AI 서비스 유출 통지 늦어도, 이용자 권리는 있다
2026년 9월 11일부터 개인정보처리자는 유출이 '의심'되기만 해도 72시간 안에 이용자에게 통지하고 당국에 신고해야 한다. 해외 AI 서비스라도 한국 이용자를 대상으로 하면 이 의무가 적용돼, 통지가 늦거나 없으면 과태료 대상이 된다. 통지문에 담긴 분쟁조정·법정손해배상 안내를 확인하고 비밀번호 변경 같은 계정 조치를 먼저 해두면 2차 피해를 줄일 수 있다.
유출 '의심'만으로도 72시간이 시작된다
개인정보가 실제로 샜는지 확정되지 않아도, 의심 단계에서 이미 시계가 돌아간다. 2026년 9월 11일 시행된 개정 개인정보 보호법 시행령은 불법 접근 등이 의심되면 그 사실을 안 때부터 72시간 안에 이용자에게 통지하도록 했다. 같은 72시간 안에 개인정보보호위원회와 한국인터넷진흥원(KISA)에 신고도 해야 한다. 신고를 빠뜨리면 3천만원 이하 과태료가 부과된다.
통지에는 유출 가능성이 있는 항목, 의심 시점과 경위, 피해를 줄일 방법이 담겨야 한다. 이후 실제 유출로 확정되거나 아닌 것으로 밝혀지면 그 사실도 다시 통지해야 한다. 과거엔 유출이 확정된 뒤에야 알리는 경우가 많았지만, 이제는 '의심' 단계부터 알릴 의무가 생긴 셈이다. 참고로 2025년 유출 신고는 447건으로 전년보다 45.6% 늘었다. 고의나 중과실로 대규모 유출을 내거나 같은 위반을 반복하면 전체 매출액의 최대 10%까지 과징금이 매겨질 수 있을 만큼, 통지와 신고 의무는 가볍지 않다.
해외 AI 서비스도 예외가 아니다
Anderson Guerra
"외국 회사가 운영하는데 국내법이 통하나" 싶을 수 있다. 개인정보위는 해외사업자라도 한국 이용자를 대상으로 서비스를 제공하면 보호법이 적용된다고 본다. 실제로 한 생성형 AI 서비스에서 전 세계 이용자의 이름과 이메일이 노출됐을 때 한국 이용자도 포함됐고, 개인정보위가 직권으로 조사에 나섰다. 한국어 서비스를 제공한다는 점 자체가 적용 근거가 된 사례도 있다.
즉 통지가 늦거나 아예 없었다면, 그 사실만으로도 사업자의 의무 위반이 될 수 있다.
통지가 늦었다면, 피해구제 절차
이용자가 쓸 수 있는 권리는 통지 여부와 상관없이 살아 있다. 2026년 9월 개정으로 유출 통지문에는 손해배상·법정손해배상 청구, 분쟁조정 같은 법적 권리 안내가 반드시 포함되도록 바뀌었다. 통지를 받지 못했다면 다음 순서로 움직이면 된다.
- 유출 사실 확인: 서비스 공지, 언론 보도, 개인정보위 처분 내역으로 확인한다.
- 신고·상담: 개인정보침해신고센터(국번 없이 118)나 privacy.go.kr에 신고·상담한다.
- 분쟁조정: 개인정보분쟁조정위원회에 조정을 신청한다. 소송보다 빠르게 매듭지어질 수 있다.
- 손해배상: 실제 손해액을 입증하지 못해도 법정손해배상으로 최대 300만원까지 청구할 수 있다.
증거부터 모으는 게 먼저다. 가입 내역, 유출 공지문, 피해를 짐작할 수 있는 문자·메일을 캡처해 두면 조정이나 소송에서 유리하다.
내 계정에서 지금 할 수 있는 일
제도와 별개로, 통지를 기다리는 동안 스스로 할 수 있는 조치가 있다.
- 해당 서비스의 비밀번호를 바꾸고, 같은 비밀번호를 쓴 다른 서비스도 함께 변경한다.
- 2단계 인증(2FA)을 켠다.
- 등록된 결제수단과 최근 로그인 기록을 확인한다.
- AI 서비스라면 대화·입력 내용이 학습에 쓰이지 않도록 하는 설정이 있는지 본다.
- 이름·이메일이 노출됐다면 사칭·피싱 메일을 특히 경계한다.
유출 자체는 막지 못해도, 2차 피해는 이런 조치로 줄일 수 있다.