수요일, EU 회원국들은 OpenAI, Anthropic, Google, Meta, SpaceX의 영리 추구 이익이 유럽인의 기본 데이터 보호 권리를 앞지르게 하는 GDPR 개정안을 승인했습니다. 승인된 텍스트에 따르면, 개인 데이터를 “AI와 관련된 맥락에서” 처리하는 것은 자동으로 합법적이어야 합니다. 특히 빅테크 기업들은 이것이 AI의 “맥락에서” 발생하는 한, 지난 수십 년간 수집된 모든 개인 데이터를 사실상 아무런 제한 없이 사용할 수 있게 될 것입니다. Schrems는 말했습니다: “합의된 텍스트에 따르면, AI 기업들의 이익이 일반적으로 유럽인의 사생활이라는 기본권을 압도할 것입니다. 이것은 다름 아닌 유럽인들에 대한 디지털 수용입니다.” 이러한 모든 일들은 AI 기업들의 주요 인사들이 자신들의 제품과 관련된 엄청난 위험성에 대해 적극적으로 경고하고 있음에도 불구하고 벌어지고 있습니다.
Member States approve "digital appropriation"
마지막 제한이 사라지다: AI 기업의 이익이 데이터 보호를 앞선다고? 유럽 위원회는 “디지털 옴니버스(Digital Omnibus)” 제안의 일환으로, EU 기업들을 위해 사소한 변경만을 가하여 상황을 단순화할 것이라고 주장했습니다. 동시에, 그들은 유럽 사람들에게 “높은 수준의 보호”를 유지한다고 명시적으로 주장했습니다. 따라서 ‘신속 처리 절차’가 선택되었습니다. 이는 기본권 평가를 수행하거나 데이터 보호에 관한 유럽 전문가 그룹을 직접 참여시키지 않은 채 이루어졌습니다.
유럽 위원회가 제안한 Article 88c(현재 이사회 문서에서는 Article 88bis)는 AI를 위한 개인 데이터 사용을 자유롭게 하는 것을 목표로 합니다. 이 제안은 현재 이사회에 있으며, 아일랜드가 주도권을 잡고 있습니다. 아일랜드는 또한 대다수의 미국 및 중국 AI 기업들의 EU 본거지 역할을 하고 있습니다.
디지털 수용(Digital expropriation): 이사회 승인.
독일과 다른 유럽연합(EU) 강대국들의 지지 속에, 이사회(EU 회원국을 대표함)는 수요일에 기업들이 개인 데이터를 "AI의 맥락에서" 사용할 때 기본적으로 거의 모든 것을 할 수 있도록 허용하는 것에 승인했다. 이는 AI 기업의 상업적 이해관계가 일반적으로 사용자들의 기본권을 능가하게 됨을 의미한다. 이러한 일반적인 허용은 또한 AI 기업의 고객이 된 적이 없는 사람들과 수십 년 전에 입력된 데이터(예: 채팅이나 소셜 미디어에 기록된 데이터)에도 적용된다. AI 기업이 어떤 식으로든 확보할 수 있는 모든 개인 데이터가 이 조항의 적용을 받게 된다. 사용자에게 동의를 구할 필요가 없다. 대신, 기업이 어떤 AI 제품을 사용하거나 훈련하는 경우, 그들이 압도적인 "정당한 이해관계(legitimate interest)"를 가지고 있다고 자동으로 간주된다.
이사회는 기존의 권리와 의무인 제21조(특정 사례에서 거부권(opt-out)을 가질 권리)와 GDPR 제24조(법적 의무에 대한 기술적 및 조직적 구현 필요성)를 언급했지만, 이러한 소위 "안전장치"는 해당 참조가 없더라도 모든 처리에 적용될 것이다. 본질적으로, AI 관련 새로운 제88bis조에서는 실질적인 안전장치가 요구되지 않는다.
