🌐 Language / 語言 / 言語 / Idioma:

📋 Korean Law Insight | Technology Law & Data Privacy

By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul

Korean AI Regulation and Data Ethics: A Legal Guide for Foreign Technology Companies

South Korea has emerged as one of Asia's most active regulators of artificial intelligence. With the Act on the Development of Artificial Intelligence and Establishment of Trust Therein (AI Basic Act, enacted December 2023, effective January 2026) and a comprehensive Personal Information Protection Act (PIPA) framework already in place, foreign technology companies operating in or selling AI-powered products into the Korean market face a layered compliance environment that demands careful legal planning.

This guide, prepared by HANBYOL LAW LLC, explains the key legal obligations, enforcement risks, and best practices for foreign AI companies navigating Korea's evolving regulatory landscape.

1. Korea's AI Regulatory Framework

1.1 The AI Basic Act (인공지능 기본법)

Enacted in December 2023 and effective January 22, 2026, Korea's AI Basic Act is the country's first comprehensive statute governing artificial intelligence. The Act establishes a national AI governance structure and distinguishes between "high-impact AI" (고영향 AI) and general AI systems. High-impact AI refers to systems that make or significantly influence decisions in areas including employment, credit, medical diagnosis, legal proceedings, education, and public safety.

Key obligations under the AI Basic Act include:

Transparency requirements: Providers of high-impact AI must disclose that users are interacting with an AI system.
Reliability and safety: Developers must conduct impact assessments for high-impact AI systems before deployment.
Human oversight: High-impact AI systems must allow for human review and override of AI decisions.
Record-keeping: Logs of high-impact AI decisions must be maintained for a prescribed period.
Reporting obligations: Incidents involving AI system failures causing harm must be reported to the relevant authority.

1.2 Sector-Specific AI Regulations

In addition to the AI Basic Act, Korea regulates AI through sector-specific laws:

Financial sector: The Financial Services Commission (FSC) and Financial Supervisory Service (FSS) regulate algorithmic trading, AI-based credit scoring, and robo-advisors under the Capital Markets Act and related regulations.
Healthcare: The Ministry of Food and Drug Safety (MFDS) classifies certain AI-based medical devices (AI-MDx) as regulated medical devices requiring pre-market approval.
Autonomous vehicles: The Ministry of Land, Infrastructure and Transport (MOLIT) regulates AI-based autonomous driving systems under the Automated Vehicle Act.
Deepfakes: The Act on Special Cases Concerning the Punishment of Sexual Crimes criminalizes non-consensual deepfake sexual content, with penalties of up to five years imprisonment.

2. Personal Information Protection and AI Data Processing

2.1 PIPA Obligations for AI Systems

Korea's Personal Information Protection Act (PIPA), substantially amended in 2023, imposes strict obligations on entities processing personal data to train or operate AI systems. Key provisions relevant to AI companies include:

Lawful basis: Processing personal data for AI training requires either consent, contractual necessity, legitimate interest, or another legal basis enumerated in PIPA Article 15.
Purpose limitation: Data collected for one purpose cannot be repurposed for AI training without a new legal basis or data subject consent.
Pseudonymization and anonymization: PIPA creates a special regime for pseudonymized data (가명정보) that may be processed without consent for statistical, scientific, and public interest purposes, including AI research.
Cross-border data transfers: Transferring personal data outside Korea to train AI models requires either consent, adequacy determination, or standard contractual clauses approved by the Personal Information Protection Commission (PIPC).
Automated decision-making: PIPA Article 37-2 (added in 2023) grants individuals the right to opt out of fully automated decisions that significantly affect them, and the right to request human review.

2.2 The PIPC's AI Guidelines

The Personal Information Protection Commission has issued guidance documents (AI 개인정보 보호 가이드라인) clarifying how PIPA applies to AI systems. Key points include requirements for privacy impact assessments (PIA) before deploying AI that processes sensitive data, clear disclosure to users when AI makes consequential decisions, and special protections for AI systems handling children's data.

