AI 생성물 표시 의무, 세 조항이 다 다르다 — 사전고지·생성물 표시·딥페이크 구분법
인공지능기본법 제31조는 한 덩어리가 아니라 성격이 다른 세 개 항이에요. 무엇을 알려야 하는지, 어디에 붙이는지, 그리고 3천만원이 어느 항에 직접 걸리는지를 조문 원문으로 갈라 정리했어요.
AI 기술을 누구나 쉽게 활용할 수 있도록 실전 가이드를 작성합니다. ChatGPT, Claude, AI 자동화, SEO 분야를 전문으로 다룹니다.
AI 면접을 보고 며칠 뒤 짧은 불합격 안내 한 통만 받는 경우가 많아요. 무엇이 문제였는지 한 줄도 적혀 있지 않으니 다음 전형을 어떻게 준비할지도 막막하고요.
결론부터 말하면 물어볼 수는 있어요. 다만 회사가 답할 의무를 지는지는 내 탈락이 사람 없이 확정된 결정이었는지에 달려 있어요. 최종 판단에 사람이 실질적으로 개입했다면 이 요구는 서지 않고, AI가 낸 결과만으로 불합격이 확정됐다면 회사는 정당한 사유가 없는 한 정해진 기간 안에 조치하고 그 결과를 알려야 해요. 그 갈림길은 회사가 미리 공개해 둔 문서를 봐야 알 수 있으니, 어디를 어떤 순서로 확인하는지부터 정리할게요.
물어볼 근거가 되는 조문은 개인정보 보호법 제37조의2예요. 조 제목은 '자동화된 결정에 대한 정보주체의 권리 등'이고 2023년 3월 14일에 신설됐어요. 제2항은 "정보주체는 개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다"고 적어요.
여기서 열쇠말은 '자동화된 결정'이에요. 제1항은 이 말을 완전히 자동화된 시스템으로 개인정보를 처리해 이루어지는 결정이라고 정의하면서, 괄호 안에 인공지능 기술을 적용한 시스템을 포함한다고 적어요. 곧 AI 면접이라는 이름이 붙었다고 해서 자동으로 이 조문의 대상이 되는 것이 아니라, 그 전형에서 사람이 빠져 있었는지가 기준이에요.
읽을 때 근거의 층을 섞지 않는 게 중요해요. 요구할 수 있다는 권리 자체는 법률 조문에 있고, 요구하는 방법과 기한은 대통령령인 시행령 제44조의2부터 제44조의4까지가 정하며, 회사가 어떤 기준으로 판단하고 언제 거절할 수 있는지는 개인정보보호위원회 고시 제2024-9호가 정해요. 여기에 개인정보보호위원회가 2024년 9월에 펴낸 '자동화된 결정에 대한 정보주체의 권리 안내서'가 사례를 붙여 설명하고요. 이 넷은 성격이 다르니 "법으로 다 보장된다"는 한 문장으로 뭉치면 실제로 무엇을 받을 수 있는지 놓쳐요.
안내서는 인적 개입 여부로 두 경우를 나란히 놓고 비교해요. 해당하는 쪽은 "인공지능(AI) 면접만을 통해서 응시자의 개인정보를 분석하여 불합격 결정을 하는 경우"이고, 해당하지 않는 쪽은 "권한이 있는 인사위원회를 통해 실질적으로 채용 여부를 결정하는 절차를 운영하면서, 인공지능(AI) 등 자동화된 시스템에 의해 산출된 자료를 참고하고 다른 요소들과 함께 종합적으로 검토하여 최종 결정을 내리는 경우"예요.
같은 안내서의 요건 예시 표는 이 선을 더 얇게 그어요. AI가 산출한 점수만을 평가자가 형식적으로 확인해 합격 여부를 정한 경우는 대상이고, AI 점수뿐 아니라 지원서류와 다른 결과까지 종합 검토해 정한 경우는 제외예요. 사람이 서류를 열어봤느냐가 아니라 그 사람의 검토가 결정을 바꿀 수 있었느냐가 갈림길이라는 뜻이에요.

