공공기관 AI 활용 시 개인정보 보호 기준 강화…9월 5일부터 시행

일정 규모 공공기관, 개인정보 영향평가 의무 시행

개인정보 보호 가이드라인 토대로 마련

[사진=개인정보위]

앞으로 공공기관이 인공지능(AI)을 활용한 사업을 추진할 때 개인정보 침해 위험을 사전에 점검할 수 있는 구체적인 기준이 마련된다.

개인정보보호위원회(이하 개인정보위)는 전체회의에서 「개인정보 영향평가에 관한 고시」개정안을 의결했다고 4일 밝혔다. 개정된 고시는 오는 내일부터 시행된다.

개인정보 영향평가 제도는 개인정보를 활용하는 사업 추진 과정에서 사전에 위험 요인을 분석하고 개선방안을 수립해 개인정보 침해 사고를 예방하는 장치다. 일정 규모 이상 개인정보 파일을 구축·운영하거나 변경하는 공공기관은 영향평가를 의무적으로 시행해야 한다.

그동안 현행 고시에는 인공지능 관련 별도 기준이 없어, 공공기관들이 자체적으로 평가항목을 만들어야 했다. 이에 따라 평가의 적정성을 스스로 판단하기 어려운 문제가 제기돼 왔다.

이에 개인정보위는 고시와 수행 안내서를 개정해 △인공지능 시스템 학습 및 개발 △인공지능 시스템 운영 및 관리 등 두 가지 평가 분야를 신설했다.

‘학습 및 개발’ 단계에서는 △개인정보 처리 시 법적 근거 확보 여부 △민감정보나 14세 미만 아동 정보의 불필요한 포함 여부 △AI 학습용 데이터의 보유·파기 규정 마련 여부 등을 점검한다.

‘운영 및 관리’ 단계에서는 △AI 개발·운영 주체 간 책임성 명확화 △생성형 AI 서비스의 이용 방침(AUP) 제공 △부적절한 답변이나 개인정보 유·노출 발생 시 신고 기능 마련 등 정보주체 권리 보장 방안을 평가 기준으로 제시했다.

이번 개정안은 개인정보위가 발간한 인공지능 분야 개인정보 보호 가이드라인들을 토대로 마련됐다. 구체적인 해설과 사례는 ‘개인정보 영향평가 수행안내서’를 통해 공개될 예정이며, 향후 다양한 기관과 기업의 의견을 반영해 평가항목을 지속 보완한다는 계획이다.

개인정보위는 이번 기준이 공공기관뿐 아니라 민간기업에도 활용될 수 있어, 인공지능 활용 과정에서 사전 예방적 개인정보 보호 체계를 구축하는 데 기여할 것으로 전망했다.