SKT·카카오·KT '모두의 AI' 선정, ISMS-P 인증심사 관점에서 본 개인정보 보호 쟁점

핵심 요약

- 정부가 '모두의 AI' 사업자로 SKT·카카오·KT 3사를 선정하여 국민 AI 서비스 경쟁 본격화 - 카카오톡, 전화 등 국민 밀착형 플랫폼을 통한 AI 서비스 제공으로 대규모 개인정보 처리 불가피 - ISMS-P 인증 관점에서 AI 학습 데이터 보호, 생성형 AI 안전성, 민간 서비스와의 경계 설정이 핵심 과제로 부상

주요 내용

과학기술정보통신부는 2026년 8월 '모두의 AI' 사업자로 SKT, 카카오, KT 3사를 최종 선정했다. 이들 사업자는 취업 준비생에게 맞춤형 채용정보와 지원정책을, 소상공인에게는 정부 지원사업 및 세금 관련 정보를 제공하는 등 국민 생활 밀착형 AI 서비스를 구현할 예정이다. 특히 카카오톡, 음성통화 등 일상적인 커뮤니케이션 채널을 통해 서비스가 제공될 것으로 알려지면서 접근성과 활용도가 크게 높아질 전망이다.

그러나 이러한 국민 AI 서비스의 성패는 개인정보 보호와 AI 안전성 확보에 달려 있다. 취업 준비생의 학력·경력 정보, 소상공인의 사업자 정보 및 재무 데이터 등 민감한 개인정보가 대량으로 수집·처리될 수밖에 없는 구조이기 때문이다. 더욱이 생성형 AI의 특성상 학습 데이터의 편향성, 환각(hallucination) 현상, 개인정보 유출 위험 등 다층적인 보안 이슈가 존재한다.

특히 민간 서비스와의 역할 구분이 명확하지 않을 경우, 공공 AI 서비스가 수집한 개인정보가 사업자의 상업적 목적으로 전용될 수 있다는 우려도 제기되고 있다. ISMS-P 인증심사 관점에서 볼 때, 이용 목적의 명확한 특정, 목적 외 이용 제한, 제3자 제공 시 동의 절차 등이 엄격하게 준수되어야 한다. 또한 AI 모델 학습 과정에서의 개인정보 비식별 조치, 학습 데이터의 안전한 관리, AI 생성 결과물에 대한 개인정보 포함 여부 검증 체계 등이 필수적으로 구축되어야 한다.

전문가 시각

ISMS-P 선임심사원으로서 30여 회의 인증심사를 수행하며 관찰한 바에 따르면, 생성형 AI 서비스는 전통적인 정보시스템과 달리 개인정보의 흐름과 처리 범위를 명확히 특정하기 어렵다는 근본적인 한계가 있다. '모두의 AI'와 같은 국민 밀착형 서비스에서는 이용자 질의응답 과정에서 예상치 못한 민감정보가 입력될 수 있고, AI 모델이 학습 데이터에 포함된 개인정보를 응답에 재현할 위험도 존재한다. 따라서 사업자는 입력 데이터에 대한 실시간 민감정보 탐지·차단 체계, AI 응답 결과에 대한 개인정보 필터링 메커니즘을 반드시 구축해야 한다.

더 중요한 것은 공공 AI 서비스와 민간 상업 서비스 간 데이터 격리(data isolation) 원칙의 확립이다. 동일 사업자가 공공 서비스와 민간 서비스를 동시에 운영할 경우, 기술적·관리적 분리 조치가 없다면 개인정보보호법 제15조(수집·이용 목적 명시), 제17조(목적 외 이용 금지), 제18조(제3자 제공 제한) 위반 소지가 크다. ISMS-P 인증심사 시에는 별도의 AI 모델 운영, 독립적인 데이터베이스 구축, 접근권한 분리, 감사 로그 기록 등을 세밀하게 점검하게 될 것이다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.1 (개인정보 수집 시 동의) 및 2.8.4 (개인정보 목적 외 이용 및 제공 제한)
- AI 서비스 이용 과정에서 수집되는 개인정보의 항목, 이용 목적, 보유기간이 명확히 고지되고 이용자 동의를 받았는지 확인
- 공공 AI 서비스 제공 목적으로 수집한 개인정보가 사업자의 다른 상업 서비스(광고, 마케팅, 자체 AI 모델 개선 등)에 활용되지 않도록 기술적·관리적 통제가 구현되었는지 점검
- 관련 법규: 개인정보보호법 제15조(수집·이용), 제17조(목적 외 이용 금지), 제18조(제3자 제공 제한)

2. 인증기준 2.8.8 (개인정보 처리방침 수립 및 공개) 및 2.9.3 (개인정보 영향평가)
- AI 모델 학습에 사용되는 데이터의 출처, 비식별 처리 방법, 학습 데이터 관리 절차가 개인정보 처리방침에 구체적으로 명시되었는지 확인
- 대규모 국민 대상 AI 서비스 도입 전 개인정보 영향평가(PIA) 수행 여부 및 평가 결과에 따른 개선조치 이행 여부 점검
- 관련 법규: 개인정보보호법 제30조(개인정보 처리방침), 제33조(개인정보 영향평가)

3. 인증기준 2.10.4 (개인정보 처리 제한) 및 2.5.3 (인공지능 보안)
- AI 서비스 입력 단계에서 주민등록번호, 계좌번호 등 민감정보 입력 차단 기능 구현 여부
- AI 응답 생성 시 학습 데이터에 포함된 개인정보가 유출되지 않도록 하는 출력 필터링 및 모니터링 체계 구축 여부
- AI 모델의 적대적 공격(adversarial attack), 프롬프트 인젝션(prompt injection) 등 AI 특화 보안 위협에 대한 대응 방안 수립 여부
- 관련 법규: 개인정보보호법 제23조(민감정보 처리 제한), 제24조의2(가명정보 처리)

CPPG·ISMS-P 연계 포인트

개인정보 목적 외 이용·제공 제한 원칙
개인정보보호법 제15조 및 제17조는 개인정보를 수집 시 명시한 목적 범위 내에서만 이용하도록 규정하며, 목적 외 이용 시 별도 동의 또는 법령상 근거가 필요하다. '모두의 AI'처럼 공공 목적으로 수집한 정보가 사업자의 상업적 AI 모델 학습이나 마케팅에 활용될 경우 명백한 법 위반이 되므로, 데이터 격리 및 이용 목적 통제가 필수적이다.

AI 모델과 가명·익명 처리
개인정보보호법 제24조의2(가명정보)는 통계작성, 연구 등 특정 목적으로 가명처리 시 본인 동의 없이 처리를 허용하지만, AI 학습 데이터로 활용 시 재식별 위험을 평가해야 한다. 특히 생성형 AI는 학습 데이터를 기억하고 재현할 수 있어, 완전한 익명화 또는 차등 프라이버시(differential privacy) 기법 적용 등 추가적인 기술적 보호조치가 요구된다.