단계가 여러 개일 때는 한 번 더 갈라야 해요. 안내서는 최종적 결정의 사례로 "AI채용 분야에서 서류심사·적성검사 단계에서만 자동화된 결정이 이루어지고 면접은 인적 개입이 있다고 하더라도 불합격자의 경우는 서류심사가 최종적 영향을 미침"이라고 적어요. 뒤에 대면 면접이 예정돼 있어도 내가 그 앞 단계에서 잘렸다면, 나에게는 그 단계가 마지막이었다는 이야기예요. 기업이 서류 단계에서 AI를 어떻게 쓰는지는 AI가 이력서를 1차로 걸러내는 방식을 정리한 글에서 흐름만 훑어두면 내 전형이 어디에 놓였는지 가늠하기 쉬워요.
아래 다섯 문항은 고시 제6조 제1항이 판단할 때 고려하라고 나열한 항목을 지원자 입장에서 다시 쓴 거예요. 정답을 정해 주는 표가 아니라, 회사에 물어보기 전에 내가 무엇을 모르는지 확인하는 용도예요.
1번에서 4번까지가 모두 그렇다에 가까울수록 자동화된 결정에 해당할 가능성이 커져요. 다만 안내서는 예시 표마다 각주로 실제 사례에서는 구체적 사실관계에 따라 다르게 판단할 수 있다고 못 박아 두었으니, 자가진단 결과를 확정으로 읽지는 마세요.
두 권리를 한 덩어리로 읽으면 실제로 무엇을 얻을 수 있는지 어긋나요. 조문이 붙여 둔 조건이 서로 다르거든요.
| 구분 | 거부권 (제37조의2 제1항) | 설명 요구권 (제37조의2 제2항) |
|---|---|---|
| 조문이 요구하는 조건 | 자동화된 결정일 것 + 권리나 의무에 중대한 영향을 미칠 것 | 자동화된 결정일 것 |
| 조문의 단서 | 동의·법률·계약에 근거한 결정이면 그러하지 아니하다 | 같은 단서 문장이 없음 |
| 회사가 하는 조치 | 그 결정을 적용하지 않거나 인적 개입에 의한 재처리 | 결과·사용된 주요 개인정보 유형·주요 기준·절차를 담은 설명 제공 |
| 결과가 뒤집히나요 | 적용을 멈추고 사람이 다시 볼 뿐 | 설명을 받을 뿐 |
| 중대한 영향이 아니라면 | 권리 자체가 서지 않음 | 미리 공개된 사항 일부를 알리는 선에서 끝날 수 있음 |
거부권 쪽 단서가 특히 중요해요. 제1항은 자동화된 결정이 제15조제1항제1호·제2호 및 제4호에 따라 이루어지는 경우에는 그러하지 아니하다고 적는데, 그 세 호는 각각 정보주체의 동의를 받은 경우, 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우, 정보주체와 체결한 계약을 이행하거나 계약 체결 과정에서 정보주체의 요청에 따른 조치를 이행하기 위해 필요한 경우예요. 안내서는 이 제한의 취지를 자동화된 결정이 이루어진다는 사실을 명확히 인지한 상태에서 동의하거나 계약한 경우라면 법적 안정성을 위해 효력을 유지하려는 것이라고 설명해요.
안내서는 동의에 근거한 경우로 인정받으려면 회사가 자동화된 결정이 이루어진다는 사실을 다른 내용과 구분해 알리고 동의를 받아야 한다고 적어요. 알릴 항목도 자동화된 결정이 이루어지는 업무의 내용과 목적, 그 과정에서 처리되는 주요 개인정보의 유형 두 가지로 적혀 있고요. 지원서에 개인정보 수집 동의만 있고 자동화된 결정에 관한 안내가 따로 없었다면, 그 동의가 이 단서에 걸리는지는 다시 볼 여지가 있어요.
거부권이 막혀도 설명 요구권은 남아요. 제2항의 문장에는 중대한 영향이라는 조건도, 동의·법률·계약 단서도 붙어 있지 않거든요. 그러니 "동의했으니 아무것도 못 한다"는 결론으로 건너뛰지 마세요.

1단계, 회사가 공개한 문서를 먼저 찾아요. 시행령 제44조의4 제1항은 자동화된 결정이 이루어진다는 사실과 목적, 사용되는 주요 개인정보의 유형과 결정의 관계, 결정 과정의 고려사항과 처리 절차, 민감정보나 14세 미만 아동의 개인정보를 처리하는 경우 그 항목, 그리고 거부와 설명 요구를 할 수 있다는 사실과 그 방법·절차를 인터넷 홈페이지 등을 통해 공개하라고 적어요. 이 문서가 있는지, 있다면 어느 전형에 자동화된 결정이 적힌 것인지가 1단계 확인 사항이에요.