3. Liability and Enforcement

3.1 Civil Liability for AI-Related Harms

Korea's Product Liability Act (제조물 책임법) may apply to AI systems embedded in products. Where AI software constitutes a "product" or is embedded in a physical product, manufacturers (including foreign companies selling AI-powered goods in Korea) may be liable for defects causing personal injury or property damage.

For AI services (as opposed to products), liability is governed by general tort law under the Civil Act. Plaintiffs must typically prove: (1) negligence or fault by the AI developer/operator; (2) causation between the AI's output and the harm; and (3) quantifiable damages. The causation element presents particular challenges in AI cases given the opacity of model decision-making.

3.2 Regulatory Enforcement

Under the AI Basic Act, the Ministry of Science and ICT (MSIT) is designated as the primary regulatory authority. The PIPC retains enforcement authority for PIPA violations arising from AI data processing. Penalties include:

Administrative fines of up to 3% of global annual revenue for PIPA violations by large companies
Corrective orders, business suspension orders, and public disclosure of violations
Criminal penalties of up to 5 years imprisonment or fines of up to KRW 50 million for intentional violations

4. Compliance Requirements for Foreign AI Companies

4.1 Do Foreign Companies Need a Local Representative?

Under PIPA, foreign companies that process personal data of Korean residents in connection with goods or services offered to Korean residents must designate a local representative (국내대리인) if they exceed certain thresholds (processing data of more than 1 million data subjects, or annual revenue exceeding KRW 10 billion). This local representative is responsible for communications with the PIPC and receives regulatory notices on the company's behalf.

4.2 AI Impact Assessments

The AI Basic Act requires providers of high-impact AI systems to conduct impact assessments addressing safety, reliability, transparency, and ethical considerations. These assessments must be documented and made available to regulators upon request. Foreign companies deploying high-impact AI in Korea must comply with these requirements regardless of where the AI system was developed.

4.3 Practical Compliance Steps

Classify your AI systems as high-impact or general AI under the AI Basic Act criteria
Conduct a PIPA data mapping exercise to identify all personal data used in AI training and operation
Establish legal bases for AI data processing and document them
Implement automated decision-making disclosures and opt-out mechanisms
Designate a local PIPA representative if thresholds are met
Conduct and document AI impact assessments for high-impact AI
Establish incident response procedures for AI system failures
Review cross-border data transfer mechanisms for AI training data

5. Korea's AI Governance in Comparative Context

Feature	Korea (AI Basic Act)	EU (AI Act)
Risk-based classification	High-impact vs. general AI	Prohibited / High-risk / Limited / Minimal
Regulatory authority	MSIT + sector regulators	National authorities + EAIA
Effective date	January 22, 2026	Phased 2024–2027
Extraterritorial scope	Yes (services to Korean residents)	Yes (services to EU residents)
Automated decision-making rights	PIPA Art. 37-2	GDPR Art. 22 + AI Act
Penalties	Up to 3% global revenue (PIPA)	Up to 7% global revenue (AI Act)

Frequently Asked Questions (FAQ)

Q1: Does Korea's AI Basic Act apply to foreign companies with no physical presence in Korea?

Yes. The AI Basic Act applies to AI systems and services offered to users in Korea, regardless of where the provider is incorporated or located. Foreign companies providing AI-powered services accessible to Korean users are subject to the Act's requirements, particularly for high-impact AI systems. This is similar to the extraterritorial reach of the EU AI Act and GDPR.

Q2: What types of AI systems are considered "high-impact" under the AI Basic Act?

High-impact AI includes systems that make or significantly influence consequential decisions in areas such as: recruitment and employment evaluation, credit scoring and financial decisions, medical diagnosis and treatment recommendations, legal proceedings and dispute resolution, educational assessment, and public safety and law enforcement. AI systems used in these domains must comply with stricter transparency, safety, and oversight requirements.