Max Schrems: "수요일에 유럽연합 회원국들은 우리의 데이터를 가져와 AI 기업들에게 공짜로 공급하는 데 동의했습니다. 수십 년 동안 우리는 사람들에게 그들의 데이터가 안전하며, 기껏해야 광고에 사용된다고 말해왔습니다. 이제 Google, Meta, Microsoft는 거의 제한 없이, 그리고 'AI' 구성 요소가 포함된 모든 프로젝트를 위해 그들이 수집한 모든 데이터를 사용할 수 있게 되었습니다. 이것은 유럽연합 회원국들이 미국 빅테크(US Big Tech)에게 해준 가장 큰 선물입니다."
유럽 데이터의 미국 및 중국으로의 판매. 정치인들은 유럽 경제가 가능한 한 많은 법률을 폐지함으로써 이익을 얻을 것이라고 생각하는 것 같다. 하지만 실제로는 정반대의 결과가 예상된다: 대부분의 EU 기업은 미국 기업들과 경쟁할 만큼 충분한 양의 데이터 접근성이나 자본을 가지고 있지 않다. 여러 경우에 있어서, 이는 EU 기업이 수집했지만 (EU 외부 플랫폼이나 서비스에서 처리되는) 데이터가 미국이나 중국의 제공업체로 흘러들어 간다는 것을 의미할 수도 있다.
Max Schrems: “이번 입법 변화는 주로 막대한 양의 유럽 데이터를 수집한 거대 기업들에게 이익이 된다. 이는 유럽 데이터를 글로벌 기업들에게 완전히 팔아넘기는 행위다. 또한, EU 기업들의 노하우가 미국이나 중국으로 대량 유출되는 결과를 초래할 것이다. 산업 정책적 관점에서 볼 때, 이러한 접근 방식은 미친 짓이다.”
전체 기술에 대한 백지 수표인가? 일반적으로 GDPR(General Data Protection Regulation)은 특정 목적을 위한 처리를 허용한다 (예: 세금 기록 보관 또는 사기 방지). 그러나 합의된 Article 88c (또는 Article 88bis)는 전체 기술 자체를 합법화한다. 사용되는 목적에 관계없이, 모든 AI 시스템은 기본적으로 모든 개인 데이터를 법적으로 수집할 수 있게 된다. 예를 들어, 제안된 조항은 또한 조작(manipulation), 허위 정보(disinformation), 노출 이미지를 생성하거나 살상 드론을 만드는 데 AI를 훈련하고 사용하는 것을 허용할 것이며, 실제로 다른 의심스러운 목적도 포함한다. 지금까지는 불법이었던 많은 처리 작업들이 단지 'AI 시스템의 맥락에서' 수행된다는 이유만으로 갑자기 합법화될 수 있다. 예를 들어, 개인 광고 목적으로 데이터 처리를 하는 것(동의 없이)은 현재 EU에서 불법이다. 하지만 이제는 AI 기술을 사용하여 개인화한다면 광고가 갑자기 합법적이 될 수도 있다.
Max Schrems: “마치 무엇이든 가능하다는 말과 같습니다. 어떤 것을 하든지 상관없이, AI를 사용하기만 하면 됩니다. 엑셀 스프레드시트에서는 불법인 것이 AI 에이전트를 통해 수행되면 합법적입니다. 고위험 기술에 다른 모든 컴퓨터 시스템보다 특혜를 주는 것은 완전히 터무니없습니다.”
데이터 보호라는 45년간의 약속이 무너지고 있습니다. 유럽 차원에서 데이터 보호 법규는 1981년부터 존재해 왔습니다. 수십 년 동안 유럽인들은 이러한 (소위) “엄격한” 데이터 보호가 Twitter/X, Facebook 또는 Instagram과 같은 플랫폼이나 Google 또는 Microsoft와 같은 기업들이 방대한 양의 데이터를 수집하더라도, 공유된 목적 외의 다른 목적으로는 “절대로” 사용하지 못하게 할 것이라고 약속받아 왔습니다. 제안된 Article 88c(현재는 Article 88bis)가 이 약속을 깨뜨립니다. 즉, 수집된 모든 데이터가 갑자기 어떤 AI 시스템이든 사용할 수 있는 대상으로 전락한다는 것입니다.
