개인정보위, 생성형 AI 개인정보 처리 기준 발표
개인정보위, 생성형 AI 개인정보 처리 기준 발표
개인정보보호위원회는 생성형 인공지능(AI) 서비스를 개발하고 활용하는 기업과 기관을 대상으로 한 개인정보 안전 처리 기준을 공식적으로 마련했다. 이번 조치는 생성형 AI 기술 발전에 따른 개인정보 보호의 중요성이 커지는 가운데, 관련 법 적용의 불확실성을 해소하고 자율적 법 준수를 촉진하기 위한 것이다.
개인정보위는 6일 서울 중구 정동 1928 아트센터에서 '생성형 인공지능과 프라이버시'라는 주제로 오픈 세미나를 개최하고, 생성형 인공지능 개발 및 활용을 위한 개인정보 처리 안내서를 공개했다. 이 안내서는 챗GPT와 같은 상용 대규모 언어모델(LLM) 서비스뿐만 아니라 라마(Llama) 등 오픈소스 LLM을 미세조정해 서비스를 제공하는 사업자들도 활용할 수 있도록 설계되었다.
우리나라가 보유한 의료, 공공, 금융 분야의 데이터는 세계 최고 수준으로 평가받고 있으며, 이러한 데이터는 생성형 AI 발전의 핵심 자원으로 활용되고 있다. 그러나 생성형 AI 기술의 발전은 개인정보 침해 위험을 동반할 수 있어, 명확한 개인정보 처리 기준 마련이 필수적이다. 이에 따라 현장에서는 생성형 AI 활용과 관련한 개인정보 보호법 적용에 대한 체계적이고 구체적인 안내가 요구되어 왔다.
개인정보위는 올해 초부터 내부 검토와 외부 전문가 의견 수렴을 거쳐 안내서 초안을 마련했으며, AI 프라이버시 민·관 정책협의회와 개인정보위 전체회의를 통해 최종 공개본을 확정했다.
안내서는 크게 네 가지 생애주기 단계로 나누어 생성형 AI 개발과 활용 과정에서 필요한 최소한의 안전조치를 체계적으로 제시한다. 첫째, 목적 설정 단계에서는 AI 개발 목적을 명확히 하고, 개인정보의 종류와 출처별로 학습에 필요한 적법 근거를 다룬다. 둘째, 전략 수립 단계에서는 개발 방식을 유형화하여 각 유형별 리스크 경감 방안을 안내한다. 셋째, 학습 및 개발 단계에서는 데이터 오염과 탈옥(jailbreak) 등 위험 요소를 고려한 다층적 안전조치를 포함하며, AI 에이전트 관리 방안도 제시한다. 넷째, 적용 및 관리 단계에서는 정보주체의 권리 보장에 중점을 둔다.
또한 개인정보 보호 책임자(CPO)를 중심으로 한 거버넌스 구축 방안을 제시해, 개인정보 보호 관점이 전체 과정에 내재화되도록 했다. 기업과 기관은 이 과정을 반복하며 AI 시스템을 지속적으로 고도화하고 개발하는 것을 권장받는다.
아울러 개인정보위는 생성형 AI 개발 및 활용 과정에서 이용자 개인정보 학습과 관련한 법적 기준 등 불확실성이 높은 이슈에 대해, 그간의 정책 및 집행 사례를 바탕으로 구체적인 해결책을 안내서에 담았다. 안내서에는 안내자료 마련, 사전 실태 점검, 규제 샌드박스 및 사전 적정성 검토 등 다양한 정책 경험이 반영되어 실무 현장에서의 법 해석과 안전조치 기준에 실질적 도움을 줄 것으로 기대된다.
고학수 개인정보위원장은 "이번 안내서가 실무 현장의 법적 불확실성을 해소하고, 생성형 AI 개발과 활용에 개인정보 보호 관점을 체계적으로 반영하는 데 큰 역할을 할 것"이라며, "앞으로도 개인정보위는 프라이버시와 혁신이라는 두 가치를 조화롭게 실현할 수 있도록 정책 기반을 지속적으로 마련해 나가겠다"고 밝혔다.
