문경시, 생성형 AI 개인정보 유출 위험 사례로 본 공공기관 안전관리 과제

핵심 요약

- 문경시가 2026년 개인정보보호 교육에서 생성형 AI 활용 과정의 개인정보 유출 위험을 경고 - 직원들이 업무자료를 생성형 AI에 무분별하게 입력하는 과정에서 개인정보 침해 우려 발생 - 공공기관의 최신 기술 도입 시 개인정보 안전관리 체계 강화 필요성 대두

주요 내용

문경시가 2026년 8월 개인정보보호 교육을 통해 생성형 AI 활용 과정에서 발생할 수 있는 개인정보 유출 위험을 경고하고 나섰다. 이번 교육에서는 최신 개인정보보호 정책 동향과 공공기관이 준수해야 할 법적 의무사항을 재확인하는 한편, 개인정보 유출 사고를 예방하기 위한 안전관리 요령을 집중적으로 다뤘다.

특히 주목할 점은 생성형 AI 활용 과정에서 직원들이 업무자료를 무분별하게 입력하는 사례가 문제로 지적됐다는 것이다. ChatGPT, Bard 등 생성형 AI 서비스는 입력된 데이터를 학습에 활용하거나 외부 서버에 저장할 수 있어, 주민등록번호, 의료정보, 사회복지 대상자 명단 등 민감한 개인정보가 포함된 업무자료를 입력할 경우 심각한 개인정보 유출로 이어질 수 있다.

공공기관은 개인정보보호법상 개인정보의 안전성 확보조치 의무를 부담하며, 특히 행정안전부 「개인정보의 안전성 확보조치 기준」에 따라 개인정보 처리 시스템에 대한 접근 통제와 개인정보의 암호화 등을 이행해야 한다. 그러나 생성형 AI는 기존 정보시스템과 달리 클라우드 기반 외부 서비스 형태로 제공되어 기관의 통제 범위 밖에 있다는 점에서 새로운 보안 과제를 제기한다.

이번 문경시 사례는 전국 공공기관이 직면한 공통 문제를 드러낸다. 2026년 현재 대부분의 공공기관에서 생성형 AI 활용이 급증하고 있으나, 이에 대한 명확한 지침이나 기술적 통제 수단은 여전히 미흡한 상황이다. 개인정보 보호와 업무 효율성 향상이라는 두 가치 사이에서 균형점을 찾는 것이 시급한 과제로 떠올랐다.

전문가 시각

ISMS-P 심사 현장에서 2026년 들어 가장 빈번하게 발견되는 취약점 중 하나가 바로 생성형 AI 사용에 대한 통제 부재다. 많은 기관이 임직원의 생성형 AI 사용 자체를 인지하지 못하거나, 사용을 알고 있더라도 이를 개인정보 처리행위로 인식하지 못해 아무런 안전조치를 취하지 않고 있다. 특히 공공기관의 경우 「공공기록물 관리에 관한 법률」상 업무자료가 공공기록물에 해당할 수 있어, 외부 AI 서비스에 입력 시 기록물 유출 문제까지 겹쳐 더욱 복잡한 법적 이슈가 발생한다.

실무 대응 방안으로는 먼저 생성형 AI 사용 지침을 명문화하고, 개인정보가 포함된 자료의 입력을 원천적으로 금지하는 정책을 수립해야 한다. 기술적으로는 DLP(Data Loss Prevention) 솔루션을 도입해 개인정보가 포함된 문서의 외부 전송을 차단하거나, On-Premise 방식의 생성형 AI 솔루션 도입을 검토할 필요가 있다. 또한 전 직원을 대상으로 한 정기적인 보안 인식 교육과 함께, 위반 시 징계 등 실효성 있는 제재 방안도 마련해야 한다. 문경시의 이번 교육은 이러한 문제를 선제적으로 인식하고 대응하려는 모범적 사례로 평가할 수 있다.

ISMS-P 심사원 체크포인트

1. 2.8.2 개인정보 처리 업무 담당자 인식 제고 및 2.9.3 개인정보 처리업무 위탁 안전조치
생성형 AI 서비스 사용은 외부 사업자에게 개인정보 처리를 위탁하는 행위로 볼 수 있다. 심사 시 ① 생성형 AI 사용 현황 파악 및 통제 정책 수립 여부 ② 개인정보 포함 자료의 AI 입력 금지 지침 문서화 여부 ③ 임직원 대상 생성형 AI 안전 사용 교육 실시 이력을 점검한다. 개인정보보호법 제29조(안전조치의무) 및 동법 시행령 제30조에 따라 개인정보가 분실·도난·유출되지 않도록 안전성 확보에 필요한 조치를 이행했는지가 핵심이다.

2. 2.5.4 개인정보 파기 및 2.7.1 PC 등 업무용 단말기 보안
생성형 AI에 입력된 개인정보는 서비스 제공자의 서버에 저장될 수 있으며, 이는 기관의 통제를 벗어난 개인정보 존재를 의미한다. 심사 시 ① 업무용 PC에서의 외부 AI 서비스 접속 통제 현황 ② DLP 등 정보유출 방지 솔루션 운영 여부 ③ 개인정보 처리 이력 관리 및 삭제 요청 절차를 확인한다. 개인정보보호법 제21조(개인정보의 파기)에 따라 보유기간 경과 시 지체 없이 파기해야 하나, 외부 AI 서비스에 입력된 정보는 파기 통제가 불가능하다는 점에서 중대한 법 위반 소지가 있다.

3. 2.1.3 개인정보 보호 정책 및 2.8.1 개인정보 보호 교육
조직의 개인정보 보호 정책에 신기술(생성형 AI 등) 활용 시 안전조치 기준이 반영되어 있는지 점검한다. ① 생성형 AI 사용 승인 절차 수립 여부 ② 개인정보 영향평가(PIA) 또는 사전 위험 검토 실시 여부 ③ 정기적 교육을 통한 전 직원 인식 제고 노력을 확인한다. 개인정보보호법 제28조의4(개인정보 영향평가) 및 동법 제31조(개인정보 보호책임자의 지정)에 따라 새로운 개인정보 처리 수단 도입 시 사전 검토와 책임자의 관리·감독이 필수적이다.

CPPG·ISMS-P 연계 포인트

개인정보 안전성 확보조치 (개인정보보호법 제29조)
개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 안전성 확보에 필요한 기술적·관리적·물리적 조치를 해야 한다. 생성형 AI 사용은 개인정보의 '외부 전송'에 해당하므로, 암호화·접근통제·전송 시 암호화 등의 조치가 필요하며, 특히 민감정보나 고유식별정보의 경우 더욱 엄격한 안전조치가 요구된다. CPPG 시험에서는 안전성 확보조치의 세부 기준과 위반 시 과징금·과태료 부과 기준이 자주 출제된다.

개인정보 처리 위탁 관리 (개인정보보호법 제26조)
생성형 AI 서비스 이용은 외부 서비스 제공자에게 개인정보 처리를 위탁하는 것으로 해석될 수 있다. 이 경우 ① 위탁 사실의 공개 ② 문서에 의한 위탁계약 체결 ③ 수탁자에 대한 관리·감독 의무가 발생한다. ISMS-P 인증심사에서는 위탁 현황 목록 관리, 위탁계약서상 안전조치 의무 명시 여부, 수탁자 관리·감독 이행 증적(정기 점검, 보안서약서 등)을 필수적으로 확인하며, 미이행 시 주요 부적합 사항으로 지적된다.