시흥도시공사 생성형 AI 활용 개인정보 보호교육 실시…ChatGPT 업무 활용 유출 위험 대응

핵심 요약

- 시흥도시공사, 2026년 8월 임직원 대상 개인정보보호 및 정보보안 역량 강화 교육 실시 - ChatGPT 등 생성형 AI의 업무 활용 과정에서 발생할 수 있는 개인정보 유출 위험 집중 안내 - 개인정보 유출사고 대응 절차, 최신 사이버 위협, 정보보안 기본수칙을 실제 사례 중심으로 교육

주요 내용

시흥도시공사가 2026년 8월 전 임직원을 대상으로 개인정보보호 및 정보보안 역량 강화 교육을 실시했다. 이번 교육은 개인정보 유출사고 발생 시 대응 절차와 최신 사이버 위협 동향, 임직원이 준수해야 할 정보보안 기본수칙을 실제 사례 중심으로 구성했다.

특히 주목할 점은 ChatGPT를 비롯한 생성형 인공지능을 업무에 활용하는 과정에서 발생할 수 있는 개인정보 침해 리스크에 대한 교육을 포함했다는 것이다. 2023년 이후 생성형 AI의 업무 활용이 급증하면서 임직원이 업무 효율화를 위해 내부 문서나 고객 개인정보를 AI 프롬프트에 입력하는 과정에서 의도치 않은 정보 유출 사례가 국내외에서 지속적으로 보고되고 있다.

2024년 삼성전자 반도체 부문에서 ChatGPT에 소스코드를 입력한 사례, 2025년 국내 금융권에서 고객 상담 내용을 생성형 AI에 입력해 개인정보보호법 위반 논란이 된 사례 등이 대표적이다. 이에 시흥도시공사는 선제적으로 생성형 AI 활용 시 개인정보 및 내부정보 입력 금지, 민감정보 비식별화 원칙, AI 활용 가이드라인 준수 등을 교육 내용에 포함한 것으로 파악된다.

공공기관 특성상 시흥도시공사는 시민의 개인정보와 공공정보를 다량 보유하고 있어, 생성형 AI 도입 과정에서 더욱 엄격한 개인정보 보호 조치가 요구된다. 이번 교육은 기술 혁신과 개인정보 보호의 균형을 모색하는 모범 사례로 평가할 수 있다.

전문가 시각

ISMS-P 심사원 관점에서 볼 때, 시흥도시공사의 이번 교육은 2026년 현재 가장 시급한 정보보호 이슈인 생성형 AI 활용 리스크를 선제적으로 다뤘다는 점에서 의미가 크다. 2024년 개정된 개인정보보호 가이드라인에서는 인공지능 서비스 활용 시 개인정보 처리 최소화 원칙을 강조하고 있으며, 특히 외부 클라우드 기반 생성형 AI 서비스에 개인정보를 입력하는 행위는 제3자 제공에 해당할 수 있어 법적 책임 문제가 발생할 수 있다.

실무적으로 기업과 공공기관은 생성형 AI 활용 정책을 명문화하고, 임직원 교육을 연 1회 이상 정기적으로 실시해야 한다. 또한 AI 서비스 이용 전 개인정보 영향평가(PIA)를 수행하고, 업무용 생성형 AI 도입 시 온프레미스(On-premise) 방식이나 개인정보 처리 계약을 체결한 엔터프라이즈 버전을 활용하는 것이 바람직하다. 특히 ChatGPT Enterprise, MS Copilot for Business 등은 입력 데이터를 학습에 사용하지 않는 옵션을 제공하므로, 이러한 서비스 선택이 개인정보 보호 측면에서 안전하다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.9.1 (개인정보 보호 교육) 및 개인정보보호법 제28조(개인정보취급자 교육)
- 전 임직원 대상 연 1회 이상 개인정보보호 교육 실시 여부 확인
- 교육 내용에 최신 기술(생성형 AI 등) 활용 시 개인정보 보호 조치 포함 여부
- 교육 참석률, 교육자료, 이수 확인서 등 증적 관리 상태
- 특히 2026년 현재 ChatGPT 등 생성형 AI 활용 급증에 따른 맞춤형 교육 실시 여부가 중요 심사 포인트

2. 인증기준 2.5.3 (개인정보의 파기) 및 2.8.4 (개인정보 처리업무 위탁)
- 생성형 AI 서비스 이용 시 개인정보 제3자 제공 또는 위탁 처리 해당 여부 검토
- 외부 클라우드 기반 AI 서비스 활용 시 개인정보 처리 위탁 계약 체결 여부
- AI 서비스 제공자의 데이터 보유·활용·파기 정책 확인 및 계약서 반영
- 개인정보보호법 제26조(업무위탁)에 따른 수탁자 관리·감독 의무 이행 확인

3. 인증기준 2.10.2 (개인정보 유출사고 대응 및 신고)
- 개인정보 유출사고 대응 절차 수립 및 대응 조직(TF) 구성 여부
- 생성형 AI를 통한 개인정보 유출 시나리오를 포함한 대응 매뉴얼 보유
- 개인정보보호법 제34조(개인정보 유출 통지·신고)에 따른 24시간 이내 통지, 5일 이내 개인정보보호위원회 신고 절차 숙지

CPPG·ISMS-P 연계 포인트

1. 개인정보 제3자 제공 vs. 위탁 처리 구분 (개인정보보호법 제17조, 제26조)
생성형 AI 서비스에 개인정보를 입력하는 행위는 해당 서비스 제공자에게 개인정보를 이전하는 것으로, 법적으로 '제3자 제공' 또는 '처리 위탁'에 해당할 수 있다. 제3자 제공은 정보주체 동의가 필요하며(제17조), 위탁은 위탁 사실 공개 및 수탁자 관리·감독 의무가 발생한다(제26조). 기업은 AI 활용 목적과 방식에 따라 법적 근거를 명확히 하고, 필요 시 정보주체 동의를 받거나 위탁 계약을 체결해야 한다.

2. 개인정보 영향평가(PIA) 대상 (개인정보보호법 제33조, 시행령 제35조)
개인정보 처리 방법을 변경하거나 새로운 정보시스템을 도입할 때, 특히 개인정보를 100만 명 이상 처리하는 공공기관·대기업은 개인정보 영향평가를 수행해야 한다. 생성형 AI 도입은 '개인정보 처리 방법의 중요한 변경'에 해당할 수 있으므로, 도입 전 PIA를 통해 개인정보 유출·오남용·분실 등의 위험을 사전 평가하고, 필요한 보호조치를 마련해야 한다. 평가 결과는 개인정보보호위원회 또는 전문기관의 의견을 수렴해야 한다.