2단계, 공개된 창구로 요구서를 보내요. 시행령 제44조의2는 거부와 설명·검토 요구가 회사가 마련해 공개한 방법과 절차에 따라야 한다고 적어요. 같은 조가 준용하는 시행령 제41조 제2항은 그 방법을 개인정보를 수집한 창구보다 어렵지 않게 만들라고 요구하고, 서면·전화·전자우편·인터넷처럼 쉽게 활용할 수 있는 방법으로 제공할 것을 조건으로 들어요. 지원서를 넣은 곳이 채용 사이트였다면 그 사이트 안이나 회사 홈페이지의 개인정보 안내가 출발점이에요.
3단계, 무엇을 요구할지 나눠 적어요. 시행령 제44조의2 제2항은 요구할 수 있는 것을 두 가지로 나눠요. 하나는 해당 자동화된 결정의 기준과 처리 과정 등에 대한 설명이고, 다른 하나는 내가 개인정보를 추가하는 등 의견을 제출했을 때 그 의견을 결정에 반영할 수 있는지에 대한 검토예요. 안내서는 설명 요구 없이도 의견을 내고 검토를 요구할 수 있다고 적으면서, 설명을 받은 뒤 구체적으로 검토를 요구하는 편이 바람직하다고 덧붙여요.
4단계, 기한을 세어 둬요. 시행령 제44조의3 제5항은 조치를 요구받은 날부터 30일 이내에 서면 등의 방법으로 하라고 적고, 처리하기 어려운 정당한 사유가 있으면 사유를 알리고 2회에 한정해 각각 30일의 범위에서 연장할 수 있다고 적어요. 거절할 때는 기간이 짧아요. 고시 제8조 제2항은 거절 사유와 이의제기 방법·절차를 요구받은 날부터 10일 이내에 알리라고 적어요. 곧 열흘쯤 지나 아무 연락이 없으면 거절이 아니라 검토 중일 가능성이 커요.
고시 제7조 제1항은 정당한 사유가 있으면 조치를 하지 않을 수 있다고 적으면서, 그 판단을 내가 입게 될 불이익과 회사나 제3자의 이익을 비교해 개별적으로 하라고 적어요. 설명 요구를 거절할 때 고려할 항목은 같은 조 제3항에 다섯 개가 나열돼 있어요.
현장에서 가장 자주 걸리는 것은 첫 번째 항목이에요. 충청투데이 2024년 10월 16일자 기사는 "공개 요건 중 하나인 완전히 자동화된 시스템은 사람의 개입이 일절 없어야 하는데, AI를 인·적성이나 면접에서 활용하는 기업의 대부분은 이를 보조수단으로 두고 있다는 것이 업계의 설명이다"라고 전했어요. 같은 기사에 실린 개인정보위 관계자의 말도 완전한 자동화 시스템, 개인정보 처리, 개인정보처리자의 최종 결정, 결정과 권리·의무 영향의 실질적 관련성을 모두 충족해야 요구가 가능하다는 취지였고요. 요구가 서는 경우가 생각보다 좁다는 점은 미리 알고 시작하는 편이 나아요.
안내서가 요건 예시 표에서 든 개인정보 처리의 대상 사례는 "AI 채용 시 입사지원자의 자기소개, 얼굴표정, 목소리, 답변내용 등을 분석하여 활용하는 경우"예요. 회사가 공개해야 할 항목을 예시로 적은 쪽에서는 전형별로 나눠, 서류전형에서는 자기소개서 내용과 공인영어시험 점수와 대학성적 등을, 인적성검사에서는 응답 내용과 패턴 등을, 면접전형에서는 음성과 얼굴영상 등을 들어요. 다만 그 예시는 안내서가 이해를 돕기 위해 만든 가상의 작성례라고 같은 쪽에 적혀 있으니, 특정 회사의 실제 항목으로 읽으면 안 돼요.