Q3: Can we use Korean users' data to train AI models?

Using personal data of Korean residents to train AI models requires a valid legal basis under PIPA. While consent is one option, it may be difficult to obtain for retrospective AI training. PIPA's pseudonymization regime offers an alternative: data can be pseudonymized and used for AI training without consent for statistical or scientific research purposes. However, pseudonymization must be robust (re-identification should not be reasonably possible), and the AI training purpose must be compatible with a public interest or research justification.

Q4: What are the disclosure requirements when AI is used to make decisions about individuals?

Under PIPA Article 37-2, entities using fully automated systems to make decisions that significantly affect individuals must: (1) disclose that the decision was made by an automated system; (2) allow individuals to request a human review of the decision; and (3) allow individuals to object to the automated decision. The AI Basic Act adds further requirements for high-impact AI, including disclosure that the system is AI-powered and explanation of how the AI arrived at its decision upon request.

Q5: What happens if our AI system causes harm to a Korean user?

Depending on the nature of harm, multiple legal regimes may apply. For physical products incorporating AI, the Product Liability Act provides a strict liability framework (no need to prove fault). For AI services, general tort law applies, requiring proof of negligence. The AI Basic Act may also impose regulatory liability including corrective orders and fines. Criminal liability is possible where AI is used to commit fraud, defamation, or other crimes.

Q6: Are there special rules for AI in financial services?

Yes. The Financial Services Commission has issued specific guidelines for AI in financial services, including requirements for explainability of AI-based credit decisions, algorithmic accountability frameworks for robo-advisors, and enhanced monitoring requirements for AI-based trading systems. Financial institutions using AI for customer-facing decisions must also comply with the consumer protection provisions of the Financial Consumer Protection Act.

Q7: How does Korea regulate generative AI and large language models?

Generative AI and large language models (LLMs) are regulated primarily through PIPA (for training data) and the AI Basic Act (for deployment in high-impact contexts). The PIPC has specifically addressed LLM training on web-scraped data, indicating that scraping publicly available personal data for AI training may still require a legal basis under PIPA. The Korea Communications Commission (KCC) also has jurisdiction over certain online platforms using generative AI for content moderation or recommendation.

📌 Official References

📚 Related Articles

Need Legal Assistance with AI Compliance in Korea?
HANBYOL LAW LLC provides expert Korean legal counsel for international technology companies navigating AI regulations, data privacy, and compliance.
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr
Initial consultations are complimentary.

📋 韩国法律解析 | 技术法律与数据隐私

作者：NOH UJIN律师 | HANBYOL LAW LLC，首尔

韩国人工智能监管与数据伦理：外资科技公司法律指南

韩国已成为亚洲人工智能监管最为积极的国家之一。随着《人工智能发展及建立信任法》（AI基本法，2023年12月颁布，2026年1月生效）和全面的《个人信息保护法》（PIPA）框架的实施，在韩国运营或向韩国市场销售AI产品的外资科技公司面临多层次的合规要求，需要进行周密的法律规划。

1. 韩国人工智能监管框架

1.1 AI基本法

2023年12月颁布、2026年1月22日生效的AI基本法是韩国首部综合性人工智能法规。该法建立了国家AI治理结构，区分"高影响力AI"（고영향 AI）和一般AI系统。高影响力AI是指在就业、信贷、医疗诊断、法律程序、教育和公共安全等领域做出或显著影响决策的系统。

AI基本法的主要义务包括：

透明度要求：高影响力AI的提供者必须披露用户正在与AI系统交互。
可靠性与安全性：开发者在部署前必须对高影响力AI系统进行影响评估。
人工监督：高影响力AI系统必须允许人工审查和推翻AI决策。
记录保存：必须在规定期限内保存高影响力AI决策的日志。
报告义务：AI系统故障造成损害的事故必须向相关主管部门报告。

