의왕도시공사, 생성형 AI 시대 개인정보 보호 교육 강화... 챗GPT 활용 확산 대응

핵심 요약

- 의왕도시공사, 2026년 8월 전 직원 대상 생성형 AI 시대 개인정보 보호 교육 실시 - ChatGPT 등 생성형 AI 업무 활용 시 개인정보 입력 금지 및 데이터 유출 위험 예방 지침 전달 - 디지털 업무환경 변화에 따른 정보보호 역량 강화로 시민 신뢰 확보 목표

주요 내용

경기 의왕도시공사가 2026년 8월 생성형 AI 활용 확산에 대응한 개인정보 보호 교육을 실시했다. 이번 교육은 ChatGPT를 비롯한 생성형 AI의 업무 활용이 급증하면서 발생할 수 있는 개인정보 유출 위험을 사전에 차단하기 위해 기획됐다.

교육은 실무 중심으로 진행됐으며, 생성형 AI 서비스 이용 시 개인정보를 프롬프트에 입력하지 않도록 하는 구체적 지침이 전달됐다. 특히 AI 학습 데이터로 활용될 수 있는 민감정보 입력 금지, 업무상 취득한 개인정보의 AI 서비스 활용 제한 등이 강조됐다. 공공기관 특성상 주민 개인정보를 다루는 빈도가 높아 더욱 엄격한 관리가 요구되는 상황이다.

의왕도시공사는 이번 교육을 통해 디지털 전환 시대에 발맞춘 정보보호 역량을 강화하고, 시민들이 안심할 수 있는 개인정보 관리 체계를 구축한다는 방침이다. 생성형 AI가 업무 효율성을 높이는 도구인 동시에 개인정보 유출의 새로운 경로가 될 수 있다는 인식 하에, 예방적 보안 문화를 조성하고 있다.

공공기관의 생성형 AI 활용 교육은 2026년 들어 더욱 확산되는 추세다. 개인정보보호위원회와 행정안전부가 공공부문 AI 활용 지침을 강화하면서, 각 기관은 자체 교육 프로그램을 통해 직원들의 보안 인식을 제고하고 있다.

전문가 시각

생성형 AI 활용 환경에서 개인정보 보호 교육은 선택이 아닌 필수가 됐다. ChatGPT 등 LLM 기반 서비스는 사용자가 입력한 데이터를 학습에 활용할 수 있어, 무심코 입력한 고객정보·내부자료가 외부로 유출되거나 다른 사용자에게 노출될 위험이 존재한다. 특히 공공기관은 '개인정보 보호법' 제3조(개인정보 보호 원칙)에 따라 개인정보의 안전한 관리를 위해 기술적·관리적 보호조치를 취해야 하므로, AI 활용 지침 마련과 정기 교육이 의무화되어야 한다.

실무적으로는 ① 생성형 AI 서비스별 데이터 처리 정책 검토 ② 업무용 AI 도구 사용 시 개인정보 비식별화 선행 ③ 프롬프트 입력 내용에 대한 사전·사후 모니터링 체계 구축 ④ AI 활용 가이드라인의 정기적 업데이트가 필요하다. ISMS-P 인증기관의 경우 '2.9.2 개인정보 처리 업무 위탁 관리'와 '2.10.3 개인정보 국외 이전' 통제 항목에 생성형 AI 이용을 포함해 관리해야 한다. 의왕도시공사의 사례처럼 조직 차원의 선제적 교육과 정책 수립이 AI 시대 개인정보 보호의 핵심 전략이다.

CPPG·ISMS-P 연계 포인트

개인정보 처리 위탁 관리: 생성형 AI 서비스 이용은 개인정보를 외부 사업자(OpenAI, Google 등)에게 제공하는 것으로 해석될 수 있어, 개인정보 보호법 제26조(업무위탁)에 따른 위탁계약 체결, 정보주체 고지, 수탁자 관리·감독 의무가 적용된다. ISMS-P 인증심사 시 AI 서비스 이용 현황과 위탁 관리 대장 정합성이 점검 대상이다.

개인정보 국외 이전: 해외 사업자의 생성형 AI 서비스를 이용할 경우 개인정보가 국외로 이전되므로, 개인정보 보호법 제28조의8(개인정보의 국외 이전)에 따라 정보주체 동의 또는 고지, 국외 이전 기록 관리가 필요하다. CPPG 시험에서는 국외 이전 시 법적 요건(이전국가·일시·항목·수신자·목적·보유기간 등) 숙지가 중요하다.