로마 법원, 관할권 사유로 가란테(이탈리아 개인정보보호청)의 오픈AI 1,500만 유로 과징금 취소

2026년 3월 18일 로마 법원은 이탈리아 개인정보보호 당국이 OpenAI에 대해 내린 결정을 전면 취소했다: 1,500만 유로의 벌금과 ChatGPT가 개인 데이터로 어떻게 훈련되는지에 관한 6개월간의 공개 정보 캠페인을 실시하라는 명령. 법원은 OpenAI가 GDPR을 준수했다고 판단하지 않았다. 법원은 Garante — Autorità Garante per la Protezione dei Dati Personali —가 더 이상 결정을 내릴 권한이 있는 당국이 아니라고 판단했다. 그 근거는 관할권이었다 — 법원이 그날 설명하지 않았고 2026년 5월 28일 판결 이유 전문이 공개되었을 때에야 분명해진 점 — 그리고 그것은 한 날짜에 달려 있었다: 아일랜드 데이터 보호 위원회가 2024년 2월 15일, Garante의 최종 결정보다 8개월 반 앞서 OpenAI Ireland Ltd를 유럽경제지역 내 회사의 단일 설립지로 인정했으며, GDPR의 원스톱숍 메커니즘에 따라 그때까지 해당 파일은 더블린에 있었어야 했다. Reuters는 2026년 3월 19일 이 판결을 보도하며 법원이 당시 아무런 설명도 내놓지 않았다고 언급했다; Garante는 논평을 거부했다. 기록의 심각도 등급, 신뢰도 평가 및 전체 출처 목록은 다음 자료에 실려 있다: Orca AI Incident Archive, 그 주변에 제출된 다른 유럽 규제 항목들과 함께.

무효화된 것은 무엇이며, 법원이 말하지 않은 것은 무엇인가

문제의 결정은 Garante의 2024년 11월 2일자 provvedimento n. 755로, 2024년 12월 20일에 공개되었다. 이 결정은 OpenAI가 2023년 3월에 발생한 개인정보 침해를 당국에 통지하지 않았고, 적절한 법적 근거를 먼저 확인하지 않은 채 ChatGPT를 훈련시키기 위해 사용자의 개인정보를 처리했으며, GDPR의 투명성 및 정보 제공 의무를 위반했고, 연령 확인 메커니즘을 전혀 마련하지 않았음을 확인했다. 그 결과 — Garante의 표현에 따르면 — 13세 미만 아동이 자신의 발달 단계에 부적절한 응답에 노출될 위험이 있었다.

1,500만 유로라는 금액은 Garante 자체의 설명에 따르면 "회사의 협조적 태도도 고려하여" 산정된 것이었다. 이 결정에서 더 이례적인 부분은 두 번째 명령이었다. 이탈리아 개인정보 보호법 제166조 제7항을 처음으로 적용한 당국은 라디오, 텔레비전, 신문, 인터넷을 아우르는 6개월간의 기관 캠페인을 실시할 것을 요구했으며, 그 내용은 당국과 합의해야 하고, ChatGPT 이용자와 비이용자 모두를 대상으로 자신들의 데이터가 훈련을 위해 어떻게 수집되는지, 그리고 이에 어떻게 이의를 제기하고 정정하거나 삭제할 수 있는지를 설명해야 했다.

2026년 3월 18일 법원은 그 결정을 전부 취소했다. 법원은 그날 이유를 제시하지 않았다. Garante는 3월 19일 판결을 받았고, 판결의 전체 이유는 2026년 5월 28일에야 공개적으로 확인할 수 있게 되었다. 이는 Theodore Christakis와 Giulio Monga가 European Law Blog에 기록한 바와 같다. Reuters에 전달된 OpenAI의 답변은, 결정을 환영하며 "항상 사용자 개인정보를 존중해 왔다"고 밝히고, 더 많은 이탈리아 국민과 기업, 사회가 AI의 혜택을 누릴 수 있도록 돕기를 기대한다는 것이었다. Garante는 논평하지 않았다.

