개인정보는 지켰지만 AI는 놓쳤다…GDPR 10년, 유럽 AI 주권의 딜레마

GDPR(General Data Protection Regulation, 일반개인정보보호법)이 시행된 지 10년이 지났지만, 이에 대한 평가는 엇갈린다. 유럽은 물론 세계 각국의 기업에서 개인정보 보호 체계는 이전보다 훨씬 확고하게 자리 잡았다. 반면 기업들은 늘어나는 행정 절차와 법적 불확실성, 경쟁력 저하 등을 이유로 GDPR에 여전히 비판적인 시각을 보이고 있다. 개인정보 보호 측면에서 보면 GDPR은 분명 성공적인 제도로 평가된다. 독일 IT산업협회 비트콤(Bitkom)이 2018년 발표한 조사에 따르면 , GDPR 시행 직전 독일 기업 가운데 규정을 전면 또는 대부분 준수한 곳은 7%에 불과했다. 그러나 6년 후에는 독일 기업의 71%가 GDPR 요구사항을 대부분 또는 완전히 이행했다고 답했다. GDPR은 기업과 소비자 모두의 개인정보 보호 인식도 크게 높였다. 소비자들은 개인정보 처리의 투명성과 동의 절차, 데이터 보안을 이전보다 더욱 중요하게 여기고 있다. 기업 입장에서도 개인정보 보호는 고객 신뢰를 확보하는 중요한 경쟁력으로 자리 잡았다. 한편 메타와 틱톡, 우버 등 글로벌 플랫폼 기업에 부과된 사상 최대 규모의 과징금은 GDPR의 강력한 집행 의지를 보여준다. 국제 로펌 CMS가 집계한 바에 따르면, 2026년 3월 기준 공개된 GDPR 과징금 총액은 처음으로 60억 유로 (약 10조 4,800억 원)를 넘어섰다. 다만 현재까지 실제 납부된 금액은 전체의 60%에 그쳤으며, 나머지는 취소됐거나 항소 절차가 진행 중이다. CMS에 따르면 GDPR 집행 방식에도 뚜렷한 변화가 나타나고 있다. 감독기관들은 대형 사건이나 상징적인 사례보다 기업의 실제 규정 준수 여부를 점검하는 데 점점 더 집중하고 있다. 대규모 제재와 대표 사건 중심으로 시작된 GDPR 집행은 이제 기업의 일상적인 개인정보 보호 관행을 상시적으로 점검하는 운영 중심의 감독 체계로 자리 잡고 있다. 기업 “GDPR 부담 갈수록 커진다” 반면 기업들의 불만은 갈수록 커지고 있다. 유럽 전역에 통일된 규정을 마련하고 법적 예측 가능성을 높이기 위해 도입된 GDPR이 이제는 많은 기업에 지속적인 규제 부담으로 인식되고 있다. 이와 관련한 내용은 GDPR 시행 10년을 분석한 비트콤의 보고서 에서 확인할 수 있다. 비트콤이 지난 5월 발표한 해당 보고서에 따르면, 응답 기업의 81%는 GDPR 때문에 업무 프로세스가 더욱 복잡해졌다고 답했다. 2016년 같은 응답은 25%에 불과했다. 또한 2025년에는 응답 기업의 97%가 GDPR 준수에 필요한 부담이 크다고 평가했으며, 이 가운데 44%는 부담이 매우 크다고 답했다. 이 같은 불만의 배경은 다양하다. 비트콤 조사에서 응답 기업의 82%는 개인정보 보호 규정의 구체적인 적용 기준이 불명확하다는 점을 주요 과제로 꼽았다. 또한 86%는 기술과 법률이 계속 변화하는 만큼 GDPR 준수는 결코 끝나는 작업이 아니라고 인식했다. 결국 개인정보 보호는 기업이 지속적으로 대응해야 하는 대표적인 컴플라이언스 과제로 자리 잡고 있다. AI, GDPR의 새로운 시험대 데이터 기반 프로젝트는 GDPR의 영향을 특히 크게 받고 있다. 비트콤 보고서 에 따르면, 응답자의 59%가 개인정보 보호 규제로 인해 데이터 풀 구축이 무산됐거나 아예 추진조차 하지 못했다고 답했다. 데이터 분석 도구와 AI 애플리케이션, 업무 프로세스의 디지털 전환 역시 비슷한 영향을 받고 있는 것으로 나타났다. 특히 AI처럼 대규모 데이터 활용이 혁신의 핵심인 분야에서는 개인정보 보호 규제가 주요 걸림돌로 인식되고 있다는 의미다. 흥미로운 점은 기업들의 인식이 엇갈린다는 것이다. 같은 비트콤 보고서에서 응답 기업의 59%는 유럽의 개인정보 보호 체계가 독일과 유럽의 AI 경쟁력에 도움이 될 수 있다고 평가했다. 그러나 실제 현장에서는 정반대의 경험을 하고 있다. 2025년에는 응답 기업의 69%가 개인정보 보호 규제로 인해 AI 모델 학습에 필요한 충분한 데이터를 확보하기 어렵다고 답했다. 비트콤의 랄프 빈터게르스트 회장은 조사 결과에 대해 “현재와 같은 개인정보 보호 규제로 인해 AI 개발은 유럽이 아닌 다른 지역에서 이뤄지는 반면, 유럽은 완성된 AI 서비스를 그대로 사용하는 상황에 놓여 있다”이라며 “유럽 시민의 개인정보 보호 측면에서 얻는 것은 거의 없고, 유럽의 산업 경쟁력만 약화되고 있다”라고 밝혔다. 이에 따라 비트콤은 개인정보 보호 제도의 개편을 촉구하고 있다. 개인에게 실질적인 위험이 발생하는 영역에서는 개인정보 보호를 강화하는 대신, 형식적인 의무만 부과할 뿐 추가적인 보호 효과가 없는 규제는 완화해야 한다는 주장이다. 빈터게르스트 회장은 이를 위해 GDPR 전반에 위험 기반 접근 방식을 일관되게 적용하고, AI 시스템의 학습과 운영 역시 유럽 내에서 가능하도록 제도적 기반을 마련해야 한다고 설명했다. 다만 기술 경쟁력 강화를 위해 개인정보 보호 기준을 완화해야 한다는 산업계의 요구가 소비자에게도 바람직한지는 별개의 문제다. 분명한 사실은 GDPR이 시행 10년(실제 적용 기준으로는 8년)이 지난 지금도 여전히 중요한 의미를 지니고 있다는 점이다. CMS의 안나 레나 퓔작 변호사는 “GDPR 집행은 이제 초기 단계를 벗어나 유럽 전역의 법률 체계에서 일상적인 요소로 자리 잡았다”라며 “앞으로도 GDPR은 기업 전략에서 핵심적으로 고려해야 할 중요한 과제가 될 것”이라고 평가했다. dl-ciokorea@foundryco.com