정부 '온AI' 전면 확산, 공공 AI 윤리 기준으로 개인정보 보호 체계 구축

핵심 요약

- 정부가 복지·세금 등 5대 분야에 AI 상담 서비스 도입하며 전 부처 '온AI' 확산 추진 - 인간중심·투명성·신뢰·보안·안전·개인정보 보호를 담은 '공공 AI 윤리 기준' 마련 - AI 도입 효과 평가와 함께 개인정보 침해 가능성, 책임 소재 등 사전 위험 관리 체계 구축

주요 내용

정부가 2026년 공공부문 AI 서비스 전면 확대에 나서며 체계적인 윤리·보안 기준을 동시에 마련한다. 복지, 세금, 민원, 교육, 보건 등 5대 핵심 분야에 AI 상담 서비스를 도입하는 '온AI' 프로젝트가 전 부처로 확산되면서, AI 기술 활용과 개인정보 보호라는 두 가치의 균형점을 찾기 위한 거버넌스 체계가 구축되고 있다.

정부는 AI 도입 과정에서 발생 가능한 위험을 사전에 관리하기 위해 '공공 AI 윤리 기준'을 수립했다. 이 기준은 인간중심 원칙, 투명성과 신뢰 확보, 보안과 안전 강화, 개인정보 보호 등 4대 핵심 가치를 담고 있다. 특히 AI 시스템 도입 전 효과성 평가와 함께 개인정보 침해 가능성, 알고리즘 편향성, 오류 발생 시 책임 소재 등을 종합적으로 검토하는 사전 영향평가 체계가 포함된 것으로 알려졌다.

이번 조치는 2024년 제정된 AI기본법의 실질적 이행 사례로 평가된다. AI기본법은 공공부문이 고위험 AI 시스템 도입 시 영향평가를 의무화하고 있으며, 개인정보 처리를 수반하는 AI 서비스의 경우 개인정보보호법과의 정합성을 요구한다. 정부는 이를 구체화한 가이드라인을 통해 각 부처가 AI 도입 시 준수해야 할 최소 기준을 제시하고, 정기적인 모니터링과 감독 체계를 운영할 계획이다.

AI 상담 서비스가 처리하게 될 복지 수급 정보, 세금 납부 내역, 건강 데이터 등은 모두 개인정보보호법상 민감정보 또는 고유식별정보에 해당한다. 정부는 데이터 최소 수집 원칙, 목적 외 이용 금지, 안전한 저장과 전송을 위한 암호화, AI 학습 데이터의 비식별화 등 기술적·관리적 보호조치를 강화한다는 방침이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 공공 AI 윤리 기준 마련은 단순한 선언적 원칙을 넘어 실질적인 통제 체계로 작동해야 한다. 특히 AI 상담 서비스가 처리하는 개인정보의 생명주기 전반—수집, 저장, 처리, 학습, 폐기—에 대한 구체적인 보호조치가 필요하다. AI 모델 학습에 사용되는 데이터의 비식별화 적정성, 학습된 모델 내 개인정보 재식별 가능성, 프롬프트 인젝션 등 AI 특화 보안 위협에 대한 대응 방안이 윤리 기준과 함께 기술 가이드로 제시되어야 한다. 또한 AI 시스템 장애나 오류로 인한 개인정보 유출 시 책임 소재와 피해 구제 절차가 명확히 규정되어야 국민 신뢰를 확보할 수 있다.

공공기관은 이번 윤리 기준을 단순 체크리스트가 아닌 AI 거버넌스 전략의 핵심으로 삼아야 한다. AI 시스템 도입 전 개인정보보호 영향평가(PIA)와 AI 영향평가를 통합 수행하고, 운영 중에는 지속적인 모니터링과 정기 감사를 실시해야 한다. 특히 바이브 코딩 방식으로 빠르게 개발되는 AI 서비스의 경우, 자동 생성 코드에 포함될 수 있는 인증 우회, SQL 인젝션, 부적절한 접근 통제 등의 취약점을 반드시 보안 검수해야 한다. AI 개발·운영 전담 조직에 개인정보보호 책임자와 정보보호 담당자가 참여하는 협업 체계를 구축하고, 정기적인 보안 교육과 모의훈련을 통해 대응 역량을 강화할 것을 권고한다.

CPPG·ISMS-P 연계 포인트

AI 시스템 개인정보 영향평가(PIA): 개인정보보호법 제33조에 따라 대량의 민감정보를 처리하는 AI 시스템 도입 시 개인정보 영향평가를 의무적으로 수행해야 한다. 평가 항목에는 AI 특화 위험인 알고리즘 편향성, 자동화된 의사결정의 공정성, 학습 데이터 내 개인정보 보호조치, 모델 역공학을 통한 재식별 위험 등이 포함되어야 하며, 평가 결과는 개인정보보호위원회에 제출해야 한다.

AI 거버넌스와 통제 체계: ISMS-P 인증 기준 중 '개인정보 처리 단계별 보호조치'는 AI 시스템에도 동일하게 적용된다. AI 학습 데이터의 수집 근거와 동의 확보, 학습 및 추론 과정에서의 접근 통제, 모델 파일의 암호화 저장, AI 서비스 로그 관리, 학습 완료 후 원본 데이터 파기 등 전체 생명주기에 대한 통제 절차가 수립되어야 한다. 공공 AI 윤리 기준은 이러한 기술적 통제와 함께 운영되어야 실효성을 확보할 수 있다.