3주, 그다음 8개월 반

이 사건의 관건은 연대기다. Garante는2024년 1월 26일에 제재 절차를 개시했다. 2024년 2월 15일에 — 약 3주 후 — 아일랜드 데이터 보호 위원회는 OpenAI Ireland Ltd를 EEA에서 OpenAI의 단일 설립체로 공식 인정했다. Garante는2024년 11월 2일에 — 그 인정으로부터 약 8개월 반 후 — 최종 결정을 채택했다.

설립과 인정 사이의 그 구분은 중요합니다. OpenAI Ireland Ltd는 2023년 3월 24일에 설립되었지만, "단일 설립"은 EU 데이터 보호법의 자율적 개념으로서 안정적인 약정을 통해 활동을 효과적이고 실제로 수행하는지에 달려 있으며, 두 날짜가 일치할 필요는 없습니다. 2024년 2월 15일에 바뀐 것은 아일랜드 회사의 존재가 아니라 원스톱숍 목적을 위한 그 회사의 인정이었습니다.

GDPR 제56조 제1항은 컨트롤러의 주된 또는 단일 설립지의 감독기관에 국경 간 처리에 대한 배타적 권한을 부여하며, 해당 기관이 주도 감독기관으로서 역할한다. 로마 법원은 유럽 데이터 보호 이사회의 의견 8/2019, 특히 행정 절차가 이미 계류 중인 상황에서 주된 또는 단일 설립지의 설정 또는 제3국에서 EEA로의 이전에 관한 4.3.2절을 근거로 삼았다. 그 해석에 따르면, 최종 결정이 채택될 때까지 언제든지 권한이 새로운 주도 감독기관으로 전환될 수 있으며, 계류 중인 모든 절차는 그에 따라 이전되어야 한다.

Garante는 그 문제를 예상하고 파일을 분할했다. 2024년 12월 보도자료에서 Garante는 조사 중에 OpenAI가 아일랜드에 유럽 본부를 설립했기 때문에, 당국이 "절차 문서를 아일랜드 데이터 보호 당국(DPC)에 이관했으며, DPC는 유럽 본부 개설 전에 종결되지 않은 진행 중인 위반 사항을 계속 조사하기 위해 GDPR상 주도 감독 당국이 되었다"고 밝혔다. 이 구분은 Garante 자체의 판단이었다. 즉 Garante는 종결되었다고 본 것은 보유하고, 계속된다고 본 것은 넘겼다. 법원은 그러한 분할이 Garante에게 허용되지 않는다고 판시했다.

판결이 판단을 좌우한 단어

거의 모든 분쟁은 의견 8/2019의 제16항으로 귀결되는데, 이 항은 동 의견에서 검토한 문제들이 "주로 계속적 또는 지속적 성격의 침해와 관련된다"고 밝히고 있다. Garante는 이를 한계로 해석했다. 즉, 이전(transfer) 논리는 계속적 침해를 위해 설계된 것이므로, EEA 설립이 존재하기 전에 이미 완료된 행위에는 미칠 수 없다고 보았다. OpenAI는 "주로"를 배타적이기보다는 서술적인 표현으로 읽었다. 법원은 OpenAI의 해석에 동의하며, "주로"는 해당 문제가 가장 자주 발생하는 사건 유형을 나타내는 것일 뿐, 절차가 여전히 계류 중이고 최종 결정이 내려지지 않은 완료된 침해에도 동일한 논리가 적용되는 것을 배제하지 않는다고 판시했다.

Garante의 대안은 이탈리아 민법의 tempus regit actum 원칙이었다 — 즉 당시 시행 중인 법이 적용된다는 원칙이다. 법원은 사실관계에 비추어 이를 배척했다: 이는 법의 연속이 아니라 사실의 연속이었다. 판결의 논리에 따르면 결정적 시점은 침해일도 수사 개시일도 아니라 최종 결정이 채택된 날이다. 그 시점 이후 관할권은 확정된다.

