기업이 AI로 채용결정·맞춤형 광고할 때...대형로펌 변호사의 조언

윤주호 법무법인 태평양 변호사(사법연수원 35기)가 7일 한국마이크로소프트와 태평양 판교분사무소가 경기도 성남시 분당구 삼평동 코트야드 메리어트 판교에서 개최한 '인공지능 활용 전략과 관련 정책 동향' 세미나에서 발표하고 있다./사진=법무법인 태평양

"오는 15일부터 개인정보보호법 시행령 개정안 일뷰 규정이 시행되기 시작합니다. 도입 이후 현장에서 여러 사례가 나올 수 있는데 핵심은 자동화된 결정 과정에서 인적개입이 인정되는지, 정보 주체인 사용자에게 얼마나 설명해야 하는지입니다."

윤주호 법무법인 태평양 변호사(사법연수원 35기)는 7일 한국마이크로소프트와 태평양 판교분사무소가 경기도 성남시 분당구 삼평동 코트야드 메리어트 판교에서 개최한 '인공지능 활용 전략과 관련 정책 동향' 세미나에서 이같이 말했다. 이날 행사에는 관련 업계 관계자 50여명이 참석했다.

개인정보보호법 시행령 개정안이 지난 6일 국무회의에서 의결됨에 따라 오는 15일부터는 AI(인공지능)를 비롯해 자동화된 결정에 대한 권리 등 일부 규정이 시행된다.

자동화된 결정이란 AI를 비롯해 완전히 자동화된 시스템으로 개인정보를 처리하며 이뤄지는 결정을 의미한다.

개정안은 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미칠 경우 정보주체는 이를 거부하거나 사람에 의한 재처리를 요구할 수 있도록 한다. 예를 들어 기업의 채용 과정에서 AI 면접만으로 불합격 결정을 내린 경우 응시자는 설명이나 검토를 요구할 수 있다.

개인정보처리자는 다른 사람의 생명·신체·재산을 부당하게 침해할 우려가 있는 등 정당한 사유가 있는 경우에는 정보주체의 거부·설명 요구를 거절할 수 있다. 또 개인정보처리자가 추천하고 정보 주체가 결정하는 맞춤형 광고나 뉴스 추천, 본인 확인을 위한 단순 사실 확인은 자동화된 결정에 해당하지 않아 개인정보처리자에 대한 정보주체의 설명 요구 등은 인정되지 않는다.

윤 변호사는 "자동화된 결정에 대한 설명 요구는 사후적으로 주어지는 권리인데 시행령에 따르면 개인정보 처리자가 정보 주체에게 처리방침을 사전에 공개하면 충분한 것으로 규정하고 있다"며 "결과적으로 사전 공개 의무와 자동화된 결정에 대한 설명요구권을 사실상 등치시킨 것으로 풀이된다"고 했다.

그는 "앞서 해외에서 자동화된 결정과 관련해 기업이 소송까지 가게 된 사례로는 우버가 있다"며 "부정한 행위를 저질러 계정이 비활성화된 운전자들이 자동화된 결정에 따른 것이라면서 소송을 냈었다. 법원에서는 계정 비활성화 결정은 일시적 차단이 아니라 영구적 결정이라고 봤다"고 했다.

윤 변호사는 "특히 항소심에서 눈여겨볼 점은 자동화된 결정이라는 것을 입증할 책임이 원고들에게 주어졌지만 우버에게는 이 주장을 배척하기 위해서는 더 엄격한 입증 책임이 있어야 한다고 봤다"며 "우버는 리스크팀 직원이 직접 조사를 했다고 주장하면서 직원이 작성한 메모를 제출했으나 법원은 이는 형식적 심사에 불과해 인적 개입이라고 말할 수 없다고 판단했다"고 했다.

그러면서 "사람이 AI를 감독하는 행위가 형식에 그쳐서는 안 되고 결정을 변경할 권한과 능력이 있는 사람이 개입해야 한다"며 "사람에 의한 실질적 개입 절차를 두는 방안을 고려해야 한다. 다만 모든 자동화된 결정에 대해 동일한 인적 개입을 요구할지에 대해서는 향후 논의가 필요할 것으로 생각된다"고 했다.

이날 사회를 맡았던 민인기 변호사(연수원 32기)는 "기업에서 AI를 활용하는 것은 시대적 흐름"이라며 "더 넓은 범위에서 더 효과적으로 사용하기 위해서는 철저한 대비가 필요하다"고 말했다.

박다영 기자 allzero@mt.co.kr