소진공, 지능정보화위원회 출범…AI 윤리·개인정보보호 거버넌스 체계 구축

핵심 요약

- 중소벤처기업진흥공단이 2026년 8월 지능정보화위원회를 출범하고 첫 회의 개최 - AI 윤리원칙 제정안과 개인정보 보호 내부 관리계획을 중점 안건으로 다뤄 - 공공기관의 체계적 AI 거버넌스 구축 사례로 디지털 전환(AX) 과제 추진 본격화

주요 내용

중소벤처기업진흥공단(이하 소진공)이 2026년 8월 지능정보화위원회를 공식 출범하며 AI 거버넌스 체계 구축에 나섰다. 첫 회의에서는 소진공의 중장기 지능정보화 계획안, 지능정보화 업무지침 개정안, AI 윤리원칙 제정안, 개인정보 보호 내부 관리계획 등 핵심 안건들이 집중 논의됐다.

이번 위원회 출범은 공공기관이 AI 도입 시 윤리와 개인정보보호를 사전에 제도화하는 선제적 거버넌스 모델을 제시한다는 점에서 의미가 크다. 특히 AI 윤리원칙 제정안은 AI 시스템 개발·운영 전 과정에서 투명성, 공정성, 책임성을 확보하기 위한 구체적 가이드라인을 포함할 것으로 예상된다.

개인정보 보호 내부 관리계획은 AI 시스템이 처리하는 민감정보와 행동정보에 대한 보호조치를 명시하고, AI 학습 데이터의 수집·활용·파기 전 주기 관리 방안을 담을 전망이다. 소진공은 중소기업 지원 업무 특성상 대량의 기업정보와 개인정보를 다루기 때문에 AI 도입 시 개인정보 침해 위험에 대한 사전 통제가 필수적이다.

위원회는 앞으로 지능정보화 사업 추진 전략을 수립하고 AI 기반 업무 혁신(AX, AI Transformation) 과제를 본격 추진할 계획이다. 이는 2024년부터 강화된 AI 규제 환경과 2025년 제정된 AI기본법 시행에 대응하는 공공기관의 실질적 이행 모델이 될 것으로 보인다.

전문가 시각

ISMS-P 선임심사원 관점에서 소진공의 지능정보화위원회 출범은 AI 거버넌스의 핵심 원칙인 '책임 있는 AI 관리체계'를 조직 내부에 제도화한 모범 사례로 평가된다. 특히 개인정보 보호 내부 관리계획과 AI 윤리원칙을 동시에 논의한 점은 ISMS-P 인증 기준의 '개인정보 처리 단계별 요구사항'과 '신기술 보안 고려사항'을 통합적으로 구현하는 접근법이다. AI 시스템이 자동으로 개인정보를 수집·분석할 경우 정보주체 동의, 목적 외 이용 제한, 처리 이력 관리 등 ISMS-P 인증 핵심 통제항목의 적용이 필수적이다.

공공기관과 민간기업 모두 AI 도입 시 '거버넌스 우선(Governance First)' 원칙을 적용해야 한다. AI 윤리위원회, 개인정보 영향평가(PIA), AI 알고리즘 영향평가를 사전에 설계하고, AI 시스템의 학습 데이터에 포함된 개인정보의 비식별 조치 적정성을 정기적으로 검증해야 한다. 특히 바이브 코딩(Vibe Coding) 방식으로 AI가 자동 생성한 코드를 활용할 경우, 생성 코드 내 하드코딩된 개인정보, 취약한 인증 로직, SQL 인젝션 가능 구문 등을 사전 검토하는 보안 코드 리뷰 체계가 반드시 필요하다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 내부 관리계획 수립·시행 (ISMS-P 2.7.1)
개인정보보호법 제29조와 ISMS-P 인증기준에 따라 조직은 개인정보 내부 관리계획을 수립하고 최고경영자의 승인을 받아야 한다. AI 시스템 도입 시 자동화된 개인정보 처리 절차, AI 학습용 데이터 관리, 알고리즘 투명성 확보 방안을 내부 관리계획에 명시해야 한다.

2. AI 거버넌스 체계 및 책임성 확보 (AI기본법 제10조)
AI기본법은 고위험 AI 시스템 운영자에게 위험관리체계 구축을 의무화한다. 지능정보화위원회와 같은 의사결정 기구를 통해 AI 윤리원칙, 개인정보보호 방침, 알고리즘 편향성 점검 절차를 제도화하고, AI 시스템의 생애주기 전반에 걸쳐 책임 소재를 명확히 해야 한다.