“공개 데이터, 어떻게 활용해야 할까?”…개인정보위가 알려준다

AI 개발·서비스에 이용되는 공개 데이터 처리 기준 제시
기업 불확실성 해소 및 국민 프라이버시 보호 효과 기대

개인정보보호위원회 로고.ⓒ개인정보보호위원회

개인정보보호위원회(이하 개인정보위)는 공개 데이터가 현행 개인정보 규율체계 내에서 적법하고 안전하게 처리될 수 있도록 ‘인공지능(AI) 개발·서비스를 위한 공개된 개인정보 처리 안내서’를 17일 공개했다.

공개 데이터는 인터넷상 누구나 합법적으로 접근할 수 있는 데이터로, 생성형 AI를 개발하기 위한 학습데이터의 핵심원료로 쓰인다.

하지만 주소, 고유식별번호, 신용카드번호 등 여러 개인정보가 포함될 수 있어 국민의 프라이버시가 침해될 우려가 크다. 현행 개인정보보호법(이하 보호법)에는 이러한 공개된 개인정보 처리에 적용될 수 있는 명확한 기준이 없다.

예컨대, AI 학습에 공개 데이터가 대규모로 처리되는 상황에서 현행 보호법 상의 정보주체 개별 동의나 계약 체결 등의 조항을 적용하는 것은 사실상 어렵다. 또 AI 학습이 전통적인 개인정보 처리방식과 다르다 보니, 보호법상의 안전성 확보조치 등의 규정도 그대로 적용하는 것에 일정한 한계가 존재한다.

이에 개인정보위는 공개된 개인정보 수집 및 활용의 법적 기준을 명확화하고 AI 개발 및 서비스 단계에서 어떤 안전조치를 취하는 것이 적정한지 기업이 참고할 수 있는 기준을 제시하는 안내서를 마련했다. 공개 데이터를 활용하는 기업들의 개인정보 침해 이슈를 최소화하고 법적 불확실성을 해소해 기업의 성장을 돕겠다는 취지다.

개인정보위는 보호법 제15조에 따른 ‘정당한 이익’ 조항에 의해 공개된 개인정보를 AI 학습 및 서비스 개발에 활용할 수 있다는 것을 분명히 했다.

이러한 ‘정당한 이익’ 조항이 적용되기 위해서는 ▲인공지능(AI) 개발 목적의 정당성 ▲공개된 개인정보 처리의 필요성 ▲구체적 이익형량이라는 세 가지 요건을 충족해야 한다. 개인정보위는 이번 안내서를 통해 세 가지 요건의 내용과 적용사례도 안내했다.

안내서에는 AI 기업이 정당한 이익을 근거로 공개된 개인정보를 처리하기 위해 고려할 수 있는 기술적·관리적 안전성 확보조치와 정보주체 권리보장 방안도 담았다.

다만, 빠른 AI 기술변화를 고려해 세부적 안전조치를 유연하게 도입 및 시행할 수 있도록 했다. 기업은 모든 안전조치를 의무적으로 시행하지 않아도 된다. 여러 안전조치의 순기능과 AI 성능조합, 편향성 등 부작용과 기술 성숙도를 고려해 기업 특성에 맞는 안전조치 최적 조합을 선택해 이행하면 된다.

아울러, AI 개발을 위한 학습데이터 처리와 관련한 AI 기업과 개인정보보호책임자(CPO)의 역할을 강조했다. CPO를 중심으로 'AI 프라이버시 담당조직(가칭)'을 자율적으로 구성·운영하고 안내서에 따른 기술 충족 여부를 평가해 근거를 작성‧보관하도록 권고했다.

안내서는 추후 개인정보 관련 법령 제·개정, AI 기술발전 추이, 해외 규제정비 동향 등을 고려해 지속 업데이트될 예정이다.

공개된 개인정보와 함께 AI 학습데이터의 주요 원천을 이루는 이용자 개인정보의 적법한 처리 근거와 기준 등에 대해서는 학계, 산업계, 시민단체 등의 의견수렴을 거쳐 구체화해 나갈 방침이다.

고학수 개인정보위 위원장은 “AI 기술 진보가 빠르게 이뤄지고 있지만 AI 개발의 핵심 관건인 공개 데이터 학습이 보호법에 비춰 적법하고 안전한지 여부는 공백인 상황이었다”면서 “이번 안내서를 통해 국민이 신뢰하는 AI·데이터 처리 관행을 기업 스스로 만들어 나가고 이렇게 축적된 모범사례가 안내서에 지속적으로 반영될 수 있기를 기대한다”고 말했다.