1.2 行业特定AI法规

除AI基本法外，韩国还通过行业专属法律对AI进行监管：

金融领域：金融服务委员会（FSC）和金融监督服务（FSS）根据《资本市场法》及相关法规，对算法交易、基于AI的信用评分和机器人投顾进行监管。
医疗健康：食品药品安全部（MFDS）将特定AI医疗器械（AI-MDx）列为须经上市前审批的受监管医疗器械。
自动驾驶：国土交通部（MOLIT）根据《自动驾驶汽车法》对AI自动驾驶系统进行监管。
深度伪造：《性犯罪处罚特例法》将非自愿深度伪造性内容列为刑事犯罪，最高可判处5年有期徒刑。

2. 个人信息保护与AI数据处理

2.1 AI系统的PIPA义务

2023年大幅修订的《个人信息保护法》（PIPA）对处理个人数据以训练或运营AI系统的实体施加了严格义务：

合法性基础：处理个人数据用于AI训练需要同意、合同必要性、合法利益或PIPA第15条规定的其他法定依据。
目的限制：为一种目的收集的数据不得在未获得新法律依据或数据主体同意的情况下用于AI训练。
假名化与匿名化：PIPA为假名化数据（가명정보）建立了特殊制度，可在无需同意的情况下用于统计、科学和公共利益目的，包括AI研究。
跨境数据传输：将个人数据传输到韩国境外用于AI模型训练，需要同意、充分性认定或个人信息保护委员会（PIPC）批准的标准合同条款。
自动化决策：2023年新增的PIPA第37条之2赋予个人拒绝完全自动化决策的权利，以及要求人工审查的权利。

3. 责任与执法

3.1 AI相关损害的民事责任

韩国《产品责任法》可能适用于嵌入产品的AI系统。在韩国销售AI驱动产品的外国制造商可能须承担因产品缺陷导致人身伤害或财产损失的责任。对于AI服务（而非产品），责任由《民法》下的一般侵权法管辖。

3.2 监管执法

根据AI基本法，科学技术信息通信部（MSIT）被指定为主要监管机构。PIPC对AI数据处理引起的PIPA违规保留执法权。处罚措施包括：

大公司违反PIPA最高罚款为全球年营业额的3%
纠正令、业务暂停令和违规公开披露
故意违规最高可判处5年有期徒刑或5000万韩元罚款

4. 外资AI公司的合规要求

4.1 是否需要本地代表？

根据PIPA，若外国公司处理韩国居民个人数据超过一定门槛（处理超过100万数据主体的数据，或年营业额超过100亿韩元），则必须指定本地代表（국내대리인）。

4.2 AI影响评估

AI基本法要求高影响力AI系统的提供者进行影响评估，内容涵盖安全性、可靠性、透明度和伦理考量。外国公司在韩国部署高影响力AI时必须遵守这些要求，无论AI系统在何处开发。

常见问题（FAQ）

Q1：AI基本法是否适用于在韩无实体存在的外国公司？

是的。AI基本法适用于向韩国用户提供的AI系统和服务，无论提供者在何处注册或位于何处。向韩国用户提供AI驱动服务的外国公司须遵守该法要求，尤其是高影响力AI系统。

Q2：哪类AI系统属于"高影响力"AI？

高影响力AI包括在招聘与就业评估、信用评分与金融决策、医疗诊断与治疗建议、法律程序与争议解决、教育评估、以及公共安全与执法等领域做出或显著影响重要决策的系统。

Q3：我们可以使用韩国用户数据训练AI模型吗？

使用韩国居民个人数据训练AI模型需要PIPA规定的合法依据。PIPA的假名化制度提供了一个替代方案：数据可以假名化后用于AI训练，无需同意，适用于统计或科学研究目的。

Q4：AI做出决策时有哪些披露要求？

根据PIPA第37条之2，使用完全自动化系统对个人做出重大影响决策的实体必须：(1) 披露决策由自动化系统做出；(2) 允许个人要求人工审查；(3) 允许个人对自动化决策提出异议。