본안에 대한 판단에는 이르지 않았다.

법원은 첫 번째 항소 이유인 권한 결여를 받아들이고, 나머지 모든 항소 이유는 "흡수"되었다고 선언했다. 훈련의 법적 근거, 투명성, 연령 확인 또는 지연된 침해 통지에 대해서는 어떠한 판단도 하지 않았다. 1,500만 유로가 비례적인지에 대해서는 아무 말도 하지 않았다. 그 질문들은 형식적으로 답변되지 않은 채 남아 있다.

그것이 보도에서 가장 쉽게 놓치는 지점이다. 이탈리아 기업 뢰들 앤 파트너(Rödl & Partner)가 2026년 6월 메모에서 표현한 것처럼, 그 판결은 "오픈AI의 관행에 대한 실질적인 청신호로 읽어서는 안 된다. 그것은 단지 적절한 감독 당국으로의 권한 이전일 뿐이다." 아카이브의 항목은 이 사건에 대해 실제 세계에서의 피해를 기록하지 않으며, 이는 신원이 확인된 사람들에게 입증된 피해가 있었는지보다 누가 결정할 수 있는지가 핵심이었던 사건과 부합한다.

파일이 더블린에 보관될 곳이 있는지 여부

판결에 대한 가장 실질적인 반대 논거는 이관받는 기관 역시 그 사건을 판단하지 못할 수 있다는 것이다. 크리스타키스와 몽가는 2026년 6월 4일 European Law Blog에 「Establish, Then Escape?」라는 제목으로 기고하면서, 법원의 해석은 관할 이전이 아니라 집행 공백을 낳는다고 주장한다. 그들이 드는 구체적 예는 침해 통지다. 침해는 2023년 3월 20일에 발생했고 Garante에 통지할 의무는 72시간 후에 도래했는데, 그때 OpenAI에는 EU 설립체가 없었고 OpenAI Ireland Ltd는 아직 설립되지 않았다. Garante는 해당 위반을 이미 소멸한 것으로 분류하고 자신이 계속 처리할 사안으로 남겨 두었다. 법원의 논리에 따르면 그 혐의를 포함한 결정 전체가 실효된다. 저자들은 아일랜드 당국의 권한은 해당 의무가 발생했을 당시 존재하지 않았던 설립체에서 비롯되어 그 이후에 생긴 것인 만큼, 아일랜드 당국이 이탈리아 정보주체와 관련해 Garante에 제출해야 하는 통지를 어떻게 심리·판단할 수 있을지 이해하기 어렵다고 주장한다.

그들은 그 논변의 한계를 주의하고 있으며, 독자도 그렇게 해야 한다. 그들은 반대 입장, 즉 GDPR은 연합 전역에 적용되는 단일한 수단이므로 어느 당국이 주도 감독당국이 되든 사실관계가 발생한 시점과 무관하게 이를 집행할 수 있다는 입장을 기록하고, 이 쟁점은 다툼의 여지가 있다고 본다. 그들은 Opinion 8/2019의 section 4.3.2를 적용한 이전의 국내 법원 판결을 알지 못하며, 이 판결이 단일 판사에 의한 제1심 판결이고, 설립 전 행위에 대한 Article 56의 적용 범위는 그들에게 명확하기보다는 미확정된 것으로 보인다고 지적한다. 그들의 권고는 Article 267 TFEU에 따른 유럽사법재판소에 대한 선결적 판결 요청이다.