여기서 오해가 세 갈래로 갈려요. 첫째, AI가 점수를 매겼으니 곧 자동화된 결정이라는 생각이에요. 안내서는 점수 산출과 최종 결정을 다른 층으로 놓고, 산출된 자료를 다른 요소와 함께 검토했다면 대상이 아니라고 적어요. 둘째, 설명을 요구하면 내 점수표를 통째로 받는다는 기대예요. 시행령이 정한 설명의 내용은 결과, 사용된 주요 개인정보의 유형, 그 유형이 결정에 미친 영향 등 주요 기준, 그리고 처리 절차 네 가지이고 문장은 "간결하고 의미있는 설명"이에요. 셋째, 거부하면 합격으로 바뀐다는 기대예요. 안내서는 질의 답변에서 거부권이 불합격 결정의 적용을 유보하고 인적 개입으로 오류를 확인해 재처리하는 의무를 만들 뿐, 합격 결정을 해야 하거나 사람이 개입하는 절차를 별도로 마련할 의무가 생기는 것은 아니라고 못 박아요.
AI가 만든 판정 결과에 내가 어떻게 반박할 수 있는지는 다른 영역에서도 반복되는 문제예요. 판정 근거를 되짚는 방법은 AI 판정이 잘못됐을 때 근거를 모아 대응하는 절차에도 정리해 뒀어요.
회사가 거절하거나 답이 없을 때 갈 곳은 두 군데예요. 개인정보 보호법 제62조 제1항은 개인정보에 관한 권리나 이익을 침해받은 사람이 보호위원회에 침해 사실을 신고할 수 있다고 적고, 같은 조 제2항은 전문기관이 개인정보침해 신고센터를 설치하고 운영해야 한다고 적어요. 그 신고센터는 한국인터넷진흥원이 맡고 있고 대표 번호는 118이에요. 다른 하나는 분쟁조정이에요. 제43조 제1항은 분쟁조정위원회에 조정을 신청할 수 있다고 적고, 같은 조 제3항은 회사가 조정 통지를 받으면 특별한 사유가 없으면 조정에 응해야 한다고 적어요.
확인되는 범위는 회사가 요구를 받아들이거나 거절하는 데까지예요. 이 조항을 근거로 지원자가 실제로 설명을 받아낸 사례가 얼마나 되는지, 그 결과가 어땠는지는 찾지 못했어요. 특정 기업이나 특정 서비스가 자동화된 결정에 해당하는지도 개별 사실관계에 달려 있다고 안내서가 적고 있으니, 여기 적힌 기준을 내 사례의 판정으로 읽지 마세요. 조문과 고시는 개정될 수 있으니 요구서를 쓰기 전에 국가법령정보센터에서 현행 조문을 한 번 확인하는 편이 안전해요.
수치 하나만 덧붙일게요. 앞서 인용한 충청투데이 기사는 국회 행정안전위원회 소속 박정현 의원이 받은 자료를 인용해, 시·도별 공공기관에서 2년간 구직자 351명이 AI 검사에서 탈락했다고 전했어요. 2024년 10월 기사이고 대상은 공공기관이니 지금의 민간 채용 규모로 옮겨 읽으면 안 돼요.
요구는 기억이 아니라 기록으로 해요. 전형이 끝난 뒤에 다시 모으기 어려운 것부터 남겨 두면 나중에 문장을 쓰기가 훨씬 쉬워요.
다음 한 걸음은 간단해요. 지원했던 회사의 홈페이지에서 자동화된 결정에 관한 공개 문서를 찾아보고, 그 문서에 적힌 창구 주소를 지금 메모해 두세요. 요구를 보낼지 말지는 그 문서를 읽고 나서 정해도 늦지 않아요.
함께 보면 좋은 글로는 AI가 내놓은 결과를 그대로 믿기 전에 확인하는 방법을 다룬 AI 답변의 사실 여부를 확인하는 절차를 추천해요. 회사가 준 설명을 읽고 판단할 때도 같은 습관이 도움이 돼요.
아니에요. 개인정보보호위원회가 펴낸 '자동화된 결정에 대한 정보주체의 권리 안내서'는 질의 답변에서 '인공지능(AI)을 활용한 채용 절차라고 하더라도 모두 동일하게 권리 행사의 대상이 되는 것이 아니며, 채용심사 과정에 실질적인 인적 개입이 있는지, 자동화된 시스템에 의한 개인정보 처리와 결정 사이에 실질적인 관련성이 있는지 등의 구체적이고 개별적인 맥락을 고려해야 함'이라고 적어요. 같은 안내서는 AI 면접만으로 불합격 결정을 한 경우를 자동화된 결정에 해당하는 사례로, 권한 있는 인사위원회가 AI가 산출한 자료를 다른 요소와 함께 종합 검토해 최종 결정한 경우를 해당하지 않는 사례로 나눠 적고요.
