충남개발공사, 생성형 AI 보안·개인정보보호 실무협의회 개최...공공기관 AI 거버넌스 강화

핵심 요약

- 충남개발공사, 2026년 8월 13일 개인정보보호 및 공공데이터 실무협의회 개최 - 안랩 클라우드메이트 CTO 최광호 초청, 생성형 AI 활용 동향과 보안 이슈 특강 진행 - 공공기관의 AI 도입 시 개인정보보호 및 데이터 거버넌스 체계 구축 필요성 강조

주요 내용

충남개발공사(사장 김병근)가 2026년 8월 13일 'AI 대전환 시대'를 대비한 개인정보보호 실무협의회 및 공공데이터·데이터기반행정 실무협의회를 개최했다. 이번 협의회는 생성형 AI 기술의 급속한 확산에 따른 공공기관의 대응 역량 강화를 목적으로 마련됐다.

협의회에서는 안랩 클라우드메이트의 최광호 CTO를 외부 AI 전문가로 초청해 기관별 생성형 AI 활용 동향과 보안 이슈에 대한 특강을 진행했다. 특히 ChatGPT, Claude, Gemini 등 대규모언어모델(LLM) 기반 서비스를 업무에 활용할 때 발생할 수 있는 개인정보 유출 위험과 데이터 거버넌스 방안이 집중 논의됐다.

공공기관의 경우 민간 기업보다 더 엄격한 개인정보보호 의무를 준수해야 하며, 생성형 AI 서비스 이용 시 주민등록번호, 의료정보 등 민감정보가 학습 데이터로 전송될 위험성에 특히 주의해야 한다. 또한 AI가 생성한 결과물의 정확성 검증, 편향성 문제, 저작권 침해 가능성 등 다층적인 리스크 관리가 필요하다는 점이 강조됐다.

충남개발공사는 이번 협의회를 통해 AI 기술 도입에 따른 개인정보보호 리스크를 사전에 파악하고, 실무 부서별 대응 체계를 정비할 계획이다. 공공데이터 활용과 데이터기반행정 추진 과정에서도 AI 거버넌스 원칙을 적용해 투명성과 책임성을 확보한다는 방침이다.

전문가 시각

공공기관의 생성형 AI 도입은 업무 효율성 향상이라는 기대와 함께 개인정보보호 측면의 새로운 도전 과제를 제시한다. ISMS-P 심사 현장에서 최근 가장 빈번하게 발견되는 미흡 사항 중 하나가 바로 임직원의 무분별한 생성형 AI 서비스 활용이다. 특히 업무용 문서, 개인정보가 포함된 데이터를 ChatGPT 등에 입력해 요약·분석을 요청하는 과정에서 의도치 않은 개인정보 제3자 제공이 발생할 수 있다. 충남개발공사의 이번 실무협의회는 이러한 위험을 조직 차원에서 선제적으로 관리하려는 모범 사례로 평가할 수 있다.

실무적으로는 생성형 AI 이용 정책 수립, 개인정보 입력 금지 지침 마련, 프라이빗 LLM 또는 온프레미스 AI 솔루션 검토가 필요하다. 또한 AI 활용 과정에서 발생하는 개인정보처리 흐름을 개인정보 흐름도(Data Flow Diagram)에 반영하고, 개인정보영향평가(PIA) 대상 여부를 판단해야 한다. AI기본법 시행(2024년)에 따라 고위험 AI 시스템 관리 의무도 점차 강화되고 있어, 공공기관은 AI 거버넌스 체계를 조속히 정비할 필요가 있다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 제3자 제공 및 동의 (ISMS-P 3.1.4, 개인정보보호법 제17조)
생성형 AI 서비스 이용 시 입력 데이터가 AI 서비스 제공자(해외 사업자 포함)에게 전송되는 경우 개인정보 제3자 제공에 해당할 수 있다. 정보주체 동의, 제3자 제공 기록 관리, 국외 이전 시 고지 의무 등을 준수해야 한다.

2. AI 시스템 위험 관리 및 거버넌스 (AI기본법 제57조)
2024년 시행된 AI기본법은 고위험 AI 시스템 개발·제공자에게 위험 관리 체계 구축, 데이터 품질 관리, 투명성 확보 의무를 부여한다. 공공기관이 AI를 개인정보 처리 업무에 활용하는 경우 AI 거버넌스 정책, 알고리즘 검증, 편향성 평가 등을 수행해야 한다.