우리은행 AI 기반 시스템 도입 확대, 프로젝트 종료 후 정보파기 검증 미흡 지적

핵심 요약

- 우리은행, 정진완 행장 체제에서 AI 기반 디지털 전환 추진 중 개인정보 파기 검증 미흡으로 개보위 제재 - 프로젝트 종료 후 정보 파기 검증 절차가 제대로 이행되지 않은 점이 적발되어 보안 관리 체계 점검 필요 - AI 시스템 도입 확대 시 개인정보 생애주기 전 단계에 걸친 통제 강화 요구

주요 내용

우리은행은 2026년 현재 정진완 행장 체제 하에서 중소기업과 개인사업자를 대상으로 한 포용금융 실천과 함께 인공지능(AI) 기반 디지털 전환을 적극 추진하고 있다. 그러나 이러한 디지털 혁신 과정에서 개인정보보호 관리 체계의 허점이 드러났다.

개인정보보호위원회의 조사 결과, 우리은행은 AI 및 디지털 프로젝트 종료 후 개인정보 파기 검증 절차를 제대로 이행하지 않은 것으로 확인됐다. 특히 프로젝트 수행 과정에서 수집·처리된 고객 개인정보가 프로젝트 종료 시점에 안전하게 파기되었는지를 검증하는 절차가 미비했던 것으로 파악됐다.

금융기관의 AI 도입이 가속화되면서 대량의 고객 데이터를 학습 및 분석에 활용하는 사례가 증가하고 있다. 이 과정에서 개인정보의 수집, 이용, 보관, 파기에 이르는 전체 생애주기에 대한 체계적 관리가 더욱 중요해지고 있다. 우리은행 사례는 AI 시스템 구축 및 운영 시 개인정보 파기 단계의 검증 통제가 간과되기 쉽다는 점을 보여준다.

금융당국과 개인정보보호위원회는 은행권의 AI 도입 확대에 따른 개인정보보호 리스크 관리 강화를 요구하고 있으며, 특히 프로젝트 종료 시점의 정보자산 처리 절차에 대한 감독을 강화할 것으로 예상된다.

전문가 시각

ISMS-P 인증 심사 관점에서 볼 때, 이번 우리은행 사례는 개인정보 생애주기 관리 중 '파기' 단계의 통제 실패를 명확히 보여준다. AI 프로젝트는 일반적으로 대량의 학습 데이터를 필요로 하며, 프로젝트 종료 후에도 개발·테스트 환경에 데이터가 잔존할 가능성이 높다. 따라서 프로젝트 종료 시 ① 파기 대상 정보자산 목록 작성 ② 파기 실행 ③ 파기 완료 검증 ④ 파기 기록 보관의 4단계 절차를 문서화하고 독립적 검증을 수행해야 한다.

특히 AI 모델 학습에 사용된 개인정보는 모델 파라미터에 내재될 수 있어, 단순 데이터베이스 삭제만으로는 불충분하다. 학습 데이터셋, 전처리 스크립트, 모델 체크포인트, 로그 파일 등 AI 프로젝트의 전체 산출물에 대한 개인정보 포함 여부를 점검하고, 보존 필요성이 없는 정보는 복구 불가능한 방식으로 완전 파기해야 한다. 금융기관은 AI 거버넌스 체계 내에 '프로젝트 종료 시 개인정보 파기 체크리스트'를 필수 절차로 포함하고, 정보보호 담당 부서의 승인 없이는 프로젝트를 종료할 수 없도록 통제를 강화해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 파기 (ISMS-P 3.5.2)
개인정보의 보유기간 경과, 처리목적 달성 등 파기 사유 발생 시 지체 없이 파기해야 하며, 파기 시에는 복구·재생 불가능한 방법을 사용해야 한다. 프로젝트 종료 시 임시로 생성된 개인정보는 즉시 파기하고, 파기 이행 여부를 책임자가 검증·기록해야 한다.

개인정보 생애주기 관리 (개인정보보호법 제21조, 제58조)
개인정보의 수집·이용·제공·파기에 이르는 전 과정에서 안전성 확보조치를 적용해야 하며, 특히 보유기간 경과 후 파기 의무를 위반할 경우 과태료 부과 대상이 된다. AI 프로젝트 수행 시에도 개인정보 최소수집 원칙과 목적 달성 후 즉시 파기 원칙이 동일하게 적용된다.