提示：完整原文可在文章末尾"阅读原文"处获取。
作为亚太地区个人信息保护与AI监管先行的代表性法域，韩国近年持续迭代《个人信息保护法》（PIPA），试图在个人信息权益保护与人工智能产业创新之间寻求监管平衡。韩国《个人信息保护法》（PIPA）修正案已于8月20日经韩国国会表决通过，为AI研发场景下个人信息利用创设法定例外通道。9月10日，韩国个人信息保护委员会（PIPC）配套发布实施公告，一方面针对金融行业收紧居民登记号这类核心高敏感身份信息的全生命周期管控规则，强化最小必要、安全存储与风险评估义务；另一方面落地本次修法的核心亮点，新增AI研发场景个人信息使用的法定例外条款，明确在满足严格前置条件、经监管审议后方可将合法收集的个人信息用于模型训练。该规则并非无条件豁免用户同意，而是采用“有限开放+强事前审查+严格边界约束”的监管模式，对拟布局韩国市场的国内大模型、MaaS、AI训练服务企业而言，直接重塑了当地AI数据处理的合规路径，需要重点关注。
▍ 一、敏感个人信息管控新规
1.适用对象：金融行业居民登记号（韩国国民身份证号），属于可直接唯一识别、定位特定自然人的高敏感身份信息，在PIPA体系内受到最严格保护。
2.收集规则：严格落实最小必要原则，缩减非必要收集场景与收集范围，禁止在无合理必要性情形下采集居民登记号。
3.存储管控：要求采用强加密存储方案，实施分级访问权限、操作全日志留存与常态化内部审计机制；区分运维、业务、开发人员权限，严控内部人员非法访问、导出敏感身份信息。
4.评估义务：处理该类敏感信息前，企业必须完成个人信息影响评估（PIA），识别信息泄露、未授权访问、滥用等风险，配套完整风险消减方案，防范信息泄露、非法滥用等风险。
5.持续管理义务：企业需定期复核居民登记号存储的必要性，业务终止后及时、安全删除或匿名化该类敏感信息，不得无期限留存。
▍ 二、AI模型训练场景法定例外适用规则（实务重点）
1.适用前提，满足二者其一：
①仅依靠假名化、匿名化数据，无法支撑AI模型研发，会实质性阻碍AI开发活动，且企业已穷尽其他数据替代方案；
②出于公共利益需要开展AI研发项目。
2.核心限制：不免除用户同意义务，企业必须向PIPC提交全套证明材料，经委员会审议通过后方可启用该例外条款，不可自行适用。
3.配套义务：落实数据安全防护措施；在隐私政策中专门披露该类个人信息用于AI模型训练的数据处理用途。
4.边界提示：该例外仅适用于模型研发训练阶段，不得将该数据用于模型上线后的推理、营销等其他目的。
5.材料要求：提交PIPC的申请材料，需包含项目必要性说明、风险评估报告、安全保护措施、数据生命周期处置方案等完整文件。
1.罚款上限：发生严重违规行为时，最高可处以企业全球营业额10%的罚款，原处罚上限为全球营业额3%，处罚力度显著提升。
2.责任主体：明确企业高管对个人信息处理活动承担最终法律责任，改变过去以企业罚则为主的监管模式。
3.附加要求：若借助例外条款处理高度敏感个人信息，企业需要额外开展专项风险评估并制定数据泄露补救预案。
4.其他惩戒措施：除罚款外，监管机构可下达业务暂停令、要求删除违规处理的个人信息、公开企业违规事实，对出海企业品牌与业务落地产生直接负面影响。
1.优先方案：AI模型训练数据集优先采用假名化、匿名化数据，尽量避免使用原始个人信息，规避复杂的前置审批流程。
2.前置申报：确有业务必要使用原始个人信息训练模型，应当提前开展评估、准备全套证明资料，提交PIPC履行审议程序。
3.分级管理：区分普通个人信息、居民登记号等高敏感信息，两类信息对应的合规义务强度、评估要求差异显著，不可统一处理。
4.重识别风险防控：假名化数据依然存在被大模型反向重识别的法律风险；一旦实现自然人重识别，将直接构成PIPA项下违规。
5.本地化注意事项：面向韩国市场提供服务，隐私政策、告知文本需提供韩文版本；建议配备熟悉PIPA规则的数据保护官，负责监管沟通、文档维护与内部合规审计。
韩国本次修法体现亚太监管的典型思路：在守住个人信息保护底线的前提下，为AI产业留出有限、可控的数据使用空间，并非无门槛放开个人信息用于模型训练。对于计划进入韩国市场的国内算力、大模型企业，应当区分不同数据类型，分层设计数据处理方案，优先采用脱敏方案；确需使用原始个人信息开展模型训练，务必提前评估PIPC事前审议、隐私政策更新、风险评估等一系列前置义务。
同时，新规大幅拉高处罚上限并压实高管责任，出海企业需要将韩国本地的数据合规纳入跨境业务立项评估，在项目立项阶段即开展数据合规尽职调查，避免因不熟悉当地特殊条款引发高额行政处罚、业务停摆。韩国PIPA的AI相关修订，也可以作为国内企业布局亚太其他领域AI业务的重要参考样本。
马军
业务领域：人工智能与数据合规、竞争法、企业出海；
扫描二维码
了解作者详情
