개인정보보호 - “인공지능 시대 안전한 개인정보 활용 정책방향” 발표

개인정보위, 「인공지능 시대 안전한 개인정보 활용 정책방향」 발표

개인정보보호위원회(이하 '개인정보위')는 지난 8월 3일 「인공지능 시대 안전한 개인정보 활용 정책방향」을 발표하였다.

이번 발표는 챗GPT 등장 이후 의료, 교육, 유통 등 다양한 분야에서 인공지능(Artificial Intelligence, 이하 AI)을 활용한 서비스가 고도화되면서 AI가 가져오는 편익에 대한 기대가 높아지고 있는 반면, AI 기술의 중점이 대규모 언어모델을 기반으로 한 생성형 AI*로 이동하고, 공개된 정보를 활용하거나 자율주행차·서비스 로봇 등으로 데이터를 수집하는 등 정보주체가 예측하지 못한 방식으로 데이터가 처리되는 경우가 증가하면서 개인정보 침해 가능성에 대한 우려가 높아지는 데 따른 것이다.

* 생성형 AI : 사용자의 특정 요구(프롬프트)에 대응하여 텍스트, 이미지 등 결과를 만들어 내는 인공지능을 의미

개인정보위는 이러한 AI에 대한 기대와 우려 사이에서 프라이버시 침해 위험은 최소화하면서 AI 혁신 생태계 발전에 꼭 필요한 데이터는 안전하게 활용할 수 있도록 이번 정책방향을 수립하였다. 특히 AI 환경에서 현행 「개인정보 보호법」을 어떻게 해석·적용할 수 있을지에 대한 준칙을 제시하는 한편, 구체적인 세부 사항에 대해서는 향후 정부와 민간이 협력하여 규율체계를 공동 설계해 나가는 청사진을 제시하는 데 중점을 두었다.

「인공지능 시대 안전한 개인정보 활용 정책방향」에 따라 개인정보위가 향후 중점적으로 추진해 나갈 내용은 다음과 같다.

주요 추진 과제 한눈에 보기

추진 과제	세부 내용
불확실성 해소를 위한 원칙 기반 규율 추진체계 정립	· AI 관련 컨설팅 원스톱 창구 마련 · (가칭)사전 적정성 검토제 도입
AI 단계별 개인정보 처리기준 구체화	· 기획-데이터 수집-AI 학습-서비스 단계별 처리기준과 보호조치, 고려사항 제시
민·관 협력을 통한 분야별 가이드라인 마련	· 'AI 프라이버시 민·관 정책협의회' 중심으로 6개 분야별 가이드라인 마련 · 'AI 리스크 평가모델' 마련
국제적 공조체계 강화	· 주요 개인정보 감독기구와 협력체계 강화 · 국내·외 AI 사업자와의 소통 활성화

과제 1) 불확실성 해소를 위한 원칙 기반 규율 추진체계 정립

국내 AI 산업 매출규모가 '20년 1.9조 원에서 '22년 4조 원 가까이 증가할 정도로 급속도로 성장하고 있으며, 그 쓰임새도 일상생활 뿐만 아니라 전문영역까지 다양해지고 있다. AI 산업에 많은 기업들이 진입하고 있지만, 데이터 수집 및 활용에 있어 개인정보 보호 법령 등 관계 법령의 저촉 여부를 둘러싸고 불확실성을 호소하고 있는 실정이다.

이에 개인정보위는 변화 속도가 빠르고 데이터 활용 범위와 방식이 고도로 복잡한 AI의 특성을 고려하여, 규정 중심이 아닌 원칙(principle) 중심의 규율체계를 정립해 나갈 예정이다.

• 이를 위해 10월 중 '(가칭)AI 프라이버시팀'을 신설, 사안별로 개인정보 처리의 적법성·안전성 등에 대한 법령해석 지원, 규제 샌드박스 적용 검토 등 컨설팅 역할을 수행할 예정이다.
• 또한 '(가칭)사전 적정성 검토제'를 도입, 사업자 요청 시 비즈니스 환경을 분석하여 「개인정보 보호법」을 준수할 수 있도록 적용방안을 함께 마련할 예정이다.
• 사업자의 신청서 제출 시점부터 적용방안 통보까지 원칙적으로 60일 이내에 이루어지도록 해, 민간에서 느끼는 법적 리스크를 신속하고 확실하게 줄여나갈 예정이다.

