개보위, 공공 AI 전환(AX)에 프라이버시 보호 강화 방안 발표 - ISMS-P 연계 분석

핵심 요약

- 개보위가 공공부문 인공지능 전환(AX) 과정에서 프라이버시 보호를 핵심 원칙으로 제시 - 국민 신뢰 기반의 AI 도입을 위한 개인정보 보호 정책 프레임워크 마련 - 공공기관의 AI 시스템 구축 시 사전 프라이버시 영향평가 및 ISMS-P 인증 연계 강화

주요 내용

개인정보보호위원회는 2026년 7월 22일 공공부문의 인공지능 전환(Artificial Intelligence Transformation, AX) 추진 과정에서 프라이버시 보호를 적극 뒷받침하겠다는 정책 방향을 발표했다. 이번 발표는 정부의 디지털 플랫폼 정부 구현 및 공공서비스 AI 고도화 정책과 맞물려, 국민의 개인정보 자기결정권을 보장하면서도 혁신적인 AI 서비스를 제공하기 위한 균형점을 모색한 것으로 평가된다.

개보위는 공공기관이 AI 시스템을 도입할 때 개인정보 처리 단계별로 프라이버시 보호 조치를 의무화하는 방안을 제시했다. 특히 AI 학습용 데이터 수집·가공 과정에서의 비식별 조치, 알고리즘 투명성 확보, 자동화된 의사결정에 대한 설명 가능성 등을 핵심 요구사항으로 명시했다. 이는 EU의 AI Act 및 GDPR과 유사한 수준의 프라이버시 보호 체계를 공공부문에 선제적으로 적용하려는 시도로 해석된다.

또한 개보위는 공공 AI 서비스의 생애주기 전반에 걸친 프라이버시 거버넌스 체계를 강조했다. AI 기획 단계부터 프라이버시 영향평가(PIA)를 실시하고, 운영 단계에서는 지속적인 모니터링과 개선 조치를 이행하도록 권고했다. 이를 위해 개보위는 공공기관 대상 AI 프라이버시 가이드라인을 2026년 하반기 중 제정할 계획이며, ISMS-P 인증 기준에도 AI 관련 통제항목을 추가 반영할 예정이다.

공공부문 AI 전환의 성공적 추진을 위해서는 기술적 보호조치와 함께 조직적·관리적 보호조치가 병행되어야 한다. 개보위는 공공기관 정보보호 담당자 및 AI 개발자를 대상으로 한 프라이버시 교육 프로그램을 확대하고, 우수 사례를 발굴·공유하여 공공부문 전반의 프라이버시 역량을 강화할 방침이다.

전문가 시각

공공부문의 AI 전환은 민간과 달리 공공성과 공정성이 더욱 중요하게 고려되어야 한다. ISMS-P 선임심사원으로서 현장에서 확인한 바에 따르면, 많은 공공기관이 AI 도입 시 개인정보 처리 범위 확대에 대한 법적 근거 확보와 정보주체 동의 절차에서 어려움을 겪고 있다. 특히 기존에 수집한 개인정보를 AI 학습 목적으로 재활용할 때 목적 외 이용에 해당하는지, 추가 동의가 필요한지에 대한 혼란이 크다. 이번 개보위의 정책 방향 제시는 이러한 실무적 애로사항에 대한 명확한 기준을 제공할 것으로 기대된다.

공공기관은 이번 발표를 계기로 AI 도입 전략을 전면 재검토해야 한다. 특히 ISMS-P 인증을 보유하고 있거나 인증 의무 대상인 기관의 경우, 기존 개인정보 보호 관리체계에 AI 프라이버시 통제 항목을 통합하는 작업이 시급하다. AI 시스템의 학습 데이터 관리, 모델 거버넌스, 자동화 의사결정 프로세스 등을 문서화하고, 정기적인 내부 감사를 통해 준수 여부를 점검해야 한다. 또한 AI 서비스 기획 단계에서부터 개인정보보호 담당 부서와 긴밀히 협력하여 Privacy by Design 원칙을 구현하는 것이 중요하다.

ISMS-P 심사원 체크포인트

1. 2.8.2 개인정보 영향평가 (개인정보보호법 제33조, 시행령 제35조~제38조) 공공기관이 AI 시스템 도입으로 개인정보 파일을 구축·운용하거나 중요한 변경이 발생하는 경우, 개인정보 영향평가를 의무적으로 수행해야 한다. 심사 시 AI 학습 데이터의 수집 근거, 처리 목적의 적법성, 비식별 조치의 적정성, AI 알고리즘의 개인정보 처리 방식, 자동화 의사결정의 공정성 등을 중점적으로 확인한다. 특히 영향평가 결과에 따른 개선조치 이행 여부와 사후관리 체계가 갖춰져 있는지 점검이 필요하다.