Q5：我们的AI系统对韩国用户造成损害怎么办？

根据损害性质，可能适用多个法律制度。对于含AI的实体产品，《产品责任法》提供严格责任框架；对于AI服务，适用一般侵权法。AI基本法还可能施加监管责任，包括纠正令和罚款。

Q6：金融服务中的AI有哪些特殊规定？

金融服务委员会已就金融服务AI发布具体指引，包括：基于AI的信贷决策可解释性要求、机器人投顾的算法问责框架，以及基于AI的交易系统的增强监控要求。

Q7：韩国如何监管生成式AI和大型语言模型？

生成式AI和大型语言模型（LLM）主要通过PIPA（针对训练数据）和AI基本法（针对高影响力场景的部署）进行监管。PIPC已专门就网络抓取数据训练LLM发布指引，表明即使是公开可访问的个人数据，用于AI训练也可能仍需PIPA下的合法依据。

📌 官方参考资料

📚 相关文章

需要法律帮助？
HANBYOL LAW LLC 为国际科技客户提供专业的韩国AI合规、数据隐私及相关法律服务。
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr

📋 韓国法律インサイト | テクノロジー法・データプライバシー

弁護士 NOH UJIN | HANBYOL LAW LLC、ソウル

韓国のAI規制とデータ倫理：外資系テクノロジー企業のための法的ガイド

韓国はアジアで最も積極的にAI規制を進める国の一つとして台頭しています。「人工知能の発展及び信頼確保に関する法律」（AI基本法、2023年12月制定、2026年1月施行）と包括的な個人情報保護法（PIPA）の枠組みが整備される中、韓国で事業を行い、またはAI製品を韓国市場に販売する外資系テクノロジー企業は、慎重な法的計画が求められる多層的なコンプライアンス環境に直面しています。

1. 韓国のAI規制フレームワーク

1.1 AI基本法（인공지능 기본법）

2023年12月に制定され、2026年1月22日に施行されたAI基本法は、韓国初の包括的なAI関連法令です。同法は国家AI・ガバナンス構造を確立し、「高影響力AI」（고영향 AI）と一般的なAIシステムを区別しています。高影響力AIとは、雇用、信用、医療診断、法的手続き、教育、公共安全などの分野における意思決定を行い、または大きく影響するシステムを指します。

AI基本法の主な義務：

透明性要件：高影響力AIのプロバイダーは、ユーザーがAIシステムと対話していることを開示しなければなりません。
信頼性と安全性：開発者は展開前に高影響力AIシステムの影響評価を実施しなければなりません。
人間による監視：高影響力AIシステムは、AI決定に対する人間のレビューと覆しを可能にしなければなりません。
記録保持：高影響力AI決定のログを規定期間保持しなければなりません。
報告義務：AIシステム障害による損害が生じた場合は関係当局に報告しなければなりません。

2. 個人情報保護とAIデータ処理

2.1 AIシステムに対するPIPA義務

2023年に大幅改正された個人情報保護法（PIPA）は、AIシステムの訓練または運用のために個人データを処理する事業者に厳格な義務を課しています。主な規定：

適法な根拠：AIトレーニングのための個人データ処理には、同意、契約上の必要性、正当な利益、またはPIPA第15条に列挙された他の法的根拠が必要です。
目的制限：ある目的で収集されたデータは、新たな法的根拠またはデータ主体の同意なしにAIトレーニングに転用できません。
仮名化と匿名化：PIPAは仮名化データ（가명정보）に特別な制度を設け、同意なしに統計、科学、公共利益目的（AIリサーチを含む）で処理することができます。
越境データ転送：AIモデルのトレーニングのために個人データを韓国外に転送するには、同意、十分性の決定、またはPIPC承認の標準契約条項が必要です。
自動化意思決定：2023年に追加されたPIPA第37条の2は、個人に対して完全自動化決定をオプトアウトする権利と人間のレビューを要求する権利を付与しています。

