미 하원 AI 사용 규칙 마련, 개인정보 보호와 교육 병행 강조

핵심 요약

- 미국 하원, 입법부 AI 활용 규칙 마련하며 효율성과 개인정보 보호 균형 추구 - CAO(Chief Administrative Officer)에 분기별 AI 확산 진행 상황 보고 의무화 - AI 도입 시 개인정보 보호 및 충분한 사용자 교육을 핵심 요건으로 명시

주요 내용

미국 하원이 2026년 입법부 내 AI 활용을 위한 공식 규칙을 수립했다. 하원 행정관(CAO)이 발표한 보고서는 AI 기술이 입법부 기관의 업무 효율성을 크게 높일 수 있다고 평가하면서도, 개인정보 보호와 사용자 교육이라는 두 가지 핵심 전제 조건을 강조했다.

이번 규칙 마련은 AI 기술의 무분별한 도입이 아닌, 책임 있는 AI 거버넌스 체계 구축을 목표로 한다. 특히 입법부라는 공공 기관의 특성상 의원실과 위원회에서 다루는 민감한 개인정보와 정책 정보의 보호가 최우선 과제로 설정됐다. 보고서는 AI 시스템 도입 전 데이터 처리 방식, 저장 위치, 제3자 공유 여부 등을 사전 검토하도록 요구하고 있다.

하원은 CAO에게 AI 확산 진행 상황을 분기별로 보고하도록 의무화했다. 이는 AI 도입이 단발성 사업이 아닌 지속적인 모니터링과 개선이 필요한 과정임을 인식한 조치다. 보고서에는 도입된 AI 시스템의 유형, 사용 부서, 보안 사고 여부, 교육 이수율 등이 포함될 것으로 예상된다.

다만 개별 의원실의 AI 도입은 자율 운용으로 남겨둬 논란의 여지가 있다. 통일된 보안 기준 없이 각 의원실이 독자적으로 AI 도구를 선택할 경우, 개인정보 유출이나 보안 취약점이 발생할 가능성이 존재한다. 이는 향후 보완이 필요한 부분으로 지적되고 있다.

전문가 시각

AI 거버넌스 관점에서 미국 하원의 이번 조치는 '기술 도입'과 '위험 관리'의 균형을 추구한 모범 사례로 평가할 수 있다. 특히 주목할 점은 AI 효율성만을 강조하지 않고, 개인정보 보호를 동등한 수준의 필수 요건으로 설정했다는 것이다. ISMS-P 인증 실무에서도 신기술 도입 시 '보안성 검토(Security Review)' 절차를 필수로 요구하는데, 이번 하원 규칙은 이와 같은 맥락이다. 다만 의원실 자율 운용 방침은 통제 공백을 만들 수 있어, 최소한의 보안 기준선(Baseline)은 필요하다.

분기별 보고 체계는 AI 거버넌스의 핵심인 '지속적 감독(Continuous Oversight)'을 제도화한 것으로, 국내 공공기관에도 시사점을 준다. 우리나라도 2024년 AI 기본법 제정 이후 공공 부문 AI 도입이 가속화되고 있으나, 사후 모니터링 체계는 미흡한 실정이다. 사용자 교육 또한 형식적 이수에 그치는 경우가 많은데, 실제 AI 도구 사용 시 개인정보 입력 금지, 프롬프트 인젝션 위험 인지 등 실무 중심 교육 콘텐츠 개발이 시급하다.

CPPG·ISMS-P 연계 포인트

신기술 도입 시 개인정보 영향평가: ISMS-P 인증 기준 3.2.2에서는 새로운 정보시스템 도입 시 개인정보 보호 영향을 사전 평가하도록 요구한다. AI 시스템 역시 데이터 처리 방식, 학습 데이터 출처, 개인정보 저장 여부 등을 도입 전 검토해야 한다.

제3자 제공 및 위탁 관리: AI 서비스가 클라우드 기반일 경우 개인정보가 외부 서버로 전송될 수 있다. CPPG 인증 기준에서는 제3자 제공 시 법적 근거 확보와 이용자 동의, 위탁 업체 관리·감독을 필수로 하며, AI 도구 선택 시에도 이 원칙을 적용해야 한다.