남양주도시공사, 생성형 AI 윤리 원칙 수립…개인정보 보호 강화

핵심 요약

- 남양주도시공사가 생성형 AI 활용을 위한 인공지능 윤리 원칙 제정 - AI 활용 책임 명시, 보안성 및 개인정보 보호 원칙을 핵심으로 구성 - 개인정보·민감정보·CCTV 영상 등 입력 금지 등 실무 단계별 세부 가이드 마련

주요 내용

남양주도시공사가 2026년 8월 생성형 AI 시대에 발맞춰 '인공지능 윤리 원칙'을 수립했다. 이번 원칙은 ChatGPT, Claude 등 생성형 AI 도구의 업무 활용이 증가하면서 발생할 수 있는 개인정보 유출 및 보안 위협에 선제적으로 대응하기 위한 조치다.

윤리 원칙의 핵심은 크게 두 가지로 구성된다. 첫째, AI 활용의 책임을 명시하는 원칙으로, 생성형 AI를 활용한 업무 처리 시 최종 결과물에 대한 책임 소재를 명확히 했다. 둘째, 보안성 및 개인정보 보호 원칙으로, AI 활용 전 과정에서 정보 유출을 차단하고 보안대책을 수립하도록 의무화했다.

특히 실무 단계별 세부 가이드에서는 구체적인 금지 사항을 명시했다. 개인정보, 민감정보, CCTV 영상 정보를 생성형 AI에 입력하는 것을 전면 금지했으며, 내부 미공표 정보의 입력도 제한했다. 이는 생성형 AI 서비스가 입력된 데이터를 학습에 활용하거나 외부 서버에 저장할 가능성이 있어, 한 번 유출된 정보는 회수가 불가능하다는 점을 고려한 조치다.

남양주도시공사의 이번 조치는 공공기관이 생성형 AI 도입 시 개인정보보호와 보안을 최우선으로 고려해야 한다는 모범 사례를 제시했다는 평가를 받고 있다. 2026년 현재 AI 기본법 시행을 앞두고 있는 상황에서, 조직 차원의 AI 거버넌스 체계 구축이 필수적임을 보여주는 사례다.

전문가 시각

생성형 AI 활용이 확산되면서 '바이브 코딩(Vibe Coding)' 방식의 개발 환경도 증가하고 있다. 바이브 코딩은 개발자가 자연어로 요구사항을 입력하면 AI가 코드를 자동 생성하는 방식으로, 개발 속도는 빠르지만 보안 취약점이 내재될 위험이 높다. AI가 생성한 코드에는 SQL 인젝션, 인증·인가 로직 미비, 경쟁조건(Race Condition) 취약점 등이 포함될 수 있으며, 특히 개인정보 처리 로직에서 암호화 누락이나 접근통제 미흡 문제가 발생할 수 있다. 남양주도시공사의 원칙은 이러한 AI 자동 생성 결과물에 대한 검증 책임을 명확히 했다는 점에서 의미가 있다.

ISMS-P 인증 관점에서 보면, 생성형 AI 활용 시 '2.9.1 정보자산 식별' 항목에서 AI 서비스에 입력되는 데이터를 정보자산으로 식별하고, '2.10.3 개인정보 수집 제한' 항목에서 AI 학습 목적의 개인정보 수집 여부를 검토해야 한다. 또한 '2.11.1 암호정책 수립·이행' 측면에서 AI에 입력되는 데이터의 비식별화 또는 암호화 적용 여부를 점검해야 한다. 공공기관뿐 아니라 민간 기업도 생성형 AI 활용 전 윤리 원칙과 실무 가이드를 수립하고, 특히 바이브 코딩으로 생성된 코드에 대한 보안성 검토 프로세스를 의무화해야 한다.

CPPG·ISMS-P 연계 포인트

AI 활용 시 개인정보 처리 원칙 (CPPG)
생성형 AI 서비스에 개인정보를 입력하는 행위는 제3자 제공에 해당할 수 있으며, 이용자 동의 없이 처리 시 개인정보보호법 위반이다. AI 서비스 약관상 입력 데이터의 학습 활용 여부를 확인하고, 개인정보는 비식별화 후 활용해야 한다.

정보자산 분류 및 보호대책 (ISMS-P 2.9)
생성형 AI에 입력되는 데이터를 정보자산으로 식별·분류하고, 중요도에 따른 보호대책을 수립해야 한다. 특히 AI 활용 로그 기록, 입력 데이터 유형 제한, 결과물 검증 절차 등을 내부 정책으로 문서화하고 주기적으로 점검해야 한다.