[ AI 프라이버시팀의 사안별·유형별 지원 방식 ]

사업자의 요청 유형	지원 방식
적법여부 등 단순 법 해석 요청	사안에 대한 법령 해석
사업계획서 등 일정 신청조건 충족 — 법령 공백, 금지사안	규제 샌드박스 적용 검토
사업계획서 등 일정 신청조건 충족 — 일정 조건 하 법 준수 가능	사전 적정성 검토

과제 2) AI 개발·서비스 단계별 개인정보 처리기준 구체화(요약)

단계	처리기준
1. 기획·설계	· 개인정보 보호 중심 설계(Privacy by Design) 원칙 반영 · AI 단계별 위험 분석 및 대응계획 수립 　※ 위험 등을 파악하고 대응조치를 설계·적용·관리하는 거버넌스 체계 구축 필요
2. 데이터 수집	[일반 개인정보] · 적법하게 수집한 정보*는 '수집 목적 범위 내'에서 이용 가능 　* 계약 체결·이행, 법령 준수, 정보주체 동의 등 · 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체 이익을 부당하게 침해하지 않는 경우 추가적 이용 가능 [공개된 정보] · 이익형량 후 ①동의의사가 있다고 객관적으로 추단되거나, ②처리자의 정당한 이익이 명백히 우선하는 경우 수집·이용 가능 · 공개된 정보를 크롤링 등으로 수집, 가명처리 후 AI 학습에 이용 가능 [영상 정보] · (고정형) 당초 설치·운영 목적 관련 AI 개발 가능, 관련 없는 경우 익명·가명처리 필요 · (이동형) 당초 촬영목적 달성을 위해 필요한 범위 내에서 안전 조치 후에 원격 관제, 최소한의 저장 가능 　- 불특정 다수 영상은 익명·가명처리가 필요하나, 샌드박스 등을 통해 강화된 안전조치 하 원본 활용 검토 [생체인식 정보] · 별도 동의가 있거나 법령 근거가 있는 경우에만 처리 가능 　- 크롤링 등을 통해 공개된 정보에서 생체인식 정보를 추출하여 수집하거나 생성·처리하는 것은 엄격히 제한 · 대체수단 마련, 원본정보 분리 보관 등 보호조치 이행
3. AI 학습	· 과학적 연구 등의 목적으로 가명처리하여 동의 없이 AI 개발 가능 　- 다른 정보와의 결합 등을 통한 식별 위험 등을 고려하여 사전·사후적 예방조치 필요 · 활용목적·처리환경에 맞는 개인정보 보호 강화기술(PET)* 활용 　- 합성데이터, 개인정보 안심구역 등을 통해 PET 활용기반 조성 　* 개인정보 보호 강화기술(PET) : 가명·익명처리 기술, 동형암호, 합성데이터, 차분 프라이버시, 연합학습, 다자간 연산 등 다양한 프라이버시 향상 기술
4. 서비스 제공	· AI 학습데이터 수집방법, 서비스 과정에서 생성되는 정보의 처리방법 등 안내 · 삭제·처리정지·자동화된 결정 대응권 등 정보주체 권리행사 보장

과제 3) 민·관 협력을 통한 분야별 가이드라인 마련

이번에 발표한 정책방향은 현시점에서의 기초적인 기준과 원칙이며, 이를 바탕으로 실제 현장에서 적용 가능하도록 민간과 협력하여 세부 분야별로 구체화해 나갈 계획이다.

특히, AI 기업·개발자, 학계·법조계, 시민단체 등 민·관이 함께 논의할 수 있는 'AI 프라이버시 민·관 정책 협의회'를 오는 10월 중 구성하고, 추진계획에 따라 분야별 AI 환경에서의 데이터 처리기준 등을 공동으로 작업하여 발표할 예정이다.