3. 責任と執行

3.1 AI関連損害に対する民事責任

韓国の製造物責任法（제조물 책임법）は、製品に組み込まれたAIシステムに適用される場合があります。韓国でAI搭載製品を販売する外国メーカーは、製品の欠陥による人身傷害や財産損害について責任を負う可能性があります。AIサービス（製品ではなく）については、民法の一般不法行為法が適用されます。

3.2 規制上の執行

AI基本法の下、科学技術情報通信部（MSIT）が主要規制当局に指定されています。PIRCはAIデータ処理から生じるPIPA違反に対する執行権限を保持しています。罰則には：大企業のPIPA違反に対して世界年間売上の最大3%の行政罰金、是正命令、事業停止命令、違反の公開開示が含まれます。

4. 外資系AI企業のコンプライアンス要件

4.1 国内代理人は必要ですか？

PIPAの下、韓国居住者への商品・サービス提供に関連して韓国居住者の個人データを処理する外国企業が一定のしきい値（100万人超のデータ主体のデータを処理、または年収100億ウォン超）を超える場合、国内代理人（국내대리인）を指定しなければなりません。

4.2 AI影響評価

AI基本法は、高影響力AIシステムのプロバイダーに対して、安全性、信頼性、透明性、倫理的考慮事項を扱う影響評価の実施を義務付けています。韓国で高影響力AIを展開する外国企業は、AIシステムがどこで開発されたかに関わらず、これらの要件を遵守しなければなりません。

よくある質問（FAQ）

Q1：AI基本法は韓国に実体を持たない外国企業にも適用されますか？

はい。AI基本法は、プロバイダーがどこに設立または所在するかに関わらず、韓国のユーザーに提供されるAIシステムとサービスに適用されます。

Q2：どのようなAIシステムが「高影響力」AIと見なされますか？

採用・雇用評価、信用評価・金融決定、医療診断・治療勧告、法的手続き・紛争解決、教育評価、公共安全・法執行の分野での重要な決定を行い、または大きく影響するシステムが含まれます。

Q3：韓国ユーザーのデータをAIモデルのトレーニングに使用できますか？

韓国居住者の個人データをAIモデルのトレーニングに使用するには、PIAPAの有効な法的根拠が必要です。PIAPAの仮名化制度は代替手段を提供し、統計または科学研究目的のAIトレーニングに同意なしでデータを仮名化して使用できます。

Q4：AIが個人に関する決定を行う場合、どのような開示要件がありますか？

PIPA第37条の2により、完全自動化システムを使用して個人に重大な影響を与える決定を行う事業者は、(1)決定が自動化システムによって行われたことを開示し、(2)個人が人間によるレビューを要求できるようにし、(3)個人が自動化決定に異議を申し立てられるようにしなければなりません。

Q5：AIシステムが韓国ユーザーに損害を与えた場合はどうなりますか？

損害の性質によって複数の法的制度が適用される場合があります。AIを組み込んだ物理的製品については製造物責任法が厳格責任を提供し、AIサービスについては一般不法行為法が適用されます。

Q6：金融サービスにおけるAIに特別な規則はありますか？

金融サービス委員会は、AIベースの信用決定の説明可能性要件、ロボアドバイザーのアルゴリズム説明責任フレームワーク、AIベースの取引システムの強化された監視要件を含む、金融サービスにおけるAIの具体的なガイドラインを発行しています。

Q7：韓国は生成AIと大規模言語モデルをどのように規制していますか？

生成AIと大規模言語モデル（LLM）は主にPIPA（トレーニングデータ）とAI基本法（高影響力場面での展開）を通じて規制されています。PIRCはウェブスクレイピングデータによるLLMトレーニングに特別に対処し、公開アクセス可能な個人データでさえAIトレーニングに使用する場合はPIPAの法的根拠が必要である場合があることを示しています。