2. 2.3.3 개인정보의 수집 제한 (개인정보보호법 제15조, 제16조) AI 학습용 데이터 수집 시 최소 수집 원칙 준수 여부를 엄격히 심사한다. 공공기관이 법령에 근거하여 개인정보를 수집하는 경우에도, AI 학습 목적이 해당 법령의 소관 업무 범위 내인지 확인해야 한다. 또한 기존 수집 개인정보를 AI 학습에 활용하는 경우, 당초 수집 목적과의 관련성(제18조 제2항 제4호), 가명처리 후 통계작성·과학적 연구 목적 이용(제28조의2) 등 적법한 처리 근거를 갖췄는지 점검한다.

3. 2.7.1 개인정보 처리방침 및 2.7.2 정보주체 권리보장 (개인정보보호법 제30조, 제37조) AI 시스템의 자동화된 의사결정에 대해 개인정보 처리방침에 명확히 공개하고 있는지 확인한다. 특히 프로파일링 또는 자동화 평가 시스템의 경우, 처리되는 개인정보 항목, 알고리즘 로직(가능한 범위), 의사결정 기준, 정보주체에게 미치는 영향 등을 투명하게 공개해야 한다. 또한 정보주체가 자동화 결정에 대해 설명을 요구하거나 이의를 제기할 수 있는 절차가 마련되어 있는지 심사한다.

위반 조항

개인정보보호법 제15조(개인정보의 수집·이용) 위반 공공기관이 AI 학습 목적으로 개인정보를 수집하면서 법령상 근거 없이 또는 정보주체 동의 없이 수집하는 경우 본 조항 위반이다. 제1항 각호의 어느 하나에 해당하는 법적 근거를 명확히 확보해야 하며, 특히 민감정보(제23조)나 고유식별정보(제24조)를 AI 학습에 활용하는 경우 별도의 엄격한 요건을 충족해야 한다.

개인정보보호법 제18조(개인정보의 목적 외 이용·제공 제한) 위반 당초 다른 목적으로 수집한 개인정보를 AI 학습용으로 전환 사용할 때, 제1항 및 제2항의 요건을 충족하지 못하면 목적 외 이용 금지 조항 위반에 해당한다. 제2항 제4호(당초 수집 목적과 합리적 관련성이 있는 범위)의 판단이 특히 중요하며, 정보주체에게 불이익이 발생하는지, 안전성 확보조치를 하였는지 등을 종합적으로 고려해야 한다.

개인정보보호법 제33조(개인정보 영향평가) 위반 공공기관이 대통령령으로 정하는 기준에 해당하는 AI 시스템 구축 시 개인정보 영향평가를 실시하지 않거나, 평가 결과에 따른 개선조치를 이행하지 않는 경우 본 조항 위반이다. 시행령 제35조에 따라 5만명 이상의 정보주체에 관한 민감정보·고유식별정보 처리가 수반되는 AI 시스템은 반드시 영향평가를 받아야 한다.

CPPG·ISMS-P 연계 포인트

1. Privacy by Design (프라이버시 보호 설계) AI 시스템 개발 초기 단계부터 개인정보 보호를 핵심 설계 원칙으로 반영하는 개념이다. 데이터 최소화, 목적 제한, 보안성 강화, 투명성 확보 등 7대 원칙을 AI 생애주기 전반에 적용한다. ISMS-P 인증심사에서는 AI 프로젝트 기획서, 시스템 설계 문서 등에 프라이버시 요구사항이 명시되어 있는지, 개인정보보호 담당자가 개발 과정에 참여했는지 등을 확인한다. CPPG 시험에서는 Privacy by Design의 7대 원칙과 실무 적용 사례가 출제되며, 특히 AI·빅데이터 환경에서의 적용 방안이 최근 중요 출제 트렌드다.

2. 자동화된 의사결정과 정보주체 권리 (Automated Decision-Making) AI 알고리즘에 의한 자동화된 의사결정이 정보주체의 권리·의무에 중대한 영향을 미치는 경우, 정보주체는 해당 결정에 대한 설명을 요구하고 이의를 제기할 권리를 갖는다. GDPR 제22조와 유사하게 국내에서도 개인정보보호법 제37조(개인정보 열람권) 해석을 통해 이러한 권리를 보장하고 있다. ISMS-P 심사에서는 자동화 의사결정 시스템의 로직 설명 자료, 이의제기 처리 절차, 인간 개입 메커니즘 등을 점검한다. CPPG 시험에서는 프로파일링, 자동화 결정의 개념과 정보주체 권리 보장 방안이 주요 출제 영역이다.