남양주도시공사, AI 윤리·보안 매뉴얼 제정...공공기관 AI 거버넌스 강화

핵심 요약

- 남양주도시공사, 2026년 'AI 윤리·보안 매뉴얼' 제정으로 AI 거버넌스 체계 구축 - 시민 개인정보 보호와 정보보안을 AI 활용 디지털 행정 혁신의 핵심 토대로 설정 - 공공기관의 AI 도입 시 보안 거버넌스 강화 및 시민 신뢰 확보 전략 제시

주요 내용

남양주도시공사가 2026년 8월 'AI 윤리·보안 매뉴얼'을 제정하며 공공기관의 AI 거버넌스 체계 구축에 나섰다. 이번 매뉴얼은 AI 기술을 활용한 디지털 행정 혁신 과정에서 시민 개인정보 보호와 정보보안을 최우선 가치로 설정한 것이 특징이다.

공사 관계자는 "AI를 활용한 디지털 행정 혁신의 토대는 시민 개인정보 보호와 정보보안"이라며, "이번 매뉴얼 도입을 통해 보안 거버넌스를 강화하고 시민이 신뢰할 수 있는 공기업을 만들어 가겠다"고 밝혔다. 이는 2024년 1월 AI기본법 시행 이후 공공기관이 AI 윤리와 보안을 통합 관리하는 실무 체계를 구축한 주목할 만한 사례로 평가된다.

2025년 행정안전부가 발표한 '공공부문 AI 윤리기준 실행지침'과 개인정보보호위원회의 'AI 개인정보보호 자율점검표' 등 관련 가이드라인이 연이어 발표되면서, 공공기관의 AI 거버넌스 체계 구축은 선택이 아닌 필수 과제가 되었다. 남양주도시공사의 이번 매뉴얼 제정은 이러한 규제 환경 변화에 대응하는 동시에, AI 시스템 도입 시 발생할 수 있는 개인정보 침해, 알고리즘 편향, 보안 취약점 등을 사전에 관리하기 위한 선제적 조치로 해석된다.

특히 공공기관은 다수 시민의 민감정보를 처리하는 만큼, AI 시스템 도입 시 개인정보 영향평가(PIA), AI 윤리 영향평가, 보안성 검토 등 다층적 안전장치가 요구된다. 남양주도시공사의 매뉴얼이 이러한 요소들을 어떻게 통합 관리하는지, 그리고 실무 적용 과정에서 어떤 성과를 도출하는지가 향후 다른 공공기관의 벤치마킹 포인트가 될 전망이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 공공기관의 AI 윤리·보안 매뉴얼은 단순한 선언적 문서가 아니라 실제 AI 시스템 생명주기 전반에 걸친 통제 체계여야 한다. 특히 ① AI 모델 학습 데이터의 개인정보 비식별화 적정성 검증 ② AI 자동 의사결정 시 설명가능성(Explainability) 확보 ③ AI 시스템 접근통제 및 감사 로그 관리 ④ AI 출력 결과의 편향성·차별성 모니터링 ⑤ 제3자 AI 서비스 이용 시 데이터 이전 통제 등이 매뉴얼에 구체적으로 명시되어야 한다. 남양주도시공사가 이러한 세부 통제 항목을 어떻게 설계했는지, 그리고 ISMS-P 인증 범위에 AI 시스템을 포함하여 제3자 검증을 받을 계획인지가 실효성 판단의 핵심이 될 것이다.

또한 바이브 코딩(Vibe Coding) 환경에서 직원들이 ChatGPT 등 생성형 AI를 활용해 업무 자동화 스크립트나 데이터 처리 코드를 작성할 경우, AI가 생성한 코드에 SQL 인젝션, 인증 우회, 하드코딩된 개인정보 등 보안 취약점이 포함될 위험이 높다. 공공기관은 내부 개발 환경에서 ① AI 생성 코드에 대한 보안 코드 리뷰 의무화 ② 정적 분석 도구(SAST)를 통한 자동 취약점 스캔 ③ AI 코딩 보조 도구 사용 시 민감정보 입력 금지 정책 ④ 개발자 대상 시큐어 코딩 교육 강화 등을 매뉴얼에 반영해야 한다. 남양주도시공사의 사례가 이러한 실무 통제를 포함한다면, AI 시대 공공기관 보안 거버넌스의 모범 사례로 자리잡을 수 있을 것이다.

CPPG·ISMS-P 연계 포인트

AI 거버넌스 체계 구축 (ISMS-P 1.1.2 정보보호 조직)
AI 시스템 도입·운영 시 최고정보보호책임자(CISO) 주관 하에 AI 윤리위원회, 개인정보 영향평가(PIA) 수행 조직, 보안성 검토 조직 간 협업 체계를 수립해야 한다. AI 의사결정의 투명성, 설명가능성, 책임성 확보를 위한 거버넌스 정책과 절차를 문서화하고 정기적으로 점검해야 한다.

AI 시스템 개인정보 영향평가 (개인정보보호법 제33조)
공공기관이 개인정보 처리를 수반하는 AI 시스템을 구축·운영할 경우, 사전에 개인정보 영향평가를 의무적으로 수행해야 한다. AI 학습 데이터의 수집·이용 근거, 비식별 조치 적정성, 알고리즘 편향 점검, 자동 의사결정의 정보주체 권리 보장 방안 등을 평가하고, 평가 결과를 시스템 설계에 반영해야 한다.