중국 AI 국제협력 행동계획 발표…개인정보보호·AI 거버넌스 핵심 원칙 제시

핵심 요약

- 중국 정부가 2026년 7월 AI 국제협력 행동계획을 발표하며 개인정보 보호를 AI 윤리의 핵심 원칙으로 명시 - 공개성, 투명성, 안전성과 신뢰성을 AI 개발·운영의 기본 가치로 제시하며 글로벌 AI 거버넌스 논의 참여 의지 표명 - 인간 중심(Human-Centered) AI와 'AI for Good' 철학을 강조하며 기술의 사회적 책임 강화 방향 설정

주요 내용

중국 정부가 2026년 7월 AI 국제협력 행동계획을 통해 개인정보 보호를 AI 윤리의 핵심 원칙으로 공식 천명했다. 이번 행동계획은 공개성(Openness), 투명성(Transparency), 개인정보 보호(Privacy Protection), 안전성과 신뢰성(Safety and Reliability)을 AI 개발과 운영의 4대 기본 원칙으로 제시하며, 글로벌 AI 거버넌스 체계 구축에 적극 참여하겠다는 의지를 표명했다.

특히 개인정보 보호 원칙의 명시는 중국이 그동안 추진해온 개인정보보호법(PIPL, 2021년 시행)과 데이터안전법(DSL, 2021년 시행) 체계를 AI 영역으로 확장하는 것으로 해석된다. AI 시스템이 대량의 개인정보를 학습·처리하는 과정에서 발생할 수 있는 프라이버시 침해, 민감정보 유출, 알고리즘 편향 등의 위험을 사전에 통제하겠다는 의지가 반영된 것이다.

중국은 이번 계획에서 인간 중심(Human-Centered) AI 개발 철학을 강조하며, AI 기술이 인간의 존엄성과 권리를 존중하고 사회적 가치를 증진하는 방향으로 발전해야 한다고 밝혔다. 또한 'AI for Good' 개념을 통해 스마트 기술이 의료, 교육, 환경 등 공익 분야에서 선한 영향력을 발휘하도록 유도하며, 보다 인간적인 지능사회 구현을 목표로 설정했다.

이번 행동계획은 오픈소스, 컴퓨팅 인프라, 거버넌스 프레임워크 등 AI 생태계 전반에 걸친 국제협력 강화 방안을 포함하고 있어, 유럽연합의 AI Act, 미국의 AI 행정명령 등과 함께 글로벌 AI 규제 지형을 재편하는 중요한 이정표가 될 것으로 전망된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 중국의 이번 행동계획은 AI 시스템 개발·운영 조직이 개인정보보호 관리체계를 AI 라이프사이클 전반에 통합해야 한다는 국제적 합의를 반영한 것이다. 특히 투명성 원칙은 AI 모델의 학습 데이터 출처, 알고리즘 로직, 의사결정 과정에 대한 설명가능성(Explainability)을 요구하는 것으로, 국내 개인정보보호법 제15조의3(자동화된 결정에 대한 정보주체 권리)와 맥락을 같이한다. 기업들은 AI 시스템 도입 시 개인정보 영향평가(PIA)를 필수적으로 수행하고, 알고리즘 편향성 검토, 데이터 최소수집 원칙 준수 등을 사전 설계 단계부터 반영해야 한다.

안전성과 신뢰성 원칙은 AI 시스템의 보안성 확보와 직결된다. 최근 증가하는 바이브 코딩(Vibe Coding) 환경에서 LLM이 자동 생성한 코드에 SQL 인젝션, 인증 우회, 경쟁조건(Race Condition) 등 보안 취약점이 포함될 위험이 높아지고 있다. AI 자동 생성 코드는 보안 컨텍스트 이해 부족으로 인증·권한 검증 로직을 누락하거나, 개인정보를 평문 로그에 기록하는 등의 문제를 야기할 수 있다. 따라서 개발 조직은 AI 생성 코드에 대한 보안 코드 리뷰 프로세스를 의무화하고, SAST/DAST 도구를 활용한 자동화된 취약점 스캐닝, 개인정보 처리 로직에 대한 별도의 프라이버시 검토 절차를 수립해야 한다. 특히 바이브 해킹(Vibe Hacking) 위협—프롬프트 인젝션을 통해 AI가 악의적 코드를 생성하도록 유도하는 공격—에 대비해 LLM 입출력 필터링, 생성 코드 샌드박스 실행 등 다층 방어 체계 구축이 필요하다.

CPPG·ISMS-P 연계 포인트

1. Privacy by Design 원칙 (개인정보의 기술적·관리적 보호조치) 중국의 AI 윤리 원칙 중 '개인정보 보호'와 '투명성'은 ISMS-P 인증기준 2.8.1(개인정보 수집 시 동의), 2.9.1(개인정보 영향평가)과 연계된다. AI 시스템 설계 단계부터 개인정보 최소수집, 목적 외 이용 금지, 자동화된 의사결정에 대한 설명 의무 등을 반영하는 Privacy by Design 접근이 필수적이다.

2. AI 시스템 안전성 확보 (정보보호 및 개인정보보호 관리체계) '안전성과 신뢰성' 원칙은 ISMS-P 인증기준 2.5.1(보안 요구사항 분석), 2.5.3(보안 시험)과 직접 연관된다. AI 자동 생성 코드의 보안 취약점 검증, 바이브 코딩 환경의 프롬프트 인젝션 방어, LLM 출력에 대한 보안 코드 리뷰 체계 구축 등이 관리체계 운영의 핵심 통제 항목으로 포함되어야 한다.