멜로니의 안면인식 법령, EU의 우려 낳아

조르자 멜로니 총리 정부는 공공장소 또는 일반에 개방된 장소에서 실시간 원격 생체 식별을 위해 경찰이 인공지능 시스템을 사용할 수 있도록 허용하는 입법 법령을 마무리하고 있다. 콘서트, 시위, 축구 경기를 염두에 두고 마련된 이 조치는 유럽연합의 AI법을 이탈리아 국내법으로 전환하는 것이지만, 여러 개인정보 보호 전문가들은 이 법령에 담긴 안전장치만으로는 EU 법과의 충돌을 피하기에 충분하지 않다고 경고한다. 엘 파이스가 이를 보도했다.

법령이 실제로 허용하는 내용

총 21개 조항으로 구성된 이 법령은 이미 개시된 형사 수사에서의 생체정보 사용과, 범죄 '예방'을 목적으로 한 사용을 구분한다. 후자가 가장 논쟁적인 부분이다. 제8조는 경찰이 원격 생체 식별을 발동할 수 있는 경우를 규정한다. 생명이나 신체에 대한 구체적이고 실질적이며 임박한 위협이 있는 경우, 실제 테러 공격의 위협이 있는 경우, 또는 실종자나 납치·인신매매·성적 착취 피해자를 수색하는 경우다.

수사판사의 승인이 필요한 일반 형사 수사와 달리, 예방적 목적의 사용은 경찰서장(questore), 카라비니에리 또는 재무경찰의 지방 사령관이 관할 지검 검사에게 요청하는 방식으로 이루어진다. 의회 위원회에서의 논쟁 끝에 정부는 두 번째 통제 장치를 추가했다. 검사 외에도 예비수사판사의 승인이 필요하게 되었다고 이탈리아 매체 링키에스타는 전한다.

• 추구하는 목적과 방지하려는 구체적 위협
• 기간 — 최대 15일, 연장 가능
• 시스템이 발동될 정확한 지리적 범위
• 알려진 경우, 수색 대상자 또는 관련자
• 사용되는 데이터베이스와 기술

긴급한 경우 경찰은 사전 승인 없이 시스템을 발동할 수 있으며, 검사에게 구두로 통지하는 것으로 충분하다. 검사는 48시간 이내에 해당 작전을 승인해야 한다. 법령은 또한 영구적인 생체정보 데이터베이스는 구축되지 않으며, 예방 목적으로 수집된 정보는 형사 절차에서 증거로 사용될 수 없다고 명시하고 있다.

전문가들이 우려하는 이유

이탈리아의 개인정보 감독기구인 '개인정보보호 보장청(Garante per la Protezione dei Dati Personali)'은 최초 법령안이 실시간 안면인식에 대한 AI법의 제한 규정과 양립할 수 없다고 판단했고, 이로 인해 하원 표결이 연기되었다고 전문 매체 바이오메트릭 업데이트가 보도했다. 유럽집행위원회 대변인은 단호하게 다음과 같이 밝혔다.

일반에 접근 가능한 공공장소에서의 안면인식은 유럽 AI법상 금지된 행위다.

다만 레니에 대변인은 이탈리아의 정책을 구체적으로 검토하지 않은 상태에서는 이 금지 조항이 실제로 적용되는지 단정할 수는 없다고 덧붙였다. 이는 브뤼셀 내부에서도 이번 사안을 둘러싼 법적 해석이 간단치 않으며, 최종 판단은 결국 유럽사법재판소나 유럽 데이터보호이사회의 몫으로 넘어갈 가능성이 크다는 점을 보여준다.

유럽사법재판소는 국가 당국의 개인정보 접근이 기본권에 대한 중대한 침해 위험을 수반할 경우, 그 접근은 판사나 독립된 행정기관에 의한 사전 심사를 거쳐야 한다고 판시한 바 있다. 이것이 예비수사판사를 두 번째 견제 장치로 추가하게 된 핵심 논거였다.

이번 사례는 처음이 아니다. 2023년 1월, 멜로니 정부는 이미 예방적 전화 감청에 대한 통제 권한을 로마 항소법원 검찰총장에게 이관한 바 있으며, 그 과정에 판사의 개입은 없었다. 주목할 점은 형사변호사 단체인 카메레 페날리, 루이지 에이나우디 재단, 리베르타 에구알레처럼 평소 정부와 가까운 것으로 여겨지던 목소리들까지 사법적 견제를 약화시킨다는 이유로 새 법령에 대한 비판에 가세했다는 것이다.

이번 논쟁은 볼로냐의 폭동과 수사 계곡에서의 격렬한 시위 이후 다시 불붙었다. 이탈리아 통신사 안사에 따르면 이 과정에서 수십 명의 경찰관이 부상을 입었다. 멜로니 총리 측은 이탈리아가 「지금까지 그래왔듯이 AI법을 시작으로 일반에 접근 가능한 공공장소에서의 안면인식에 관한 유럽 규정을 계속 준수할 것」이라고 강조한다.

유럽 AI법과의 정면충돌

AI법은 공공장소에서의 실시간 원격 생체 식별을 '수용할 수 없는 위험'으로 분류하여 원칙적으로 금지하며, 엄격하게 규정된 세 가지 예외만을 허용한다. 실종자 수색, 임박한 테러 위협, 특정 중대 범죄 용의자의 소재 파악이 그것이다. 공교롭게도 이는 이탈리아가 자국 법령을 정당화하기 위해 원용하는 예외 사유와 정확히 일치한다. 유럽집행위원회는 지난 5월, 경찰의 생체 식별 시스템과 같은 고위험 시스템이 규정을 완전히 준수해야 하는 기한을 2027년 12월로 연기했다. 로마는 이 유예 기간을 자국의 국내법을 마무리하는 데 활용하고 있다.

안면인식 시스템을 개발하거나 판매하는 한국 기업들에게 이번 이탈리아 사례는 EU 전역에서 앞으로 요구될 규정 준수의 예고편과 같다. AI법은 기업의 소재지와 무관하게 생체 식별 시스템을 유럽 시장에 출시하는 모든 사업자에게 적용된다. 이탈리아 경찰이나 다른 EU 회원국에 이러한 기술을 판매하려는 한국 기업은 로마가 요구받고 있는 것과 동일한 안전장치, 즉 명확하게 정의된 목적, 비례성, 그리고 사전 사법 심사를 입증해야 한다. 실제로 스페인 정부는 안면인식 전문기업 헤르타(Herta)와 규제 샌드박스 시범사업을 이미 완료해, 목적과 비례성, 사전 사법 통제를 충분히 문서화하면 공공장소 안면인식도 AI법 테두리 안에서 운영될 수 있음을 보여준 바 있다. 이 작업은 고위험 시스템에 대한 브뤼셀의 유예 기한이 끝나는 2027년 12월 이전에 마쳐야 한다.