[Tech & Law] 국내 최초 본격 AI 규제인 “자동화 결정 대응권”

이성엽 고려대 기술경영전문대학원 교수

생성형 인공지능(AI)이 빠르게 발전하면서 이제 인간의 능력과 유사하게 다양한 분야의 작업을 할 수 있는 범용 인공지능 시대의 도래가 멀지 않았다는 예상이 증가하고 있다. 주요국도 인공지능의 위험성을 통제하기 위한 규제 논의를 본격화하고 있는데, 한국은 오는 3월 15일 전 분야에 걸친 최초의 인공지능 규제인 “자동화된 결정에 대한 대응권”을 시행한다.

지난해 3월 14일 개정된 개인정보보호법 제37조의2로 신설된 자동화된 결정에 대한 정보주체의 대응권의 내용은 “정보주체는 인공지능 기술을 적용한 시스템을 포함하여 완전히 자동화된 시스템으로 개인정보를 처리하여 이루어지는 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 개인정보처리자에 대하여 해당 결정을 거부할 수 있는 권리를 가진다. 또 정보주체는 개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다”는 것이다.

이는 자동화된 결정에 대한 정보주체의 대응권은 거부권과 설명요구권으로 구분되는데, 전자는 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우에만 인정되고, 후자는 자동화된 결정 일반에 대해 인정된다. 다만 거부권은 정보주체의 동의를 받은 경우, 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우 등에는 인정되지 않는다. 거부권이 행사되는 경우 개인정보처리자는 해당 결정을 적용하지 않는 조치를 하거나 인적 개입에 의한 재처리를 하고 그 결과를 정보주체에게 알려야 한다. 정보주체의 설명 요구를 받은 개인정보처리자는 해당 결정의 기준 및 처리 과정 등에 대해 설명해야 한다.

정부의 시행령 작업이 막바지에 있기는 하지만, 여전히 자동화 결정 대응권과 관련해 불명확한 점이 몇 가지 있다. 먼저 인공지능 등 완전히 자동화된 시스템으로 개인정보를 처리하여 이루어지는 결정이 무엇인가에 관한 것이다. 사회 각 분야에서 인공지능이 광범위하게 사용되고 있는 현실을 고려하면 법의 적용 대상이 명확해야 하는데 개정법은 이 개념에 대한 설명을 하지 않고 있다. 문언대로 해석하면 완전히 자동화된 결정이란 사람의 개입 없이 완전히 자동화된 시스템으로 개인정보를 분석하는 등 처리하는 과정을 거친 결정이므로 결정이 이루어지는 과정에서 권한과 능력이 있는 인간의 실질적인 개입이 없어야 하는 것이 핵심 요건이다.

만약 인간의 개입이 단순 결재 등 형식적인 절차만을 운영하고 있다면 실질적으로 사람의 개입 없이 이루어진 결정이므로 완전히 자동화된 결정에 해당된다고 할 수 있다. 인공지능 면접만을 통해서 응시자의 개인정보를 분석하여 불합격 결정을 하는 경우는 완전히 자동화된 결정에 해당할 수 있다. 그러나 인사위원회를 통해 실질적으로 채용 여부를 결정하는 절차를 운영하고, 인공지능 면접에 의해 산출된 자료를 참고만 하는 경우는 제외될 것이다.

다음 완전히 자동화된 결정에서 “결정”의 개념에 관한 것이다. 현행법은 ‘결정’의 개념에 대해 침묵하고 있으나, 이는 법이론상 정보주체의 권리, 의무에 변동을 초래하는 개별·구체적인 형성적 행위를 의미한다고 봐야 할 것이다. 따라서 개인정보처리자가 추천하고 정보주체가 이용 여부에 대한 선택과 결정을 하는 맞춤형 상품, 광고, 뉴스의 추천 등과 같은 행위는 “결정”에 해당되지 않는다고 보는 것이 타당하다.

현행법은 설명요구권의 대상을 자신에 대한 자동화된 결정의 존재만을 요건으로 하며,거부권과 달리 정보주체의 권리 또는 의무에 영향을 미칠 것을 요구하지 않고 있다. 이는 자동화된 결정이 본인에 관한 법적 효과를 초래하거나 이와 유사하게 본인에게 중대한 영향을 미치는 경우에만 인정되는 유럽의 GDPR의 설명요구권 보다 완화된 것이다. 하지만 권리, 의무에 영향이 없는 일반적인 경우에 모두 설명요구권 등을 인정하는 것은 개인정보처리자에게 과도한 부담을 준다는 측면에서 입법적 개선이 필요하다고 할 것이다. 현재로서는 완전히 자동화된 결정의 개념을 권리, 의무에 영향을 미치는 결정으로 해석함으로써 설명요구권의 대상도 권리, 의무에 영향을 미치는 결정으로 한정하는 것이 타당할 것이다. 설명요구권에서 설명의 기준을 정하는 것도 중요한 문제이다. 설명요구권의 취지는 정보주체가 자신에 관한 자동화된 결정이 있는 경우 이에 어떻게 대응해야 할지 결정하기 위한 정보를 획득할 수 있도록 하기 위한 것이다. 따라서 알고리즘의 공개나 복잡한 설명보다는 결정의 이유와 기준에 관한 충분한 정보를 이해하기 쉬운 방법으로 제공해야 할 것이다.

인공지능 등 자동화된 결정에 대한 대응권의 신설로 정보주체인 국민이 인공지능 서비스를 안전하게 신뢰하면서 이용할 수 있는 사회적 안전장치 중 하나의 역할을 하면서, 개인정보를 기반으로 하는 혁신적인 인공지능 서비스가 확산될 수 있는 선순환 구조가 마련될 것으로 기대가 된다. 다만 동의를 받은 경우에는 정보주체의 거부권이 인정되지 않아 제도의 효용성이 얼마나 있을지 의문이며, 설명요구의 경우에는 블랙박스 등의 문제로 설명이 형식화되는 경우 정보주체에게 실익이 없을 가능성이 있다. 다른 한편으로는 자동화된 결정의 개념, 범위, 효력 등에서 여전히 불명확한 점이 많기 때문에 시장에서 상당한 혼란이 일어날 수도 있다. 따라서 개인정보보호위원회는 가이드라인을 통해 제도의 실효성을 높이는 작업을 조속히 진행해야 할 것이다.

이성엽 고려대 기술경영전문대학원 교수·기술법정책센터 센터장

- Copyright ⓒ 조선비즈 & Chosun.com -