[ 주요 과제 추진계획(안) ]

구분	내용	시기
비정형데이터 가명처리 기준	이미지·영상, 음성 등 비정형데이터의 가명처리 기법·사례, 식별위험성 점검기준 등	'23.12월
생체인식정보 규율체계	실시간 원격 얼굴인식 기술 제한기준, 영향평가 의무 대상 생체정보 기준 등	'23.12월(법안 마련), ~'25년(입법 추진)
공개된 정보 활용 가이드라인	공개된 정보 활용 시 '정당한 이익'(법 §15①6.), '추가적 이용'(법 §15③) 등 판단기준 및 사례	'24.3월
이동형 영상기기 촬영정보 활용 가이드라인	이동형 영상기기로 인한 '부당한 권리침해'의 판단기준 구체화 및 사례 제시	'24.6월
AI 투명성 확보 가이드라인	학습데이터 출처 및 수집방법의 공개 수준, 열람·삭제·처리정지권 등 권리행사 방법 등	'24.6월
합성데이터 활용 가이드라인	AI 활용을 위한 합성데이터 생성·처리기준	'24.9월

또한 PET가 활성화될 수 있도록 R&D를 확대하고 관련된 가이드라인 등을 마련하는 한편, PET 적용이 모호하거나 검증이 필요한 경우에는 보안성·안전성이 확보된 '개인정보 안심구역*'에서 기술개발·실증이 가능하도록 할 계획이다.

* 개인정보 안심구역 : 데이터 처리의 환경적 안전성을 높여 개인·가명정보를 보다 유연하게 활용할 수 있는 구역('23. 10월 시범운영 예정)

아울러 AI의 리스크 수준에 따라 차등적인 규제 설계가 가능할 수 있도록 위험성에 대해 구체적으로 판단할 수 있는 'AI 리스크 평가모델'도 마련할 계획이다. 이러한 위험성 평가체계를 구축하기 위해 '규제 샌드박스'를 활용, AI 분야의 다양한 사례를 축적하고 이를 바탕으로 운영현황, 위험요인 등을 분석하여 리스크를 식별·평가할 수 있는 체계를 2025년까지 지속적으로 구축해 나갈 계획이다.

과제 4) 국제적 공조체계 강화

개인정보위는 AI에 관한 디지털 국제규범 형성을 위해 글로벌 협력체계를 공고히 하기로 했다. AI는 개발부터 서비스 제공까지 초국가적인 형태로 이루어지는 경우가 많아 개별 국가의 규제만으로는 한계가 있고, 국제적인 공조체계가 필수적이기 때문이다.

• 개인정보위는 새로운 차원의 디지털 질서 수립을 선언한 '파리 이니셔티브'에 입각하여 AI 개인정보 분야 국제규범 마련을 위한 협력체계를 강화해 나갈 계획이다.
• 주요국 개인정보 감독기구와 함께 각국의 법·정책, 처분 사례 등을 공유하고, AI로 인한 개인정보 침해 이슈 발생 시 신속하게 대응할 수 있도록 한다.
• 2025년 글로벌 프라이버시 총회(GPA*)를 유치하여 AI를 중심으로 디지털 심화 시대에 새롭게 대두되는 프라이버시 이슈에 대해 논의할 예정이다.

* GPA(Global Privacy Assembly) : 개인정보 분야 최대 규모의 국제 협의체

그 외에도 여러 논의의 장에 적극적으로 참여하여 새로운 국제 규범 체계의 확립 과정에 주도적 역할을 하고, 오픈AI·구글·메타 등 글로벌 AI 사업자와 국내 AI 사업자와의 소통도 활성화할 계획이다.

개인정보보호위원회 위원장은 "이제 AI는 전 세계, 모든 산업에서 기반 기술로서 역할을 하고 있는 만큼 데이터를 어떻게 안전하게 활용할 수 있을지에 대한 새로운 디지털 질서 정립이 필요한 시점"이라면서, "인공지능에 있어 무조건적인 '제로 리스크(zero risk)'를 추구하기보다는 프라이버시 침해 최소화를 위한 실천적 노력을 경주하는 것이 더욱 중요하다는 인식 하에, 글로벌 규범을 선도할 수 있는 AI 개인정보 규율체계를 확립해 나가겠다."라고 밝혔다.

자료 출처

• 개인정보보호위원회 보도자료 — "신뢰 기반 인공지능 데이터 규범, 첫 발 떼다"(2023.08.03)
• (첨부자료) "인공지능 시대 안전한 개인정보 활용 정책방향"(2023.08.03)