AI 공무원 시대, 자동화된 결정에 대한 개인정보 보호 권리 쟁점 부상

핵심 요약

- 2026년 현재 AI가 국가 행정 판단 영역에 본격 진입하면서 공공부문 AI 거버넌스 체계 재편 시작 - 개인정보보호법 제37조의2(자동화된 결정에 대한 거부권) 및 설명요구권이 핵심 쟁점으로 부상 - AI 자동화 결정과 국가책임 경계 설정, 인적 개입(human-in-the-loop) 보장 체계 마련 시급

주요 내용

2026년 8월 현재, 인공지능이 국가 행정의 판단 영역에 본격적으로 진입하면서 개인정보 보호와 국가책임의 경계가 재정립되고 있다. 특히 복지급여 심사, 민원 분류, 위험도 평가 등 공공 영역에서 AI 활용이 확대되면서 개인정보보호법상 '자동화된 결정'에 대한 정보주체의 권리 보장이 핵심 과제로 떠올랐다.

개인정보보호법 제37조의2는 정보주체에게 자동화된 결정을 거부하거나 설명을 요구할 수 있는 권리를 부여하고 있다. 그러나 AI가 공무 수행 주체로 편입되면서 이러한 권리 행사의 실효성과 국가의 응답 의무 범위가 불분명해지는 상황이다. 특히 딥러닝 기반 의사결정 시스템의 경우 설명가능성(explainability) 확보가 기술적으로 제한되어 법적 권리와 기술적 구현 사이 간극이 발생하고 있다.

EU AI Act와 미국의 알고리즘 책임법(Algorithmic Accountability Act) 논의와 달리, 한국은 AI기본법 제정 논의와 함께 기존 개인정보보호법 체계 내에서 AI 거버넌스를 통합하는 방향을 모색 중이다. 이에 따라 공공기관의 AI 활용 시 사전영향평가, 인적 개입 절차 의무화, 설명 제공 방식 표준화 등 구체적 이행 체계 마련이 요구된다.

AI 자동화 결정의 투명성 확보는 단순히 기술적 문제가 아니라 민주적 정당성과 행정 신뢰의 문제다. 공공 AI 시스템의 학습 데이터 편향, 알고리즘 판단 기준, 오류 정정 절차 등이 명확히 공개되고 검증되어야 국가책임 원칙이 유지될 수 있다.

전문가 시각

ISMS-P 인증심사 관점에서 볼 때, 공공기관이 AI 시스템을 도입할 경우 개인정보 영향평가(PIA) 수행 시 자동화된 결정 프로세스에 대한 별도 평가 항목을 포함해야 한다. 특히 ① AI 모델의 입출력 데이터 개인정보 최소화 원칙 준수 여부 ② 자동화 결정 거부 시 대체 처리 절차 마련 ③ 설명 제공을 위한 모델 해석 도구 구비 ④ 인적 검토자의 AI 판단 번복 권한 명확화 등이 핵심 통제사항이 되어야 한다.

기업 및 공공기관은 AI 자동화 결정 시스템 도입 전 '자동화된 결정 관리 정책'을 수립하고, 정보주체 권리 행사 창구, 설명 제공 표준 서식, 이의제기 처리 프로세스를 사전 설계해야 한다. 특히 바이브 코딩 방식으로 신속 개발된 AI 행정 시스템의 경우, 코드 자동생성 과정에서 접근통제·로깅·감사추적 기능이 누락될 위험이 크므로, 개발 단계부터 보안·개인정보 보호 요구사항을 프롬프트에 명시적으로 포함하는 'Privacy by Design in AI Development' 접근이 필요하다.

CPPG·ISMS-P 연계 포인트

자동화된 결정에 대한 정보주체 권리 (개인정보보호법 제37조의2)
완전히 자동화된 시스템에 의해서만 처리되는 결정에 대해 정보주체는 거부권과 설명요구권을 행사할 수 있다. 개인정보처리자는 이러한 권리 행사 절차를 마련하고, 자동화 결정 사실을 고지하며, 인적 개입에 의한 재처리 방안을 제공해야 한다.

개인정보 영향평가(PIA)와 AI 시스템
공공기관이 AI 기반 자동화 시스템을 도입할 경우, 개인정보 영향평가 시 알고리즘의 공정성, 설명가능성, 편향성 검증을 포함해야 한다. ISMS-P 인증심사에서는 자동화된 의사결정 시스템의 투명성 확보, 로깅 및 감사추적 체계, 정보주체 권리 보장 절차가 주요 심사 항목으로 평가된다.