2차 모두의 창업, AI 검증모델 도입...개인정보 영향평가·SW 영향평가 8월 완료

핵심 요약

- 정부, 2차 모두의 창업 프로그램에 AI 생성률·외부 데이터 기반 표절 검사 위한 'AI 검증모델' 도입 - 개인정보보호위원회 개인정보 영향평가, 과기부 소프트웨어 영향평가 등 관련 절차 8월 중 완료 예정 - AI 활용 창업 지원 시 개인정보보호·소프트웨어 품질 검증 체계 강화로 AI 거버넌스 실효성 확보

주요 내용

정부가 2026년 8월 20일부터 본격 시작하는 '2차 모두의 창업' 프로그램에 AI 검증 체계를 대폭 강화한다. 이번 프로그램에는 AI 생성률 검사와 외부 데이터 기반 표절 검사를 수행하는 'AI 검증모델'이 새롭게 도입되며, 개인정보보호위원회의 개인정보 영향평가(PIA), 과학기술정보통신부의 소프트웨어 영향평가 등 모든 관련 법정 절차가 8월 중 완료될 예정이다.

이는 AI 기술을 활용한 창업 지원 프로그램에서 생성형 AI의 무분별한 활용으로 인한 지적재산권 침해, 개인정보 유출, 보안 취약점 등의 리스크를 사전에 차단하기 위한 조치로 해석된다. 특히 AI가 자동 생성한 코드나 콘텐츠가 외부 학습 데이터에서 유래한 개인정보를 포함하거나, 오픈소스 라이선스를 위반하는 사례를 검증하는 것이 핵심이다.

개인정보 영향평가는 개인정보보호법 제33조에 따라 대량의 개인정보를 처리하거나 민감정보·고유식별정보를 처리하는 시스템 구축·운영 시 의무적으로 수행해야 하는 절차다. AI 검증모델이 창업 프로그램 참가자들의 제출물을 분석하는 과정에서 개인정보를 수집·이용할 가능성이 있어 사전 영향평가가 필수적이다.

과기부의 소프트웨어 영향평가는 공공부문에서 소프트웨어 사업 추진 시 사업 타당성, 기술 적정성, 보안성 등을 종합 검토하는 제도로, AI 검증모델의 기술적 신뢰성과 보안 수준을 담보하기 위한 절차다. 이러한 다층적 검증 체계는 AI 활용 창업 생태계에서 신뢰성과 투명성을 제고하는 AI 거버넌스의 실질적 모델이 될 전망이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 AI 검증모델 도입과 개인정보 영향평가 연계는 AI 시스템의 사전 보안성 검토 체계를 강화하는 바람직한 사례다. 특히 AI가 생성한 코드의 표절 검사는 단순 중복 검사를 넘어 학습 데이터 내 개인정보 재식별 위험, 제3자 지적재산권 침해 가능성까지 포괄해야 한다. 창업 프로그램 참가자들은 자신이 제출하는 AI 생성 콘텐츠가 어떤 데이터로 학습되었는지, GDPR이나 개인정보보호법상 적법한 처리 근거가 있는지 사전 확인하는 습관을 들여야 한다.

기업 입장에서는 이번 사례를 벤치마킹해 자사의 AI 활용 프로세스에 개인정보 영향평가, AI 윤리 검토, 보안 취약점 스캔을 통합한 'AI 거버넌스 파이프라인'을 구축할 필요가 있다. 2024년 시행된 AI 기본법 제50조(AI 영향평가)와 개인정보보호법 제33조(개인정보 영향평가)를 동시에 충족하는 통합 평가 체계를 마련하면, 규제 대응 효율성을 높이고 AI 시스템의 신뢰성을 입증하는 데 유리하다. 특히 공공 부문 AI 사업 수주를 목표로 하는 스타트업이라면, 창업 초기부터 개인정보 영향평가 경험을 축적하는 것이 경쟁력 확보의 지름길이다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(PIA, Privacy Impact Assessment)
개인정보보호법 제33조에 따라 ①대량의 민감정보·고유식별정보 처리, ②CCTV 등 영상정보처리기기 5대 이상 설치·운영, ③개인정보 100만 명 이상 처리 등의 경우 의무적으로 수행. 개인정보의 흐름 분석, 위험도 평가, 보호조치 적정성 검토를 통해 사전 예방적 개인정보보호 체계를 구축하는 핵심 제도.

AI 거버넌스와 개인정보보호 통합 관리
AI 기본법 시행(2024.8.15)에 따라 고위험 AI는 영향평가 의무 대상이며, AI 시스템이 개인정보를 처리하는 경우 개인정보 영향평가도 병행 필요. ISMS-P 인증심사 시 AI 활용 시스템은 ①학습 데이터 내 개인정보 처리 근거, ②AI 생성 결과물의 개인정보 포함 여부 검증, ③AI 모델 접근통제·로깅 체계를 중점 점검. 두 평가를 통합 설계하면 중복 업무를 줄이고 법적 리스크를 최소화할 수 있음.