챗GPT, 내 정보 함부로 쓰지 마!

개인정보보호위, ‘가명정보 처리 가이드라인’ 개정해 기준 마련

앞으로 병원이나 의료 관련 업체가 암과 골밀도 감소 여부를 진단하는 인공지능(AI) 연구·개발 때 환자의 CT·MRI 같은 영상에 나타난 환자 번호와 성별 등은 지워야 한다.

처리 여부는 추가로 검수하고, 연구 목적 달성 후에는 바로 데이터를 파기해야 한다.

또 기업이 도로주행 상황 촬영 영상을 학습해 자율주행차를 개발할 때는 행인과 차량 탑승자의 얼굴, 차량 번호판을 컴퓨터가 식별할 수 없는 수준으로 가리고, AI 챗봇 개발 시에는 e메일과 ID(신분) 등 개인이 식별될 수 있는 항목을 가명 처리해야 한다.

이처럼 챗GPT 같은 생성형 AI 기술 개발에 핵심적으로 쓰이는 ‘비정형 데이터’에 대한 사용 기준이 나왔다. 개인정보보호위원회는 기존의 ‘가명정보 처리 가이드라인’을 개정해 비정형 데이터에 대한 가명 처리 기준을 새롭게 마련했다고 4일 밝혔다.

비정형 데이터란 사진과 이미지, 비디오, 통화음성, 대화 기록, 블로그 등 구조화되지 않은 것으로, 전체 데이터 중 대다수를 차지한다. 가명정보는 개인정보 일부 항목을 삭제·변형해 추가 정보 결합 없이는 특정 개인을 알아볼 수 없게 한 정보다.

기존 가이드라인은 전화번호 같은 정형 데이터(구조화된 형식으로 존재하는 데이터)에 대한 기준만 제시해, 기업과 연구기관 등이 적합한 가명처리 방법이나 수준을 알지 못해 현장에서 이용 시 불확실성이 컸다.

개정 가이드라인은 5일부터 개인정보위 홈페이지와 개인정보포털에서 내려받을 수 있다. 개정안에는 비정형 데이터를 가명 처리하고 활용하는 과정에서 나타날 수 있는 개인정보 위험을 사전에 확인하고 통제하기 위한 원칙이 담겼다.

이를 위해 분야별 사례를 제공하고 개인식별 위험성 검토 체크리스트를 통해 식별 위험을 사전에 진단하도록 했다.

또 개인정보 유출 위험을 낮추기 위해 식별에 악용될 수 있는 소프트웨어 사용 제한, 보안서약서 징구 등의 통제 방안도 마련토록 했다.

다만, AI 개발·활용 과정에서 나타날 수 있는 다양한 위험을 사전에 완벽히 제거하는 것이 불가능한 만큼 서비스 실행 과정에서도 개인식별 위험 등 정보 주체의 권익 침해 가능성을 모니터링하도록 했다. 나아가 개인정보위는 향후 ‘사전적정성 검토제’ 사례 등을 가이드라인에 추가해 모범 사례를 확산할 계획이다.

김은성 기자 kes@kyunghyang.com