생성형 AI 민원처리, 직접식별정보 삭제만으론 불충분...재식별 위험 경고

핵심 요약

- 오지안 고려대 겸임교수, 행정기관의 생성형 AI 민원처리 시 직접식별정보 삭제만으로는 개인정보 보호 불충분 지적 - 상세 주소·나이·발생일자 등 간접식별자 조합으로 재식별 가능성 존재, 입력창 단계부터 책임 강조 - AI 행정 도입 시 개인정보 최소화·비식별 조치 강화 및 프롬프트 설계 단계 보안 통제 필요

주요 내용

오지안 고려대학교 겸임교수가 2026년 8월 현재 확산되고 있는 행정기관의 생성형 AI 활용에 대해 "AI 행정의 책임은 입력창에서 시작된다"며 개인정보 보호의 핵심을 프롬프트 설계 단계로 제시했다. 그는 행정담당자가 민원인의 이름과 주민등록번호 등 직접적인 식별정보를 삭제한 후 생성형 AI에 입력하더라도, 본문에 포함된 상세 주소, 나이, 발생 날짜 등 간접식별자의 조합을 통해 개인이 재식별될 수 있다고 경고했다.

특히 행정 업무 특성상 민원 문서에는 다양한 맥락 정보가 포함되어 있어, 단순히 성명과 주민등록번호만 제거하는 방식으로는 개인정보 보호가 충분하지 않다는 점을 지적했다. 예를 들어 "서울시 강남구 ○○동 123번지에 거주하는 45세 남성이 2026년 7월 15일 제기한 소음 민원"과 같은 정보는 직접식별정보 없이도 해당 지역 주민이라면 쉽게 특정 개인을 식별할 수 있는 수준이다.

오 교수는 AI 시스템에 입력되는 데이터가 학습에 활용되거나 제3자 서버에 전송될 경우 개인정보 유출 위험이 더욱 커진다는 점도 강조했다. 2026년 현재 많은 행정기관이 업무 효율화를 위해 ChatGPT, Claude 등 상용 생성형 AI를 도입하고 있으나, 데이터 처리 방침과 보안 수준에 대한 충분한 검토 없이 사용하는 사례가 빈번하다는 것이다.

AI 행정 도입 시에는 개인정보 최소화 원칙에 따라 업무 목적 달성에 필요한 최소한의 정보만 입력해야 하며, k-익명성 등 통계적 비식별 기법을 적용하거나 합성 데이터 활용을 검토해야 한다고 제안했다. 또한 프롬프트 설계 단계부터 개인정보보호 담당자와 정보보호 전문가의 검토를 거치는 내부 통제 체계 구축이 필수적이라고 강조했다.

전문가 시각

생성형 AI를 활용한 업무 자동화는 2026년 현재 공공·민간 영역에서 급속히 확산되고 있으나, 대부분의 조직이 출력 결과의 정확성과 효율성에만 집중하고 입력 단계의 개인정보 보호는 간과하는 경향이 있다. 특히 "바이브 코딩(Vibe Coding)" 방식으로 자연어 프롬프트만으로 코드나 문서를 생성할 때, 사용자는 민감정보 포함 여부를 충분히 인지하지 못한 채 데이터를 입력하는 경우가 많다. 이는 개인정보처리방침에 명시되지 않은 제3자 제공이나 목적 외 이용에 해당할 수 있어, 개인정보보호법 위반 소지가 크다.

실무적으로는 생성형 AI 사용 전 ① 입력 데이터에 대한 개인정보 영향평가(PIA) 수행 ② 프롬프트 템플릿에 자동 비식별 처리 로직 내장 ③ AI 서비스 제공자와의 데이터 처리 계약 명확화 ④ 입력 데이터 로그 모니터링 체계 구축이 필요하다. 특히 ISMS-P 인증 조직의 경우 2.8.2(개인정보 수집 시 동의) 및 2.8.7(개인정보 제3자 제공) 통제항목 준수 여부를 면밀히 검토해야 하며, AI 시스템 도입 자체를 중요 변경사항으로 간주하여 재심사 시 관련 증적을 준비해야 한다.

CPPG·ISMS-P 연계 포인트

간접식별자 조합에 의한 재식별 위험: 개인정보보호법상 개인정보는 '살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함)'를 의미한다. 상세 주소, 나이, 날짜 등 간접식별자의 조합으로 개인 식별이 가능하다면 이는 개인정보에 해당하므로, 비식별 조치 시 직접식별정보 외에도 준식별자(간접식별자) 처리가 필수적이다.

개인정보 제3자 제공 및 처리 위탁: 외부 생성형 AI 서비스에 개인정보가 포함된 프롬프트를 입력하는 행위는 개인정보의 제3자 제공 또는 처리 위탁에 해당할 수 있다. ISMS-P 통제항목 2.8.7(제3자 제공) 및 2.9.2(위탁 계약 시 보호조치)에 따라 정보주체 동의 획득 또는 법적 근거 확보, AI 서비스 제공자와의 명확한 데이터 처리 계약 체결, 위탁 현황 공개가 요구된다.