"제2 이루다 없게" AI 개인정보 지침서 나온다

개발자·운영자 점검 사항 다뤄
개인정보위, 최종본 이달말 공개
유출시 피해구제 절차도 담겨
안전한 AI 이용환경 조성 기대

김직동 개인정보보호위원회 신기술개인정보보호과 과장이 12일 정부서울청사에서 열린 브리핑에서 기자의 질문에 답하고 있다. 개인정보보호위원회 제공

AI 관련 개인정보보호 자율점검표 총괄 흐름도. 개인정보보호위원회 제공

정부가 개인정보 유출 논란을 빚은 AI(인공지능) 챗봇 서비스 '이루다' 사태의 재발을 막기 위해 팔을 걷어 붙였다.

개인정보보호위원회는 AI 서비스 개발자·운영자들이 지켜야 할 사항을 모은 'AI 관련 개인정보보호 자율점검표'의 큰 틀을 마련했다고 12일 밝혔다. 개인정보위는 자율점검표 최종본을 이달 말 공개할 계획이다.

자율점검표는 AI 서비스 개발·운영 과정에서 개인정보를 적법하고 안전하게 처리할 수 있도록 '개인정보 보호법'상 지켜야 할 준수사항과 참고사항을 담은 안내서다. 스타트업 등 중소기업들이 현장에서 자율적인 개인정보보호 점검에 자율점검표를 활용할 수 있도록 구성한 것이 특징이다.

구체적으로 개인정보보호법과 개인정보보호 중심설계(PbD) 원칙, 과학기술정보통신부의 AI 윤리기준을 바탕으로 △적법성 △공정성 △안정성 △책임성 △투명성 △참여성 등 6대 원칙을 담고 있다. AI 서비스 개발·운영 시 개인정보의 처리 근거는 적법·명확해야 하고 사생활 침해와 사회적 차별 등이 발생하지 않도록 유의해야 하며 개인정보를 안전하게 관리해야 한다는 것이 골자다. 또 개인정보 처리 내역은 알기 쉽게 공개해야 하며 개인정보 처리와 관련해 정보주체의 의견을 수렴하고 권리를 보장해야 한다는 내용이다.

AI 서비스 개발·운영 시 사업자가 점검해야 할 개인정보보호 관련 사항도 포함했다. 점검은 총 8단계로 △기획·설계 △개인정보 수집 △개인정보 이용·제공 △개인정보 보관·통제·파기 등의 단계별 점검과 △AI 서비스 관리·감독 △AI 서비스 이용자 보호와 피해구제 △AI 윤리 점검 등의 상시 점검으로 나뉜다.

특히 개인정보를 이용·제공할 때는 수집 목적 안에서 이뤄지는지 등을 확인하고 목적 외에 개인정보를 이용할 경우 별도 근거를 마련토록 했다. 앞서 '텍스트앳'과 '연애의과학' 개인정보처리방침에 신규 서비스 개발이 포함됐지만 이것만으로는 사용자들이 AI 챗봇 이루다 개발·운영 과정에 대화가 사용될지 예상하기 어렵다는 지적에 따른 것이다. 김직동 개인정보위 신기술개인정보과장은 "이루다와 관련해 8개의 항목에 대해서 과태료·과징금 처분이 있었다"며 "비슷한 사례들이 발생하지 않도록 점검표에 반영했다"고 부연했다.

특히 수집한 개인정보가 불필요해지면 지체 없이 파기해야 하며 가명정보를 처리하는 경우 허용된 목적과 기준을 준수하도록 규정했다. 또한 서비스 이용자의 권리행사나 개인정보 유출 시 피해구제 관련 절차도 마련토록 했다. 이 밖에 핵심 점검 분야 16개와 관련한 세부 체크항목 54개와 기타 참고사항도 넣었다. 개인정보위는 중소기업들이 개인정보 보호법 상 주요내용의 이해와 법률 해석 등에 어려움을 겪고 있는 만큼 자율점검표가 업무처리 흐름에 따른 개인정보보호 주요 점검사항을 확인하는데 도움이 될 것으로 기대하고 있다.

개인정보위는 현장의 목소리와 AI 기술발전 등을 반영해 자율점검표를 지속적으로 보완하는 한편 향후 현장 컨설팅 등도 추진하겠다는 구상이다.

윤종인 개인정보위 위원장은 "AI 서비스 개발·운영과정에서 방대한 개인정보가 활용될 수 있어 그 어느 때보다 개인정보보호가 중요하다"며 "자율점검표 활용으로 개인정보를 적법하고 안전하게 처리해 신뢰할 수 있는 AI 이용환경 조성될 수 있길 기대한다"고 말했다.윤선영기자 sunnyday72@dt.co.kr