대구교육청, AI 서비스 도입하며 개인정보 보호 규정 협약 체결

핵심 요약

- 대구시교육청, 교육행정 업무 효율화를 위한 AI 서비스 도입 협약 체결 - 협약서에 개인정보 보호 및 보안 관련 규정 준수 조항 포함 - 공개 행정자료 활용 시 개인정보 보호 기준 명확화로 공공 AI 거버넌스 강화

주요 내용

대구시교육청이 2026년 8월 교육행정 현장의 AI 서비스 활용을 위한 협약을 체결하면서 개인정보 보호 규정 준수를 핵심 조건으로 명시했다. 이번 협약은 현장 공무원들이 각종 교육행정 규정과 업무를 AI를 통해 효율적으로 처리할 수 있도록 지원하는 것을 목표로 한다.

협약서에는 시교육청이 공개한 행정자료 활용에 관한 사항과 함께 개인정보 보호 및 보안 관련 규정을 준수하도록 하는 내용이 포함됐다. 특히 교육행정 데이터에는 학생, 교직원, 학부모 등의 개인정보가 포함될 수 있어 AI 학습 및 서비스 제공 과정에서 엄격한 보안 기준이 요구된다.

공공기관의 AI 도입이 가속화되는 가운데, 대구교육청의 이번 조치는 기술 활용과 개인정보 보호의 균형을 맞추려는 시도로 평가된다. 교육 현장에서 AI를 활용한 업무 지원이 확대되면서 민감정보 처리에 대한 명확한 가이드라인 설정이 중요해지고 있다.

전문가 시각

공공 AI 서비스 도입 시 개인정보 보호 협약은 선택이 아닌 필수다. 특히 교육행정 데이터는 미성년자 정보를 포함하므로 개인정보보호법상 '민감정보'에 준하는 보호가 필요하다. AI 모델 학습 과정에서 개인정보가 비식별화되지 않고 유출되거나, 생성형 AI가 학습 데이터를 그대로 재현하는 '기억(memorization)' 문제가 발생할 수 있다. 협약서에는 데이터 최소수집, 익명화 처리, 제3자 제공 금지, 학습 데이터 삭제 주기 등 구체적 조건이 명시되어야 한다.

실무적으로 AI 서비스 제공자는 ISMS-P 인증 취득 여부, 개인정보 영향평가(PIA) 수행 이력, 데이터 암호화 수준을 검증받아야 한다. 교육청은 AI 응답 결과에 개인정보가 포함되지 않도록 출력 필터링 체계를 구축하고, 정기적인 보안 점검을 협약 조건에 포함해야 한다. 바이브 코딩(Vibe Coding) 방식으로 AI가 자동 생성한 코드를 교육행정 시스템에 적용할 경우, 코드 내 하드코딩된 개인정보나 인증 우회 취약점이 있는지 반드시 보안 검토를 거쳐야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(PIA): 공공기관이 개인정보를 활용하는 새로운 정보시스템(AI 서비스 포함)을 도입할 때 개인정보 침해 위험을 사전 분석·평가하는 절차. 개인정보보호법 제33조에 따라 일정 규모 이상 공공기관은 의무 수행 대상이다.

제3자 제공 동의 및 위탁 관리: AI 서비스 제공자에게 교육행정 데이터를 제공하는 것은 개인정보 처리 위탁에 해당하며, 위탁계약서에 보호조치, 재위탁 제한, 파기 의무 등을 명시해야 한다. ISMS-P 인증 기준 2.8.2(개인정보 위탁 관리) 적용 필수다.