숙명여대, 'AI·통계학습과 건강데이터 거버넌스' 학술대회 개최...AI 학습데이터 법적 쟁점 집중 조명

핵심 요약

- 숙명여대, 2026년 'AI·통계학습과 건강데이터 거버넌스' 학술대회를 통해 건강데이터의 개인정보 보호 문제 다뤄 - 데이터 수집·분석·공유 전 과정의 개인정보 보호, 데이터 재산적 가치, 거래·계약 법적 쟁점 종합 논의 - AI 학습데이터 활용에 따른 법적 쟁점을 AI 시대 핵심 과제로 제시

주요 내용

숙명여자대학교가 2026년 8월 'AI·통계학습과 건강데이터 거버넌스'를 주제로 학술대회를 개최한다. 이번 학술대회는 건강데이터라는 민감정보의 특수성을 고려해 데이터 수집부터 분석, 공유에 이르는 전 과정에서 발생할 수 있는 개인정보 보호 문제를 집중 조명한다.

학술대회는 데이터의 재산적 가치와 이용 권한, 데이터 거래 및 계약 시 고려해야 할 법적 쟁점을 다각도로 다룬다. 특히 건강데이터는 개인정보 보호법상 민감정보로 분류되어 일반 개인정보보다 엄격한 보호 요건이 적용되므로, 데이터 거래 시 동의 요건, 비식별화 수준, 목적 외 이용 제한 등의 법적 요건을 명확히 이해해야 한다.

AI 학습데이터 활용에 따른 법적 쟁점이 AI 시대의 핵심 과제로 제시되었다. 건강데이터를 AI 모델 학습에 활용할 경우, 원 데이터 제공자의 동의 범위, 학습된 모델의 권리 귀속, 모델 출력물의 개인정보 재식별 가능성, 편향(bias) 문제 등 복합적인 법적·윤리적 이슈가 발생한다. 2024년 1월 시행된 AI기본법과 개인정보 보호법의 조화로운 해석이 요구되는 상황이다.

건강데이터 거버넌스 체계 구축은 데이터 생명주기 전반에 걸쳐 통제 메커니즘을 확립하는 것을 의미한다. 데이터 품질 관리, 접근 권한 통제, 감사 추적(audit trail) 체계, 데이터 파기 정책 등이 포함되며, 특히 AI 학습용 데이터셋 구축 시 편향 제거, 대표성 확보, 품질 검증 프로세스가 필수적이다.

전문가 시각

ISMS-P 인증심사 실무 관점에서 건강데이터를 활용한 AI 학습 프로젝트는 '민감정보 처리' 및 '개인정보 라이프사이클 관리' 통제항목에서 집중 심사 대상이 된다. 특히 가명정보로 처리한 건강데이터를 AI 학습에 활용할 경우, 결합 전문기관 활용 여부, k-익명성 등 비식별 조치 적정성, 학습 모델의 재식별 위험 평가, 목적 외 이용 통제 체계가 핵심 심사 포인트다. 2026년 현재 많은 조직이 AI 학습용 건강데이터 구축 시 개인정보영향평가(PIA) 수행 없이 진행하다가 인증 단계에서 중대 부적합을 받는 사례가 증가하고 있다.

실무 대응 방안으로는 첫째, 건강데이터 활용 목적을 명확히 정의하고 최소 수집 원칙을 준수해야 한다. 둘째, AI 학습용 데이터셋 구축 시 비식별화 전문가의 검토를 받고 재식별 위험도를 정량적으로 평가해야 한다. 셋째, 학습 모델의 출력물에서 개인정보가 유출되지 않도록 차분 프라이버시(Differential Privacy) 등 기술적 보호조치를 적용하고, 넷째, 데이터 거래 계약서에 개인정보 보호 책임, 목적 외 이용 금지, 재제공 제한, 파기 의무 조항을 명시해야 한다.

CPPG·ISMS-P 연계 포인트

가명정보 AI 학습 활용 요건: 개인정보 보호법 제28조의2에 따라 가명정보는 통계작성, 과학적 연구, 공익적 기록보존 목적으로 정보주체 동의 없이 처리 가능하나, AI 학습이 '과학적 연구'에 해당하는지 판단이 필요하다. 결합 시 전문기관 활용 의무, 안전조치 기준(시행령 제29조) 준수, 특정 개인 재식별 금지, 재식별 시 즉시 처리 중지 및 파기 의무를 준수해야 한다.

민감정보 처리 시 강화된 보호조치: 건강정보는 민감정보(법 제23조)로서 별도 동의가 필요하며, ISMS-P 인증기준 2.8.1(민감정보 및 고유식별정보 보호) 통제항목에서 암호화, 접근권한 최소화, 별도 저장·전송 시 보호조치, 이용 내역 로깅, 처리 현황 관리대장 작성이 요구된다. AI 학습용 건강데이터는 익명화 또는 가명화 처리, 학습 환경 격리, 모델 접근 통제, 출력물 개인정보 포함 여부 검증 프로세스가 필수다.