집행 공백은 학설상의 예측에 그치는 것이 아니다. Theodore Christakis는 판결 다음 날 Cross-Border Data Forum에 기고하면서, 2022년 11월부터 2023년 3월까지의 ChatGPT 출시 기간에 발생한 GDPR 위반과 관련하여 다른 유럽 데이터 보호 당국이 최종 집행 결정을 발표한 사례가 없으며, 2024년 5월 EDPB의 ChatGPT 태스크포스 보고서에는 예비적 견해만 담겨 있었다고 기록했다. 그런 점에서 유럽이 생성형 AI 출시 기간 동안 내놓은 유일한 최종 GDPR 집행 결정은 이제 무효화되었다.

3월 18일 이후 무엇이 바뀌었나요?

벌금은 이미 집행이 정지되어 있었다. 2025년 3월 21일 같은 법원은 판결이 나올 때까지 제재의 효력을 정지했으며, 그 조건은 보증, 즉 카우치오네, 다시 말해 보증금이었다. Altalex의 해당 명령 설명에 따르면 그렇다. 그 정지는 본안에 영향을 미치지 않았고, 1년 뒤의 취소도 마찬가지였다.

Garante는 해당 사건을 기록에서 삭제한 것이라기보다는 제쳐 둔 것에 가깝다. 결정 755호에 관한 Garante의 보도자료 페이지에는 이제 판결 제4153/2026호 이후 해당 결정이 "Garante 웹사이트에서 일시적으로 삭제되었다"는 안내가 실려 있다. ‘일시적으로’라는 말은 당국이 직접 쓴 것이다.

항소 문제와 관련해, 자료들은 일관되지만 불완전하다. Christakis와 Monga는 Garante가 아직 Corte di Cassazione에 상고할 수도 있다고 지적한다. Cross-Border Data Forum은 2026년 3월 19일, 판단 이유가 공개되지 않았기 때문에 당시 당국은 상고할 것인지 말할 수 있는 입장이 아니었다고 기록했다. 이 기사를 위해 검토한 자료들에서는 그 이후 상고 제기에 관한 보고를 찾을 수 없었고, 이관된 파일에 대한 아일랜드 데이터 보호 위원회의 최종 결정도 없었다. 어느 부재도 아무 일도 일어나지 않았다는 증거가 되지 않는다. 둘 다 결과가 아직 확정되지 않았음을 의미한다.

확립된, 논쟁 중인, 열린

• 확인된 사항: 2026년 3월 18일자 판결 제4153/2026호가 2024년 11월 2일자 결정 제755호를 전부 취소하여 1,500만 유로의 과징금과 6개월간의 미디어 캠페인 명령을 철회하였다는 점; 그 주문 부분이 같은 날 이유를 제시하지 않은 채 낭독되었다는 점; 공개된 근거가 원스톱숍, 2024년 2월 15일 DPC의 OpenAI Ireland Ltd 인정, 및 EDPB 의견 8/2019에 기반한다는 점.

• 쟁점: 계류 중인 서류가 문제된 행위보다 나중에 관할권을 취득한 기관으로 적법하게 이전될 수 있는지 여부. 법원은 그렇다고 보았다; Christakis와 Monga는 그렇게 해석하면 설립 전 행위를 집행할 수 없게 된다며 유럽사법재판소가 판단해 주기를 바란다; Rödl & Partner와 ICT Legal Consulting은 대신 그 판결이 절차 진행 중 설립 변경에 원스톱숍이 어떻게 적용되는지를 명확히 한 것이라고 설명한다.

• 미결:가란테가 사건을 Corte di Cassazione에 제소하는지, 어떤 법원이 이를 룩셈부르크로 회부하는지, 그리고 아일랜드 당국이 접수한 파일의 해당 부분에 대해 결정을 내리는지 여부.

1500만 유로는 사라졌다. 이 사건이 제기한 질문 — 유럽에서 누가 생성형 AI 제공업체에 대해, 그 업체가 유럽에 설립되기 전 기간에 관해 GDPR에 따라 책임을 물을 수 있는가 — 는 그저 다른 책상으로 옮겨졌을 뿐이다.