인포마노스, AI 리더십 원칙 'OGANIHU' 공개...보안·개인정보보호 중심 AI 거버넌스 프레임워크 제시

핵심 요약

- 인포마노스가 Try Everything 2026 컨퍼런스에서 AI 리더십 원칙 'OGANIHU' 발표 - 보안(Security), 개인정보보호(Privacy), 책임 있는 AI, 데이터 최소화, 감사가능성, 인간 감독 6대 핵심 원칙 제시 - 전 세계 5,000명 이상의 리더와 1만5,000명 이상의 사용자 대상 AI 거버넌스 프레임워크 지원

주요 내용

인포마노스는 2026년 8월 개최된 Try Everything 2026 컨퍼런스에서 AI 리더십 원칙 'OGANIHU'를 공식 선보이며 책임 있는 AI 거버넌스 프레임워크를 제시했다. OGANIHU는 Organization(조직), Governance(거버넌스), Accountability(책임성), Non-discrimination(비차별), Information security(정보보안), Human oversight(인간 감독), Usability(사용성)의 약자로 추정되며, AI 개발 및 운영 전 과정에서 준수해야 할 핵심 가치를 체계화한 것으로 보인다.

회사는 보안(Security), 개인정보 보호(Privacy), 책임 있는 AI(Responsible AI), 데이터 최소화(Data Minimization), 감사 가능성(Auditability), 인간의 감독(Human Oversight)을 6대 핵심 원칙으로 명시했다. 특히 데이터 최소화 원칙은 GDPR 및 개인정보보호법의 핵심 원칙과 일치하며, 감사가능성은 AI 의사결정의 투명성과 설명가능성을 담보하는 필수 요소로 강조되고 있다.

인포마노스는 현재까지 전 세계 5,000명 이상의 리더와 1만5,000명 이상의 사용자를 지원해 왔으며, 한국 시장과의 협력 확대를 모색하고 있다. 이는 AI기본법 제정을 앞둔 한국의 AI 거버넌스 체계 구축 움직임과 맞물려 의미가 크다. 특히 AI 서비스 제공자의 안전성 확보 의무와 개인정보 영향평가 강화 등 규제 대응 측면에서 실무적 참고 사례가 될 전망이다.

AI 거버넌스 프레임워크의 실효성은 기술적 통제와 조직적 관리의 균형에 달려 있다. OGANIHU가 제시하는 '인간 감독' 원칙은 완전 자동화된 AI 의사결정(Automated Decision Making)의 위험성을 인지하고, 중요한 결정 과정에 인간 개입을 의무화하는 EU AI Act의 고위험 AI 시스템 규제와 궤를 같이한다.

전문가 시각

AI 거버넌스 원칙의 실무 적용에서 가장 중요한 것은 '데이터 최소화'와 '감사가능성'의 균형이다. LLM 기반 AI 서비스는 대량의 학습 데이터를 요구하지만, 개인정보보호법상 목적 달성에 필요한 최소한의 개인정보만 수집해야 한다. 기업은 AI 모델 학습 단계에서 개인정보 비식별화, 차분 프라이버시(Differential Privacy) 적용, 합성 데이터 활용 등 기술적 조치를 통해 이 딜레마를 해결해야 한다. 또한 AI 의사결정 로그를 최소 3년간 보관하고, 알고리즘 편향성 모니터링 체계를 구축해 감사가능성을 확보해야 한다.

'인간 감독' 원칙은 AI 보조 개발(바이브 코딩) 환경에서 더욱 중요하다. GitHub Copilot, ChatGPT 등 AI 도구가 자동 생성한 코드에는 SQL 인젝션, 인증 우회, 경쟁조건(Race Condition) 등 보안 취약점이 포함될 수 있다. 개발자는 AI 생성 코드를 맹신하지 말고 보안 코드 리뷰, SAST(정적 애플리케이션 보안 테스트) 도구 검증, 침투 테스트를 필수적으로 수행해야 한다. 특히 개인정보 처리 로직은 AI 자동 생성에 전적으로 의존하지 말고, 암호화·접근통제·로깅 요구사항을 명시적으로 검증하는 인간 전문가의 최종 승인 절차를 두어야 한다.

CPPG·ISMS-P 연계 포인트

데이터 최소화 원칙: 개인정보보호법 제3조 제1항은 개인정보 처리 목적에 필요한 범위에서 최소한의 개인정보만 수집·이용하도록 규정한다. AI 모델 학습 시 전체 데이터셋이 아닌 비식별 처리되거나 합성된 데이터를 우선 활용하고, 개인정보 영향평가(PIA)를 통해 데이터 최소화 이행 여부를 검증해야 한다. ISMS-P 인증 심사 시 AI 서비스의 개인정보 수집·이용 내역과 최소화 조치 적정성이 중점 점검된다.

자동화된 의사결정 통제: GDPR 제22조와 개인정보보호법 제37조의2(가명정보 처리 특례)는 프로파일링 등 자동화된 처리만으로 정보주체에게 법적 효과를 미치는 결정을 제한한다. AI 기반 신용평가, 채용심사, 보험료 산정 등 중요 의사결정 시스템은 인간 검토자의 개입 절차, 이의제기 권리 보장, 알고리즘 설명 메커니즘을 필수적으로 구현해야 한다. ISMS-P 통제항목 중 '접근권한 관리'와 '개인정보 처리 단계별 보호조치'에서 AI 시스템의 인간 감독 체계가 평가된다.