📌 公式参考資料

📚 関連記事

法律相談が必要ですか？
HANBYOL LAW LLCは、AI規制、データプライバシー、コンプライアンスに関して専門的な韓国法律サービスを提供しています。
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr

📋 Análisis Jurídico Coreano | Derecho Tecnológico y Privacidad de Datos

Por el Abogado NOH UJIN | HANBYOL LAW LLC, Seúl

Regulación de IA y Ética de Datos en Corea: Guía Legal para Empresas Tecnológicas Extranjeras

Corea del Sur se ha convertido en uno de los reguladores de inteligencia artificial más activos de Asia. Con la entrada en vigor de la Ley sobre el Desarrollo de la Inteligencia Artificial y el Establecimiento de la Confianza en la Misma (Ley Básica de IA, promulgada en diciembre de 2023, vigente desde enero de 2026) y un marco integral de la Ley de Protección de Información Personal (PIPA), las empresas tecnológicas extranjeras que operan en Corea o venden productos de IA en el mercado coreano se enfrentan a un entorno de cumplimiento normativo multicapa que requiere una planificación legal cuidadosa.

1. Marco Regulatorio de IA en Corea

1.1 La Ley Básica de IA

Promulgada en diciembre de 2023 y vigente desde el 22 de enero de 2026, la Ley Básica de IA de Corea es el primer estatuto integral que regula la inteligencia artificial en el país. La ley establece una estructura de gobernanza nacional de IA y distingue entre "IA de alto impacto" (고영향 AI) y sistemas de IA generales.

Las obligaciones clave incluyen:

Requisitos de transparencia: Los proveedores de IA de alto impacto deben revelar que los usuarios están interactuando con un sistema de IA.
Confiabilidad y seguridad: Los desarrolladores deben realizar evaluaciones de impacto para sistemas de IA de alto impacto antes de su implementación.
Supervisión humana: Los sistemas de IA de alto impacto deben permitir la revisión y anulación humana de las decisiones de IA.
Mantenimiento de registros: Los registros de decisiones de IA de alto impacto deben mantenerse por el período prescrito.
Obligaciones de reporte: Los incidentes de fallas del sistema de IA que causen daño deben reportarse a la autoridad correspondiente.

2. Protección de Información Personal y Procesamiento de Datos de IA

2.1 Obligaciones PIPA para Sistemas de IA

La Ley de Protección de Información Personal de Corea (PIPA), sustancialmente enmendada en 2023, impone obligaciones estrictas a las entidades que procesan datos personales para entrenar u operar sistemas de IA. Las disposiciones clave incluyen:

Base legal: El procesamiento de datos personales para entrenamiento de IA requiere consentimiento, necesidad contractual, interés legítimo u otra base legal enumerada en el Artículo 15 de PIPA.
Limitación de propósito: Los datos recopilados para un propósito no pueden reutilizarse para entrenamiento de IA sin una nueva base legal o consentimiento del interesado.
Seudonimización y anonimización: PIPA crea un régimen especial para datos seudonimizados (가명정보) que pueden procesarse sin consentimiento para propósitos estadísticos, científicos y de interés público, incluida la investigación de IA.
Transferencias transfronterizas de datos: Transferir datos personales fuera de Corea para entrenar modelos de IA requiere consentimiento, determinación de adecuación o cláusulas contractuales estándar aprobadas por la PIPC.
Toma de decisiones automatizada: El Artículo 37-2 de PIPA (añadido en 2023) otorga a las personas el derecho a rechazar decisiones completamente automatizadas que les afecten significativamente, y el derecho a solicitar revisión humana.

3. Responsabilidad y Aplicación

3.1 Responsabilidad Civil por Daños Relacionados con IA

La Ley de Responsabilidad por Productos de Corea puede aplicarse a sistemas de IA incorporados en productos. Los fabricantes extranjeros que venden productos con IA en Corea pueden ser responsables por defectos que causen daños personales o materiales. Para servicios de IA, se aplica la ley de responsabilidad extracontractual general bajo el Código Civil.

