대구시 'AI 행정혁신', 개인정보 보호와 AI 거버넌스 균형이 관건

핵심 요약

- 대구시, 2026년 'AI 행정혁신 선도도시' 추진하며 개인정보 보호·AI 신뢰성 종합 고려한 거버넌스 체계 구축 - '잘 쓰는 AI'를 넘어 '안전하고 책임 있게 사용하는 AI' 문화를 공직사회에 정착시키는 것이 목표 - 공공부문 AI 활용 확대 시 개인정보 침해 위험 관리와 AI 결과물 검증 체계 마련이 필수적

주요 내용

대구시가 2026년 8월 AI 행정혁신 선도도시로서 개인정보 보호와 AI 결과물의 신뢰성을 종합적으로 고려한 'AI 거버넌스 체계'를 구축하고 있다. 추경호 대구시장은 "AI 대전환은 산업뿐만 아니라 행정 전반의 혁신을 가져올 것"이라며, 단순히 AI를 도입하는 것을 넘어 안전하고 책임 있게 활용하는 문화를 공직사회에 정착시킬 계획임을 밝혔다.

이번 대구시의 AI 행정혁신은 불필요한 업무를 줄이고 정책 품질을 높이는 데 초점을 맞추고 있다. 특히 공공기관에서 AI를 활용할 때 발생할 수 있는 개인정보 침해 위험, AI 결과물의 편향성, 그리고 자동화된 의사결정의 투명성 문제를 사전에 관리하는 체계를 마련하는 것이 핵심이다. 이는 2024년 1월 시행된 AI기본법의 '신뢰할 수 있는 인공지능' 원칙과도 일맥상통한다.

공공부문의 AI 도입은 민간부문보다 더욱 엄격한 개인정보 보호 기준을 요구한다. 행정업무에서 처리되는 주민등록번호, 건강정보, 복지정보 등 민감정보가 AI 학습 데이터로 활용될 경우, 개인정보보호법 제23조(민감정보 처리 제한) 및 제24조의2(가명정보 처리 특례)에 따른 철저한 비식별화 처리가 필수적이다. 또한 AI가 생성한 행정문서나 정책 제안의 정확성·공정성 검증 절차도 마련되어야 한다.

대구시의 이번 시도는 AI 활용과 개인정보 보호라는 두 가지 가치를 균형 있게 추구하는 모범 사례로 평가받을 수 있다. 공공부문이 선도적으로 'AI 윤리·거버넌스' 체계를 구축함으로써, 민간 기업들에게도 책임 있는 AI 활용의 기준을 제시하는 효과가 기대된다.

전문가 시각

ISMS-P 인증 심사 실무 경험에 비추어 볼 때, 공공기관의 AI 도입 시 가장 우려되는 부분은 '바이브 코딩(Vibe Coding)' 방식으로 생성된 AI 코드의 보안 취약점이다. 공직자들이 ChatGPT, Claude 등 생성형 AI를 활용해 행정시스템 개선 코드를 작성할 경우, AI가 자동 생성한 코드에 SQL 인젝션, 인증 우회, 개인정보 평문 저장 등의 취약점이 포함될 수 있다. 대구시가 'AI 행정혁신'을 추진하면서 반드시 AI 생성 코드에 대한 보안 검토 프로세스(Secure Code Review)와 개인정보영향평가(PIA) 연계 체계를 수립해야 한다.

또한 AI 결과물의 신뢰성 확보를 위해서는 'AI 생성 로그 관리'와 '인간 검증(Human-in-the-Loop)' 체계가 필수적이다. 특히 행정문서 초안 작성, 민원 응대, 정책 분석 등에 AI를 활용할 경우, AI 모델의 학습 데이터 출처, 생성 과정, 그리고 최종 결과물에 대한 공무원의 검토·승인 이력을 전자적으로 기록·관리해야 한다. ISMS-P 인증기준 2.9.1(개인정보 처리 단계별 보호조치)에 따라, AI 시스템이 개인정보를 처리하는 모든 단계에서 암호화·접근통제·로그 기록이 적용되어야 하며, 특히 AI 학습 데이터셋에 포함된 개인정보는 가명처리 또는 익명처리를 통해 재식별 위험을 최소화해야 한다.

CPPG·ISMS-P 연계 포인트

1. AI 시스템의 개인정보영향평가(PIA) 적용
개인정보보호법 제33조 및 시행령 제35조에 따라, 공공기관이 5만 명 이상의 정보주체에 관한 민감정보·고유식별정보를 처리하는 AI 시스템을 구축·운영할 경우 사전에 개인정보영향평가를 실시해야 한다. AI 알고리즘의 개인정보 처리 흐름, 자동화된 의사결정의 공정성, AI 학습 데이터의 비식별화 적정성 등을 평가 항목에 포함해야 한다.

2. ISMS-P 인증기준 2.10.3(시스템 개발 보안)
AI 자동 생성 코드를 포함한 모든 시스템 개발 시, 개발 단계별 보안 취약점 점검 및 모의침투 테스트를 수행해야 한다. 특히 생성형 AI가 작성한 코드는 OWASP Top 10 기준 보안 취약점(SQL 인젝션, XSS, 인증 우회 등) 점검을 필수적으로 실시하고, 개인정보 처리 로직에 대해서는 암호화·접근통제 적용 여부를 검증해야 한다.