"AI서비스 운영' 할 때는 가명정보라도 추가 동의 받아야

(자료=개인정보보호위원회 제공)

[이데일리 이후섭 기자] 스타트업 등 중소기업에서 인공지능(AI) 서비스 개발 시 개인정보 수집 동의를 받는 방법, 가명정보 처리 기준 등에 대해 자율점검할 수 있는 안내서가 나왔다.

업무처리 과정에 따른 8단계 흐름표에 따라 주요 점검항목을 확인할 수 있도록 만들어 개인정보 침해요인을 사전에 예방하는데 도움이 될 전망이다.

하지만 현행 개인정보보호법령의 한계를 인정하더라도, AI 서비스 운영에 쓰이는 가명정보(그 자체로 개인을 식별하기 어려운 정보)라도 추가 동의를 받거나 익명 처리를 하게 한 부분은 AI 기술 개발에 장애가 된다는 평가도 제기된다.

자율점검표 31일 공개…8단계 흐름표 따라 54개 항목 체크

개인정보보호위원회는 산업계의 의견을 수렴하고 전문가·전체회의 논의 등을 거쳐 `AI 개인정보보호 자율점검표`를 확정해 31일 공개했다.

자율점검표는 인공지능 설계, 개발·운영 과정에서 지켜져야 할 △적법성 △안전성 △투명성 △참여성 △책임성 △공정성 등 6가지 원칙과 이를 기반으로 단계별로 점검해야 할 16개 항목, 54개 확인사항을 제시하고 있다. 자율점검표의 내용은 AI의 대규모 데이터 처리, 복잡성·불투명성, 자동화·불확실성 등 특성을 고려해 개인정보 보호법, 과학기술정보통신부의 `AI 윤리기준`, 국제적으로 통용되는 개인정보보호 중심설계 원칙 등을 반영했다.

△기획·설계 △개인정보 수집 △이용·제공 △보관·파기 △AI 서비스 관리·감독 △이용자 보호 △자율보호 활동 △AI 윤리 점검 등 단계별로 주요 의무·권장사항을 확인할 수 있도록 알기 쉽게 담아냈다.

`OO 서비스 개발` 등 목적 명확히…SNS 데이터도 가명처리 필요

특히 AI 챗봇 `이루다` 사태에서 쟁점이 됐던 개인정보 수집 동의 절차, 가명정보 처리 기준 등에 대해 자세히 다루고 있다. 우선 이루다 처럼 `신규 서비스 개발`을 위한 개인정보 수집·이용 동의를 받는 경우에는 `OO 서비스의 챗봇 알고리즘 개발`과 같이 목적을 구체적으로 작성하고, 이용자가 충분히 이해·예측할 수 있도록 `신규 서비스`의 의미 등을 구체적으로 알려야 한다.

개인정보 보호법에서는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해서만 정보주체 동의 없이 가명정보를 이용할 수 있도록 규정하고 있다.

일반적으로 AI 기술개발에는 과학적 방법이 적용돼 과학적 연구에 해당할 수 있으나, AI 관련 서비스 운영 자체를 `과학적 연구`로 보기는 어렵다는 해석이다.

따라서 타인의 가명정보를 AI 서비스 운영에 직접 활용(공개, 제공 등)하는 것은 제한되므로 추가적 동의를 받거나 익명처리해 활용해야 한다.

또 학습데이터의 가명처리 시 소셜네트워크서비스(SNS) 대화 데이터의 경우 발화자의 식별정보 뿐만 아니라 특정 개인의 식별가능정보, 사생활 침해 우려 정보도 가명처리를 거쳐야 한다.

이 외에도 AI 서비스 기획 단계부터 사전 점검과 예방을 위해 `개인정보보호 중심 설계(PbD) 원칙`을 적용하고, 침해가 우려되는 경우 `개인정보 영향평가`를 수행하도록 하는 내용 등이 담겼다.

(자료=개인정보보호위원회 제공)

“침해사례, 관심사항 구체적 반영”…AI 스타트업 대상 설명회 개최

개인정보위 관계자는 “그동안 국내·외에서 논의된 AI 관련 프라이버시에 관한 사항은 추상적인 원칙 수준이었으나, 이번 자율점검표는 AI 서비스의 개인정보 침해사례와 산업계의 관심사항을 구체적으로 반영해 현장에 도움이 되도록 만들었다”며 “관련 기술의 급속한 발전, 개인정보보호 관련 법령의 제·개정 등의 변화를 반영할 수 있도록 자율점검표를 지속적으로 보완해 나갈 계획”이라고 설명했다.

개인정보위는 자율점검표가 AI 분야 현장에서 널리 활용될 수 있도록 오는 4일 판교에 위치한 AI 스타트업 대상 설명회를 개최하고, 중소기업 컨설팅·교육 등에도 적극 활용할 예정이다.

윤종인 개인정보위 위원장은 “AI 개발자·운영자가 이번 자율점검표를 적극 활용해 인공지능으로 인한 개인정보 침해를 예방하고, 보다 안전하고 신뢰할 수 있는 인공지능 서비스 환경을 조성하는데 도움이 되길 바란다”며 “앞으로도 개인정보위는 바이오정보·자율주행차·드론 등 신기술 환경변화에 대응해 현장에서 개인정보가 안전하게 보호될 수 있도록 노력하겠다”고 말했다.