생성형 AI 시대, 가명·익명처리와 데이터 보안 전략 - ISMS-P 선임심사원 백남정 박사

핵심 요약

- 생성형 AI 시스템 설계 단계부터 개인정보보호 영향평가(PIA)와 가명·익명처리 검토 필수 - 암호화, 접근권한 관리 등 기술적 보안조치와 데이터 거버넌스 체계 통합 운영 필요 - 개인정보보호법 제28조의2~7의 가명정보 활용·결합 제도의 실무 적용이 AI 시대 핵심 과제

주요 내용

ISMS-P 선임심사원이자 공학박사인 백남정 전문가는 2026년 8월 보안뉴스 칼럼을 통해 생성형 AI 시대의 데이터 보안 전략을 제시했다. 백 박사는 AI 시스템이 방대한 개인정보를 학습 데이터로 활용하는 만큼, 설계 단계부터 개인정보보호를 내재화(Privacy by Design)하는 접근이 필수적이라고 강조했다.

특히 개인정보보호법 제28조의2부터 제28조의7까지 규정된 가명정보 처리 및 결합 제도의 중요성을 부각했다. 가명처리는 추가 정보 없이는 특정 개인을 알아볼 수 없도록 하는 기술로, AI 학습 데이터 활용 시 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 정보주체 동의 없이 처리할 수 있는 법적 근거가 된다. 다만 재식별 위험성 평가와 안전조치가 반드시 수반되어야 한다.

백 박사는 AI 시스템 구축 시 개인정보보호 영향평가(PIA)를 통해 개인정보 처리 전반의 위험을 사전에 식별하고, 가명처리 적정성을 검토해야 한다고 제언했다. 암호화 기술 적용, 역할 기반 접근제어(RBAC) 등 기술적 보안조치와 함께, 데이터 생명주기 전반을 관리하는 거버넌스 체계가 통합적으로 운영되어야 한다는 것이다.

또한 익명처리된 정보는 개인정보보호법 적용 대상에서 제외되지만, 완전한 익명화는 기술적으로 어려우며 k-익명성, l-다양성, t-근접성 등의 기법을 복합적으로 적용해야 한다고 설명했다. 생성형 AI가 학습 데이터를 재조합해 새로운 결과물을 생성하는 과정에서 원본 개인정보가 유추될 위험이 있어, 모델 출력값에 대한 재식별 가능성 점검도 필요하다고 덧붙였다.

전문가 시각

백남정 박사는 30년 이상의 정보보호 실무 경험과 ISMS-P 선임심사원으로서의 전문성을 바탕으로, 기업들이 생성형 AI 도입 시 법적 리스크와 기술적 보안을 균형있게 고려해야 한다고 강조한다. 특히 개인정보보호위원회의 가명·익명처리 가이드라인(2023년 개정)을 준수하되, AI 특성상 발생하는 새로운 위험 시나리오에 대한 자체 평가 체계를 구축해야 한다고 조언한다.

그는 데이터 거버넌스를 단순한 규정 준수를 넘어, 신기술 기반 정보화 전략의 핵심 경쟁력으로 인식해야 한다고 역설한다. AI 시대에는 데이터 품질, 보안, 윤리가 모두 통합된 관리 체계가 필요하며, 이를 위해 CISO와 데이터 보호책임자(DPO), AI 윤리위원회가 협업하는 조직 구조가 효과적이라고 제시했다. 또한 후배 전문가 양성을 통해 조직 내 개인정보보호 역량을 지속적으로 강화해야 한다고 당부했다.

CPPG·ISMS-P 연계 포인트

가명정보 처리 특례 (개인정보보호법 제28조의2)
가명정보는 통계작성, 과학적 연구, 공익적 기록보존 목적으로 정보주체 동의 없이 처리 가능하나, 특정 개인을 알아보기 위한 목적으로 처리하거나 다른 정보와 결합해 재식별해서는 안 된다. ISMS-P 인증심사 시 가명처리 적정성, 안전조치 이행 여부, 결합 시 전문기관 활용 여부 등을 점검한다.

개인정보 영향평가 (개인정보보호법 제33조)
개인정보파일 운용으로 인한 위험요인 분석 및 개선사항 도출을 위해 대규모 민감정보·고유식별정보 처리 시스템 구축·변경 시 의무적으로 수행해야 한다. AI 시스템은 대부분 대규모 개인정보를 처리하므로 PIA 대상이 되며, 가명처리 계획, 기술적 보호조치, 제3자 제공 계획 등을 포괄적으로 평가해야 한다.