Max Schrems: “1980년대부터 우리는 대기업들이 데이터를 보유할 수는 있지만, 그 사용은 제한적이어야 한다고 사람들에게 약속해 왔습니다. 그러나 Article 88bis는 갑자기 문을 활짝 열어 모든 데이터에 대한 무제한적인 AI 사용을 허용합니다.”
보호와 권리에 대한 추가적인 대규모 제한. 게다가, EU 회원국들은 “개인 데이터(personal data)”의 정의를 급격하게 좁히자고 제안했습니다. 이는 온라인 추적이 여전히 GDPR(General Data Protection Regulation)에 의해 보호받을지 여부가 불분명해진다는 것을 의미합니다. 이 과정은 소위 “가명(pseudonyms)”을 사용하여 이루어져야 하며, 가명은 더 이상 GDPR의 적용 대상이 아니어야 합니다. 문제는 대부분의 IT 시스템이 주로 가명(사용자 ID, 추적 ID, IP 주소 또는 사회 보장 번호 등)으로 작동한다는 것입니다. 데이터가 여전히 “개인”인지 아닌지에 대한 결정은 법률에 의해 규제되는 기업들이 주로 내리게 될 것입니다. 이러한 논쟁들은 일반적으로 수년 동안 지속되며 엄청난 지연과 막대한 비용으로 절차를 침수시키기 때문에, 이는 결코 “단순화”가 아닙니다.
Max Schrems: “이러한 변화는 빅테크를 변호하는 어떤 대형 로펌의 전술적 수단(playbook)에서 나온 것입니다. 우리는 이러한 주장이 기각되도록 법정과 당국 앞에서 수년간 노력해 왔습니다. EU 입법자들은 아마도 이를 과장하여 추진할 것이고, 결과적으로 EU 법을 더욱 복잡하고 집행 불가능하게 만들 것입니다.”
다음 전장: 유럽 의회(European Parliament). 이 합의는 최종 법안에 대한 합의가 아닙니다. 이사회(Council)는 아직 입장을 밝히지 않은 유럽 의회와 최종 문안을 협상해야 합니다.**유럽 위원회(European Commission)는 소위 “삼자 회담(Trilogues)”에 참여하는 세 번째 기관이며, 이것이 최종 EU 법으로 이어질 것입니다. 위원회는 이미 오래전에 180도 방향을 틀었으며, 현재 기본권을 산업 로비의 이익보다 명확하게 우선시하고 있습니다.
유럽 의회의 입장은 아직 형성 중입니다. 유럽인민당(EPP) 대다수는 EU 디지털 법에 점점 더 많은 허점을 만드는 데 찬성하는 경향이 있지만, 중좌파 성향의 유럽 의원들은 지금까지 저항하며 현상 유지(status quo)를 선호해 왔습니다. 또한, 극우 그룹들 사이에서도 빅테크에게 ‘면책 특권’을 부여하자는 제안에 대한 반대가 증가하고 있습니다.
마지막 희망: 사법 정의 법원(Court of Justice)? 주요 의문점은 의미 있는 제한이 없는 법이 어떤 방식으로든 EU 기본권을 양립할 수 있는지 여부입니다. 과거 유럽사법재판소(European Court of Justice)는 데이터 보존이나 EU 데이터를 미국으로 전송하는 것과 같이 훨씬 덜 중대한 침해 사례와 관련하여 EU 법에 위헌 판결을 내린 바 있습니다.
Max Schrems: “만약 입법자가 비례감과 방향성을 모두 상실했다면, 사람들은 오직 법원에 의지할 수밖에 없습니다. 번복될 위험이 높은 극단적인 법은 약속된 단순화 대신 오히려 더 많은 법적 불확실성만을 초래할 것입니다.”
