소상공인 AI 지원정책, 개인정보 연계 데이터 활용으로 선제적 위기 대응 시대 연다

핵심 요약

- 소상공인 지원정책이 위기 '사후 대응'에서 AI 기반 '사전 예측' 체계로 전환, 개인정보보호 원칙 준수 아래 다부처 데이터 연계가 핵심 - AI는 경영위험 신호 탐지 및 맞춤형 정책 추천을 담당하고, 최종 판단과 정책 연계는 전문인력이 수행하는 하이브리드 모델 필요 - 2026년 AI기본법 시행 환경에서 개인정보 최소수집·목적 외 이용 제한 원칙과 AI 자동화 의사결정 투명성 확보가 동시 요구됨

주요 내용

2026년 8월 현재, 정부의 소상공인 지원정책이 패러다임 전환을 앞두고 있습니다. 백남정 박사(ISMS-P 선임심사원)는 최근 시론을 통해 위기 발생 이후 사후약방문식 지원이 아닌, 위기 발생 이전 선제적 개입의 중요성을 강조했습니다. 이를 위한 핵심 수단으로 '개인정보보호 원칙 아래 데이터 연계'와 'AI 기반 위험신호 탐지'를 제시했습니다.

현재 소상공인 경영 관련 데이터는 국세청(매출·세무), 신용보증기금(대출·연체), 고용보험(인력 현황), 지자체(임대료·폐업) 등에 분산되어 있습니다. 개인정보보호법상 목적 외 이용·제3자 제공 제한 원칙으로 인해 부처 간 데이터 연계가 어려웠으나, 가명정보 결합(제28조의2), 공공기관 간 내부 이용(제18조 제2항 제7호) 등 법적 근거를 활용하면 개인정보보호와 정책 효과를 동시에 달성할 수 있습니다.

AI 시스템은 다차원 데이터에서 위기 패턴(매출 급감+고용 감소+연체 증가 등)을 조기 탐지하고, 개별 소상공인에게 적합한 정책(긴급 융자·컨설팅·업종 전환 지원)을 추천합니다. 그러나 백 박사는 "최종 판단과 정책 연계는 전문인력이 담당해야 한다"고 강조합니다. AI가 놓칠 수 있는 지역 특수성, 업종별 계절성, 개별 사업자의 특수 사정 등을 사람이 검토함으로써 오판을 방지하고 정책 수용성을 높일 수 있습니다.

2026년 AI기본법 시행으로 고위험 AI 시스템(개인의 권리에 중대한 영향을 미치는 의사결정)에는 투명성·설명가능성·인간 개입 의무가 부과됩니다. 소상공인 지원 대상 선정 AI는 이에 해당할 가능성이 높아, 알고리즘 편향 점검, 의사결정 근거 설명, 이의제기 절차 마련이 필수입니다. 개인정보보호와 AI 신뢰성을 동시에 확보한 정책 인프라 구축이 2026년 하반기의 핵심 과제입니다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이 정책모델은 '개인정보 영향평가(PIA)' 필수 대상입니다. 100만 명 이상 정보주체, 민감정보 포함, 공공기관 업무 등 법정 요건을 충족하기 때문입니다. 실무적으로는 ① 수집 단계: 각 부처 데이터의 법적 근거 명확화(법 제18조 제2항 제7호 '업무 수행 필요') ② 결합 단계: 가명처리 후 전문기관(금융보안원 등) 안전조치 ③ AI 학습 단계: 재식별 위험 평가 ④ 추천 단계: 자동화 의사결정 기록·설명 체계를 구축해야 합니다.

특히 주의할 점은 AI가 생성한 '위기 예측 점수'가 낙인효과를 초래할 수 있다는 것입니다. 정보주체(소상공인)에게 열람·정정 청구권을 보장하되, 예측 알고리즘 자체는 영업비밀로 보호하는 균형이 필요합니다. 또한 AI 추천을 맹신하지 않도록 전문상담사의 2차 검증을 의무화하고, 정책 수혜 여부 최종 결정 시 인간 개입을 명문화해야 합니다. 2026년 하반기부터 본격화될 AI기본법 후속 규정(고위험 AI 분류 고시 등)을 지속 모니터링하며 컴플라이언스 체계를 정비해야 합니다.

CPPG·ISMS-P 연계 포인트

1. 가명정보 결합 및 공공 내부 이용 (개인정보보호법 제18조, 제28조의2)
공공기관이 법령상 업무 수행을 위해 필요한 경우 목적 외 이용이 가능하며(제18조 제2항 제7호), 서로 다른 기관이 보유한 가명정보를 전문기관을 통해 결합할 수 있습니다(제28조의2). PIA 수행 시 결합 키 관리, 재식별 위험 평가, 결합 후 반출 데이터 안전조치를 중점 점검합니다.

2. 자동화 의사결정 및 설명 요구권 (AI기본법·개인정보보호법 제37조의2)
개인에게 중요한 영향을 미치는 자동화 의사결정에 대해 정보주체는 설명을 요구할 권리가 있습니다. AI 기반 정책 추천 시스템은 ① 사용된 데이터 항목 ② 주요 판단 기준 ③ 결과에 이의제기하는 방법을 명확히 고지해야 하며, ISMS-P 인증 시 '개인정보 처리 단계별 안전조치' 항목에서 자동화 처리 기록 관리를 심사받습니다.