사용자 의도 분석 ⑩ (완결) — 채팅 로그 연구와 개인정보: 가명처리와 IRB

시리즈 내내 "실사용 로그가 금광"이라고 했다. 그런데 그 금광은 법의 영토 안에 있다. 사용자 채팅 로그를 연구·개발에 쓰려면 어떤 법적 경로를 밟아야 하는가? 한국법 기준으로 이 경로는 하나의 사슬로 완결되어 있고, 무시했을 때의 결과를 보여준 판례급 사건도 있다. 시리즈 마지막 글은 이 사슬의 지도다. (법률 자문이 아니며, 실제 적용 전 전문가 확인이 필요하다.)

컴플라이언스 사슬 — 동의 없이 합법적으로 연구에 쓰는 경로

• ① 개인정보보호법 제28조의2 — "통계작성, 과학적 연구, 공익적 기록보존"을 위해서는 정보주체의 동의 없이 가명정보를 처리할 수 있다. 제2조 제8호가 과학적 연구를 "기술의 개발과 실증... 민간 투자 연구"까지 포괄하도록 정의해, 기업의 서비스 개선 연구와 학위논문 연구도 들어온다. 헌재에서 다투어졌으나 합헌 유지.
• ② 가명정보 처리 가이드라인 (2026.3 전면개정) — 개인정보위의 실무 매뉴얼. 텍스트 같은 비정형 데이터의 가명처리 기준은 2024.2 개정에서 처음 도입됐고, 2026.3판은 위험도 기반으로 절차를 차등화했다. 사전준비→위험성 검토→가명처리→적정성 검토→안전한 관리의 5단계.
• ③ 복지부 유권해석 — 개보법의 가명처리가 생명윤리법상 익명화 요건을 충족하는 것으로 해석. 가명처리(개보법)와 IRB(생명윤리법)를 잇는 연결고리다.
• ④ 생명윤리법 시행규칙 제13조 — IRB 심의면제 — 가명처리된 기존 자료를 이용하고 개인식별정보를 수집하지 않는 연구는 심의면제 대상이 될 수 있다. 단, 면제 여부는 연구자가 스스로 판단하는 게 아니라 소속 기관 IRB에 면제확인을 신청해 서면으로 받아야 한다.

반드시 알아야 할 사건과 반론

• 이루다 사건 (2021) — 자사 앱에서 수집한 카카오톡 대화 94억 건을 이름·연락처를 제대로 제거하지 않은 채 챗봇 개발에 쓴 회사에 개인정보위가 과징금·과태료 약 1억 원을 부과한 국내 최초의 직접 선례. "가명처리했다"는 항변은 가명처리가 실제로 미흡해서 배척됐다. 교훈: 식별자 제거는 검증 가능하게 실제로 해야 하고, "신규 서비스 개발" 고지만으로는 목적 외 이용을 정당화할 수 없다.
• 최경석 (2022, 생명윤리정책연구) — 균형추가 되는 비판론: 법이 허용하더라도 IRB 승인도 동의도 없는 2차 사용은 정보주체의 자율성과 신뢰를 훼손할 수 있다. 옵트아웃·투명한 고지 같은 보완 장치를 논증한다. 윤리 섹션을 쓸 때 반드시 함께 인용해야 할 글.
• 김현숙 (2020, 정보법학) — EU GDPR의 과학적 연구 특례(제89조)와 한국 제28조의2의 비교법 연구. 해외 사례(WildChat의 옵트인 동의, Anthropic Clio의 익명화 설계)와 한국 규제를 한 틀에서 논할 수 있게 해 준다.
• 생성형 AI 개인정보 처리 안내서 (2025) — 개인정보위가 생성형 AI의 수명주기(기획→학습→개발→운영) 단계별로 적법 근거와 안전조치를 정리한 최신 공식 문서. 자사 이용자 데이터의 AI 학습 활용을 규제기관 관점에서 직접 다룬다.
• 가명정보 지원 플랫폼 — 개인정보위·KISA가 운영하는 무료 지원 채널. 가명처리 적정성에 대한 전문가 컨설팅을 받을 수 있고, "전문기관 검토를 받았다"는 사실 자체가 강력한 보강 증거가 된다.

실무 체크리스트

로그를 연구용으로 반출하기 전에: (1) 질의문 안의 이름·연락처·이메일·계정 식별자 삭제/치환 — 정규식만 믿지 말 것(Trust No Bot이 보여줬듯 건강·관계 같은 민감 주제는 NER로 안 걸러진다), (2) userID는 일련번호로 치환하고 매핑테이블은 분리 보관, (3) 보존 기간과 파기 시점 문서화, (4) 연구용 데이터셋과 서비스 개선용 처리를 분리, (5) IRB 면제확인 신청서 제출. 개인정보처리방침에 연구 활용을 투명하게 고지하는 것이 최선의 방어선이다.

시리즈를 마치며

열 편을 관통한 줄기는 하나다: 사용자의 의도를 아는 것은 정확도의 문제이자 비용의 문제이고, 그것을 데이터로 하는 순간 책임의 문제가 된다. 고전 검색 의도 분류(①)에서 시작해 다어절 시그널(②), 벤치마크(③), 라우팅 경제학(④), 검색 발동(⑤), 로그와 약지도(⑥), 한국어와 교육(⑦), 복합 의도(⑧), 형태소 분석(⑨), 그리고 법(⑩)까지 — 이 지도가 같은 길을 걷는 분들에게 출발점이 되길 바란다.

— 사용자 의도 분석과 LLM 라우팅 시리즈 ⑩ (완결)