정부, AI 시대 데이터 주권 강화…폐쇄형 AI 도입으로 개인정보보호 강화

핵심 요약

- 안형준 데이터처장, AI 시대 데이터 주권 확보 위해 폐쇄형 AI 도입 방침 발표 - 국가 데이터베이스 운영 시 개인정보보호와 보안을 최우선 원칙으로 관리 - 초대 국가 CDO로서 AI 거버넌스 체계 구축을 통한 성과 제시 예고

주요 내용

안형준 데이터처장이 2026년 7월 26일 기준, AI 시대에 대응하는 국가 데이터 주권 확보 전략을 제시했다. 안 처장은 "폐쇄형으로 AI를 도입할 수밖에 없을 것"이라며 공공부문의 AI 도입 방향성을 명확히 했다.

폐쇄형 AI는 외부 클라우드 기반 AI 서비스와 달리, 조직 내부 인프라에서 운영되는 AI 시스템을 의미한다. 이는 민감한 국가 데이터가 외부로 유출될 위험을 차단하고, 데이터 주권을 확보하는 핵심 전략이다. 특히 ChatGPT 등 글로벌 AI 서비스 이용 시 발생할 수 있는 데이터 국외 이전, 학습 데이터 재사용 등의 위험을 원천 차단할 수 있다.

안 처장은 "폐쇄형으로 가더라도 안에서 우리 데이터베이스를 개인정보 보호와 보안을 철저히 하면서 관리해 나가겠다"고 강조했다. 이는 단순히 폐쇄형 시스템 구축에 그치지 않고, 내부적으로도 엄격한 개인정보보호 체계를 유지하겠다는 의지를 표명한 것이다.

초대 국가 CDO(Chief Data Officer)로서 안 처장은 AI 시대 데이터 거버넌스 체계 구축을 주요 성과로 제시할 계획이다. 이는 2024년 시행된 AI기본법에 따른 공공부문의 책임 있는 AI 활용 체계를 실질적으로 구현하는 모델이 될 전망이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 정부의 폐쇄형 AI 도입 방침은 개인정보보호 측면에서 매우 적절한 접근이다. 공공기관이 보유한 주민등록번호, 건강정보 등 민감정보를 외부 AI 서비스에 입력할 경우, 개인정보처리방침 고지의무 위반, 국외이전 동의 미확보, 목적 외 이용(AI 학습) 등 다중 개인정보보호법 위반 소지가 있다. 폐쇄형 AI는 이러한 법적 리스크를 근본적으로 차단한다. 다만 내부 AI 시스템 구축 시에도 ① 학습 데이터 최소화 ② 비식별 조치 적정성 검토 ③ AI 생성 결과물의 개인정보 재식별 위험 평가가 필수적으로 수반되어야 한다.

실무적으로는 바이브 코딩(Vibe Coding) 환경에서의 보안 관리가 중요하다. 공무원들이 GitHub Copilot, ChatGPT 등 AI 코딩 도구로 업무 시스템을 개발할 때, 자동 생성된 코드에 SQL 인젝션, 인증 우회, 하드코딩된 API 키 등 취약점이 포함될 수 있다. 폐쇄형 AI 도입과 함께 ① AI 생성 코드 보안 검증 프로세스 ② 코드 리뷰 의무화 ③ SAST/DAST 자동화 도구 적용 ④ AI 코딩 보안 가이드라인 배포가 병행되어야 한다. 특히 청소년 대상 디지털새싹, 사이버가디언즈 등 AI·코딩 교육 프로그램에서도 "AI가 생성한 코드는 반드시 검증이 필요하다"는 보안 인식 교육이 강화되어야 한다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 국외이전 통제 (개인정보보호법 제39조의12) 폐쇄형 AI 도입은 클라우드 기반 AI 서비스 이용 시 발생하는 개인정보 국외이전 문제를 해결한다. 정보주체 동의 없이 개인정보를 해외 AI 서비스 제공자에게 이전하는 것은 법 위반이며, 폐쇄형 구조는 이를 기술적으로 차단한다. ISMS-P 인증심사 시 '2.8.2 개인정보 국외 이전 시 보호대책 수립' 항목의 핵심 통제 방안이다.

2. AI 학습 데이터 처리의 목적 제한 원칙 (개인정보보호법 제3조) 외부 AI 서비스에 입력된 데이터가 AI 모델 학습에 재사용될 경우, 당초 수집 목적을 벗어난 이용으로 목적 제한 원칙 위반이다. 폐쇄형 AI는 데이터 통제권을 확보하여 목적 외 이용을 방지한다. CPPG 시험의 '개인정보 처리 단계별 보호조치' 영역에서 AI 시대 핵심 쟁점으로 다뤄지고 있다.