페이스북 메신저 채팅 기반 인공지능 챗봇 '이루다'는 개인정보 침해로 사회적 물의를 일으켰고, 결국 개발사는 개인정보보호법 위반으로 과징금 및 과태료 1억 330만 원을 부과받는 결과로 이어지고 말았다. 이루다 사건은 필연적으로 빅데이터를 필요로 하는 인공지능을 어떻게 대할지, 개인정보 침해의 문제를 어떻게 바라봐야 할 것인지 화두를 던진 사건으로 기억되고 있다. 개인정보보호위원회는 시국에 맞춰, 인공지능 서비스의 개발과 운영 시 발생할 수 있는 개인정보 침해에 대한 안내서를 공개했다.

개인정보보호위원회에서 자율점검표 공개

개인정보 보호에 관한 사항을 심의하고 의결하는 국무총리 소속 중앙행정기관인 개인정보보호위원회는 5월 31일 'AI 개인정보보호 자율점검표' 확정본을 공개했다. 이번에 공개한 자율점검표는 인공지능의 설계, 개발 및 운영 과정에서 개인정보를 안전하게 처리하기 위해 지켜야 할 개인정보보호법 상 주요 의무사항과 권장사항을 단계별로 자율점검할 수 있도록 알기 쉽게 담아낸 안내서다. 업무 처리 전 과정에서 지켜져야 할 여섯 가지 원칙과 이를 기반으로 단계별로 점검해야 할 16개 항목, 54개 확인사항을 함께 제시했다.

▲ 국무총리 소속 중앙행정기관인 개인정보보호위원회

다양한 기준을 적용한 점검항목들

자율점검표 내용에는 인공지능의 개인정보 처리 특성을 고려해 개인정보보호법, 과학기술정보통신부의 'AI 윤리기준', 국제적으로 통용되는 개인정보 보호 중심 설계 원칙 등이 반영됐다. 주요 내용을 살펴보면, 우선 기획 단계에서는 예상치 못한 개인정보 침해가 발생할 수 있으므로 기획 단계부터 사전 점검과 예방을 위해 개인정보보호 중심 설계(PbD) 원칙을 적용할 것을 권장했다. PbD 원칙은 제품 개발 시 기획 단계부터 개인정보 처리의 전체 생애주기에 걸쳐 이용자의 프라이버시를 고려한 정책을 설계에 반영하는 내용을 담고 있다. 기획 단계에서 개인정보 침해가 우려될 경우에는 개인정보 영향평가를 수행하도록 했다.

▲ 챗봇 서비스 이루다가 던진 화두에 대응되는 움직임

다음달 초부터 활용될 예정

이루다의 사례로 비춰보면 '신규 서비스 개발'을 위한 개인정보 수집 동의 시 '서비스의 챗봇 알고리즘 개발'과 같이 목적을 구체적으로 작성하고, 이용자가 충분히 이해하고 예측할 수 있도록 신규 서비스의 의미 등을 구체적으로 알려야 한다고 명시했다. 개인정보 이용과 제공에 대해서는 수집 목적 내 이용해야 하고, 목적 외 이용은 적법한 근거를 확인하도록 했다. 동의 없이 가명처리해 활용하려는 경우 과학적 연구, 통계 작성 등 허용된 목적인지, 관련 기준에 부합하는지 등 점검 내용을 제시하고 학습 데이터의 가명처리 시 유의사항, 가명정보의 공개 제한 등을 안내했다. 가명정보를 공개하는 등 불특정 제3자에게 제공하는 것은 사실상 제한돼 익명처리하는 것이 원칙이라고 명시했다. 개인정보위는 이번 자율점검표가 AI 분야 현장에서 널리 활용될 수 있도록 다음달 초부터 AI 스타트업 대상 설명회를 개최하고 중소기업 컨설팅, 교육 등에도 활용할 예정이다.

▲ 인공지능 서비스 개발에 있어, 개인정보 보호에 대해 더 심도 있는 고려가 필요한 시점이다

최덕수 기자 press@appstory.co.kr