충남개발공사, 생성형 AI 실무역량 강화...공공기관 안전한 AI 활용 방안 모색

핵심 요약

- 충남개발공사, 생성형 AI 실무역량 강화 교육 실시하며 안전한 AI 활용 방안 논의 - 생성형 AI 활용 확대에 따른 개인정보 및 내부정보 보호 등 보안 중요성 부각 - 공공기관의 AI 도입 시 업무 효율성과 정보보안의 균형점 모색 필요성 강조

주요 내용

충남개발공사가 2026년 8월 생성형 AI 실무역량 강화를 위한 교육을 실시하며 공공기관의 안전한 AI 활용 방안에 대한 논의를 진행했다. 이번 교육은 생성형 AI 활용이 공공기관 업무 전반으로 확대되는 상황에서, 업무 효율성 향상과 더불어 개인정보 및 내부정보 보호의 중요성이 커지고 있는 점을 반영한 것으로 평가된다.

특히 이번 교육에서는 생성형 AI 활용에 따른 보안 이슈가 중점적으로 다뤄졌다. ChatGPT, Claude 등 생성형 AI 서비스에 업무 데이터를 입력할 경우 개인정보 유출, 영업비밀 침해, 내부 민감정보 노출 등의 위험이 있어, 공공기관 차원의 체계적인 관리 방안이 필요하다는 점이 강조됐다.

공공기관은 「개인정보 보호법」, 「공공기록물 관리에 관한 법률」 등 관련 법령 준수 의무가 있어 민간 기업보다 더욱 엄격한 정보보안 기준을 적용해야 한다. 충남개발공사의 이번 교육은 AI 기술 도입 초기 단계에서 보안 원칙을 확립하려는 선제적 대응으로, 다른 공공기관의 벤치마킹 사례가 될 것으로 보인다.

전문가 시각

공공기관의 생성형 AI 도입 시 가장 중요한 것은 '데이터 분류 체계'와 '접근 권한 관리'다. ISMS-P 인증 기준에 따르면, 개인정보 및 중요정보는 외부 AI 서비스에 입력을 금지하고, 온프레미스(On-premise) 또는 프라이빗 클라우드 기반의 AI 솔루션을 우선 검토해야 한다. 특히 주민등록번호, 금융정보 등 민감정보가 포함된 업무에서는 생성형 AI 활용 전 데이터 마스킹(masking) 또는 익명화 처리가 필수적이다.

또한 직원 대상 AI 보안 교육과 함께 '생성형 AI 사용 가이드라인' 수립이 필요하다. 업무별 AI 활용 허용 범위, 입력 금지 정보 유형, 생성 결과물의 검증 절차 등을 명문화하고, 위반 시 책임 소재를 명확히 해야 한다. 충남개발공사와 같은 지방공기업은 지역 주민의 개인정보를 다루는 만큼, AI 활용 과정에서 개인정보 영향평가(PIA) 실시도 검토할 필요가 있다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 처리 위탁 관리 (ISMS-P 2.8.2)
생성형 AI 서비스 이용은 개인정보 처리 위탁에 해당할 수 있다. 외부 AI 서비스에 개인정보를 입력하는 경우 위탁계약 체결, 수탁자 관리·감독, 재위탁 제한 등 법적 요건을 충족해야 하며, 개인정보 보호법 제26조에 따른 위탁 고지 의무도 이행해야 한다.

2. 정보자산 분류 및 관리 (ISMS-P 2.3.1)
생성형 AI 활용 전 조직의 정보자산을 중요도에 따라 분류하고, 등급별로 AI 입력 가능 여부를 결정해야 한다. 대외비, 개인정보, 영업비밀 등 민감정보는 외부 AI 서비스 입력을 원칙적으로 금지하고, 필요시 자체 구축형 AI 솔루션을 활용하는 것이 ISMS-P 인증 기준에 부합한다.