요구하는 권한과 승인된 전문가의 보고서를 요구하는 권한 등이 포함됐다고 밝혔다.
기업 19% “데이터 규제 부담 늘었다”
정부가 규제를 단순화했지만 기업 현장에서 부담이 실제로 줄었다고 보기는 아직 어렵다.
DSIT가 6월18일 발표한 UK Business Data Survey 2026에 따르면 디지털 개인정보를 취급하는 기업의 76%는 지난 12개월 동안 영국 데이터 보호법 준수 부담이 이전과 비슷했다고 답했다. 부담이 증가했다는 기업은 19%, 감소했다는 기업은 1%였다. 조사는 2025년10월부터 올해 1월까지 4450개 영국 기업을 대상으로 진행됐다.
AI 활용과 규제 준비 사이의 격차도 나타났다. 디지털 데이터를 취급하는 기업 가운데 41%가 적어도 한 가지 목적으로 AI를 이용하고 있었다. 대기업에서는 이 비율이 82%였다. 그러나 AI를 사용하는 기업 가운데 17%는 AI 관련 정책을 전혀 마련하지 않은 것으로 조사됐다.
DUAA의 첫 1년을 단순히 규제 완화로 평가하기 어려운 이유다. 영국은 AI와 데이터 활용이 가능한 범위를 넓히는 대신 자동결정에 대한 사람의 개입, 개인정보 민원 처리, 감독기관의 조사 권한 등 사후 통제 장치를 함께 강화하고 있다. 기업에는 AI를 사용할 수 있느냐보다 어떤 적법한 근거로 개인정보를 처리하고 자동결정에 어떤 이의 제기·사람의 재검토 절차를 붙였느냐가 새로운 규제 쟁점으로 떠오르고 있다.
Q&A 5개
Q1. DUAA는 2025년8월19일부터 시행된 법인가?
정확히는 아니다. 2025년6월19일 국왕 재가를 받았으며 조항별로 단계적으로 시행됐다. 첫 시행령이 지정한 조항은 8월20일 발효됐고 데이터 보호 관련 조항은 올해 6월19일까지 순차적으로 시행됐다.
Q2. AI가 사람 대신 중요한 결정을 내리는 것이 허용됐나?
허용 범위가 넓어졌다. 일반 개인정보를 이용한 중대한 자동결정에는 더 다양한 적법한 처리 근거를 사용할 수 있다. 다만 당사자의 이의 제기와 사람의 개입·재검토 등 보호장치를 갖춰야 한다.
Q3. 민감한 개인정보에도 같은 규칙이 적용되나?
아니다. 인종·민족, 건강 등 특별범주 개인정보를 이용한 자동결정에는 더 엄격한 제한이 유지된다.
Q4. AI 실무규범은 이미 완성됐나?
Regulations.ai의 표현과 달리 2026년 시행규칙 자체가 완성된 AI 실무규범은 아니다. 이 규칙은 ICO가 AI·자동화 의사결정에 관한 실무규범을 만들도록 의무화한다.
Q5. 영국 기업의 데이터 규제 부담은 줄었나?
정부 조사에서는 감소했다고 답한 기업이 1%에 불과했다. 76%는 변화가 없다고 했고 19%는 오히려 증가했다고 답했다. 다만 조사가 DUAA의 모든 데이터 보호 조항이 시행되기 전에 진행됐다는 점은 고려해야 한다.
