소진공, AI 거버넌스 위원회 출범…소상공인 디지털 전환 안전성 강화

핵심 요약

- 중소벤처기업진흥공단(소진공)이 2026년 AI 거버넌스 위원회를 출범하고 첫 회의 개최 - AI 윤리원칙 제정안, 개인정보 보호 내부 관리계획 등 기술 운용 안전성 확보 방안 논의 - 학계·민간·공공 분야 전문가 참여로 소상공인 디지털 전환 지원 체계 구축

주요 내용

중소벤처기업진흥공단이 2026년 8월 AI 거버넌스 위원회를 공식 출범하며 소상공인 지원 사업의 디지털 전환을 본격화하고 있다. 이번 위원회 출범은 AI기본법 시행(2024년 8월) 이후 공공기관의 AI 활용이 급증하는 가운데, 안전하고 책임 있는 AI 도입을 위한 제도적 기반 마련이라는 점에서 주목받고 있다.

첫 회의에서는 공단의 중장기 지능정보화 계획안이 핵심 의제로 다뤄졌다. 소상공인 경영 컨설팅, 자금 지원 심사, 교육 프로그램 운영 등 공단의 주요 업무에 AI 기술을 적용하되, AI 윤리원칙 제정안을 통해 공정성·투명성·책임성을 확보하는 방안이 논의됐다. 특히 대출 심사나 지원 대상자 선정 과정에서 AI 알고리즘이 특정 업종이나 지역을 차별하지 않도록 하는 공정성 검증 절차가 강조됐다.

개인정보 보호 내부 관리계획 수립도 중요 안건으로 다뤄졌다. 공단은 연간 수십만 소상공인의 사업자 정보, 재무 데이터, 개인정보를 처리하고 있어 AI 시스템 도입 시 개인정보 침해 위험이 증가할 수 있다. 이에 AI 학습 데이터의 비식별 처리, 알고리즘 편향성 모니터링, AI 활용 이력 관리 등을 포함한 종합 관리 체계를 구축하기로 했다.

학계, 민간, 공공 분야의 AI 및 데이터 전문가들이 위원으로 참여해 기술 도입의 실효성과 안전성을 동시에 검토하는 거버넌스 체계를 마련했다. 이는 AI기본법 제59조(AI영향평가)와 제63조(AI사업자의 의무) 준수를 위한 선제적 조치로 평가된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 소진공의 AI 거버넌스 출범은 공공기관이 AI 도입 시 개인정보 보호와 정보보안을 사전에 설계하는 'Privacy & Security by Design' 원칙을 실천하는 모범 사례다. 특히 개인정보 보호 내부 관리계획을 AI 윤리원칙과 함께 수립한 점은 ISMS-P 인증 기준 2.7.1(개인정보 보호 조직), 2.7.3(내부 관리계획 수립·시행)과 직접 연계된다. 다만 실무에서는 AI 모델 학습에 사용되는 소상공인 데이터의 가명·익명 처리 적정성, 제3자 AI 서비스 이용 시 개인정보 처리위탁 계약 조항, AI 자동화 의사결정에 대한 정보주체 고지·동의 절차 등을 면밀히 검토해야 한다.

또한 소상공인 지원 AI 시스템 개발 시 '바이브 코딩(Vibe Coding)' 방식으로 생성된 코드의 보안 취약점에 유의해야 한다. ChatGPT나 GitHub Copilot 등 LLM을 활용해 빠르게 프로토타입을 개발하는 과정에서 SQL 인젝션, 인증·인가 미비, 경쟁조건(Race Condition) 취약점이 포함될 수 있다. 실제로 2025년 국내 한 지자체 AI 민원 시스템에서 LLM이 생성한 코드의 입력값 검증 누락으로 개인정보 노출 사고가 발생한 바 있다. 따라서 AI 자동 생성 코드에 대한 보안 코드 리뷰, 정적·동적 분석(SAST/DAST), 개인정보 영향평가(PIA)를 의무화해야 한다.

CPPG·ISMS-P 연계 포인트

AI 거버넌스와 개인정보 보호 관리체계 통합
ISMS-P 인증 기준 2.7.1(개인정보 보호 조직 및 책임)은 개인정보 보호책임자(CPO) 지정과 전담 조직 운영을 요구한다. AI 거버넌스 위원회는 이를 확장해 AI 윤리·보안·개인정보 보호를 통합 관리하는 체계로, AI기본법 제59조 AI영향평가 시 개인정보 침해 위험 평가가 필수 포함된다.

AI 활용 개인정보 처리의 투명성 확보
개인정보보호법 제37조(개인정보 자동화 의사결정)는 정보주체에게 자동화 결정 사실 고지와 설명 요구권을 부여한다. 소진공의 AI 윤리원칙은 대출 심사·지원 대상자 선정 등 자동화 의사결정의 투명성·설명가능성을 확보해 CPPG 2.7절(정보주체 권리 보장) 요건을 충족하는 핵심 수단이 된다.