3.2 Aplicación Regulatoria

Bajo la Ley Básica de IA, el Ministerio de Ciencia y TIC (MSIT) es designado como la autoridad regulatoria principal. Las sanciones incluyen multas administrativas de hasta el 3% de los ingresos anuales globales por violaciones de PIPA y penas de hasta 5 años de prisión por violaciones intencionales.

4. Requisitos de Cumplimiento para Empresas Extranjeras de IA

4.1 ¿Se Necesita un Representante Local?

Bajo PIPA, las empresas extranjeras que procesen datos personales de residentes coreanos y superen ciertos umbrales (procesamiento de datos de más de 1 millón de interesados, o ingresos anuales superiores a 10 mil millones de KRW) deben designar un representante local (국내대리인).

4.2 Evaluaciones de Impacto de IA

La Ley Básica de IA exige que los proveedores de sistemas de IA de alto impacto realicen evaluaciones de impacto sobre seguridad, confiabilidad, transparencia y consideraciones éticas. Las empresas extranjeras que implementen IA de alto impacto en Corea deben cumplir estos requisitos.

Preguntas Frecuentes (FAQ)

Q1: ¿La Ley Básica de IA aplica a empresas extranjeras sin presencia física en Corea?

Sí. La Ley Básica de IA se aplica a sistemas y servicios de IA ofrecidos a usuarios en Corea, independientemente de dónde esté incorporado o ubicado el proveedor.

Q2: ¿Qué tipos de sistemas de IA se consideran de "alto impacto"?

La IA de alto impacto incluye sistemas que toman o influyen significativamente en decisiones consecuentes en áreas como reclutamiento, puntuación crediticia, diagnóstico médico, procedimientos legales, evaluación educativa y seguridad pública.

Q3: ¿Podemos usar datos de usuarios coreanos para entrenar modelos de IA?

Usar datos personales de residentes coreanos para entrenar modelos de IA requiere una base legal válida bajo PIPA. El régimen de seudonimización de PIPA ofrece una alternativa para investigación estadística o científica.

Q4: ¿Cuáles son los requisitos de divulgación cuando la IA toma decisiones sobre individuos?

Bajo el Artículo 37-2 de PIPA, las entidades que usen sistemas completamente automatizados para tomar decisiones que afecten significativamente a individuos deben divulgar que la decisión fue tomada por un sistema automatizado y permitir la revisión humana.

Q5: ¿Qué sucede si nuestro sistema de IA causa daño a un usuario coreano?

Dependiendo de la naturaleza del daño, pueden aplicarse múltiples regímenes legales. Para productos físicos con IA incorporada, la Ley de Responsabilidad por Productos proporciona un marco de responsabilidad objetiva. Para servicios de IA, aplica la ley de responsabilidad extracontractual general.

Q6: ¿Hay reglas especiales para la IA en servicios financieros?

Sí. La Comisión de Servicios Financieros ha emitido directrices específicas para la IA en servicios financieros, incluyendo requisitos de explicabilidad para decisiones crediticias basadas en IA y marcos de responsabilidad algorítmica para robo-advisors.

Q7: ¿Cómo regula Corea la IA generativa y los modelos de lenguaje de gran escala?

La IA generativa y los LLM se regulan principalmente a través de PIPA (para datos de entrenamiento) y la Ley Básica de IA (para implementación en contextos de alto impacto). La PIPC ha abordado específicamente el entrenamiento de LLM con datos obtenidos mediante web scraping.

📌 Referencias Oficiales

📚 Artículos Relacionados

¿Necesita Asistencia Legal?
HANBYOL LAW LLC ofrece asesoramiento jurídico coreano experto en regulación de IA, privacidad de datos y cumplimiento normativo para clientes internacionales.
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr

Public Notary System in Korea: Document Authentication Guide (EN/中文/日本語/Español)