조문의 문장 자체가 달라요. 개인정보 보호법 제37조의2 제1항은 자동화된 결정이 '자신의 권리 또는 의무에 중대한 영향을 미치는 경우'에 거부할 수 있다고 적으면서, 그 결정이 제15조제1항제1호(동의)·제2호(법률)·제4호(계약)에 따라 이루어진 경우는 그러하지 아니하다는 단서를 붙여요. 반면 같은 조 제2항은 '개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다'고만 적고, 중대한 영향이라는 조건도 그 단서도 문장에 없어요. 그래서 거부권은 막히는데 설명 요구권은 살아 있는 상황이 생겨요.
개인정보 보호법 시행령 제44조의3 제5항은 개인정보처리자가 거부·설명등요구에 따른 조치를 '받은 날부터 30일 이내에 서면등의 방법으로' 해야 한다고 적어요. 다만 같은 항 단서는 30일 이내에 처리하기 어려운 정당한 사유가 있으면 그 사유를 알리고 '2회에 한정하여 각각 30일의 범위에서' 기간을 연장할 수 있다고도 적어요. 거절하는 경우는 기간이 달라요. 개인정보보호위원회 고시 제2024-9호 제8조 제2항은 거절 사유와 이의제기 방법·절차를 요구받은 날부터 10일 이내에 알려야 한다고 적어요.
회사가 스스로 정해 공개한 창구로 보내요. 시행령 제44조의2는 거부와 설명·검토 요구가 '개인정보처리자가 마련하여 제44조의4제1항제5호에 따라 공개하는 방법과 절차에 따라야 한다'고 적고, 제44조의4 제1항은 그 방법과 절차를 인터넷 홈페이지 등을 통해 공개하라고 적어요. 같은 조가 준용하는 시행령 제41조 제2항은 그 창구를 개인정보를 수집한 창구보다 어렵지 않게 만들라고 요구하면서 서면·전화·전자우편·인터넷처럼 쉽게 쓸 수 있는 방법으로 제공할 것을 조건으로 들어요. 그래서 지원서를 넣은 채용 사이트 안이나 회사 홈페이지의 개인정보 관련 안내를 먼저 보는 게 순서예요.
전부는 아니에요. 시행령 제44조의3 제2항은 '간결하고 의미있는 설명'을 제공하라고 적으면서 그 안에 담길 것을 결정의 결과, 사용된 주요 개인정보의 유형, 그 유형이 결정에 미친 영향 등 주요 기준, 개인정보의 처리 과정 등 결정이 이루어지는 절차 네 가지로 정해요. 알고리즘 내부나 원본 점수표를 넘겨받는 절차가 아니에요. 또 같은 항 단서는 그 결정이 중대한 영향을 미치지 않는 경우라면 회사가 미리 공개한 사항 중 일부만 알릴 수 있다고 적어요.
회사 밖 창구가 남아요. 개인정보 보호법 제62조 제1항은 개인정보에 관한 권리나 이익을 침해받은 사람이 보호위원회에 침해 사실을 신고할 수 있다고 적고, 같은 조 제2항은 전문기관이 개인정보침해 신고센터를 설치·운영해야 한다고 적어요. 신고센터는 한국인터넷진흥원이 운영하고 대표 번호는 118이에요. 또 제43조 제1항은 분쟁조정위원회에 분쟁조정을 신청할 수 있다고 적고, 같은 조 제3항은 개인정보처리자가 분쟁조정 통지를 받으면 특별한 사유가 없으면 조정에 응해야 한다고 적어요.
요구 자체를 막는 문장은 조문에 없지만 받는 답의 무게가 달라요. 안내서는 중대한 영향 판단 사례에서 '채용 합격 결정과 같이 정보주체에게 긍정적 영향만을 미치는 결정은 중대한 영향을 미친다고 보기 어려움'이라고 적고, 반대로 채용 불합격 결정은 상당 기간 소득 활동 기회 박탈이라는 불이익을 발생시키고 되돌리기 어려운 경우라면 중대한 영향을 미친다고 볼 수 있다고 적어요. 중대한 영향이 아니라고 판단되면 시행령이 정한 네 가지 설명 대신 미리 공개된 사항 일부를 알리는 선에서 끝날 수 있어요.