AI 도입할 때 개인정보 리스크는 어떻게 점검하나요?
AI에 개인정보가 들어가는 순간 확인해야 할 축이 두 개로 늘어납니다. 하나는 AI기본법이 정한 축입니다 — 고영향 인공지능이라면 제34조제1항의 이용자 보호 방안·설명 방안·사람의 관리·감독과 문서 보관이 따라오고, 제35조의 영향평가는 사람의 기본권에 미치는 영향을 사전에 평가하도록 합니다. 다른 하나는 개인정보 보호법이 정한 축으로, 개인정보를 어떤 근거로 수집·이용하는지, 제3자에게 제공하거나 처리를 위탁하는지, 자동화된 결정에 대해 정보주체에게 무엇을 제공하는지를 봅니다. 두 축은 서로를 대체하지 않으므로 각각 확인해야 합니다.
작성 · 최종 업데이트
축 1 — AI기본법이 요구하는 것
고영향 인공지능에 해당하면 제34조제1항이 여섯 가지 조치를 정합니다. 이 중 개인정보와 직접 맞닿는 것은 제2호 설명 방안, 제3호 이용자 보호 방안, 제4호 사람의 관리·감독입니다.
제2호는 기술적으로 가능한 범위에서 인공지능이 도출한 최종결과, 그 결과 도출에 활용된 주요 기준, 개발·활용에 사용된 학습용데이터의 개요 등에 대한 설명 방안을 수립·시행하도록 합니다. 「학습용데이터의 개요」가 들어간다는 점이 실무에서 중요합니다.
시행령 제27조제1항은 위험관리방안의 주요 내용, 설명 방안의 주요 내용, 이용자 보호 방안, 관리·감독자의 성명과 연락처를 사무소나 홈페이지 등에 게시하도록 하고, 제2항은 조치 근거를 문서로 5년간 보관하도록 정합니다.
축 2 — 개인정보 보호법이 요구하는 것
개인정보 보호법은 AI 여부와 무관하게 적용됩니다. AI 도입 시 실무에서 다시 확인하게 되는 지점은 대체로 다음과 같습니다. 어떤 개인정보를 어떤 근거로 수집·이용하는지, 처리 목적이 바뀌지는 않았는지, 외부 AI 서비스에 데이터를 보내는 것이 제3자 제공인지 처리위탁인지, 국외로 이전되는지, 그리고 개인정보 처리방침에 이 사실이 반영되어 있는지입니다.
자동화된 결정도 별도 확인 항목입니다. 개인정보 보호법은 완전히 자동화된 방식으로 이루어지는 결정에 대해 정보주체가 설명을 요구하거나 대응할 수 있는 절차를 두고 있습니다. AI가 채용·심사·평가에 관여한다면 이 절차와 AI기본법 제34조제1항제2호의 설명 방안을 함께 설계하는 편이 효율적입니다.
구체적인 조문과 적용 범위는 개인정보 보호법 원문과 개인정보보호위원회 안내를 확인해야 하며, 개별 사안의 판단은 자격 있는 전문가의 자문이 필요합니다.
생체인식정보는 별도의 축이다
제2조제4호 바목은 범죄 수사나 체포 업무를 위한 생체인식정보의 분석·활용을 고영향 영역으로 열거합니다. 이 조항은 생체인식정보를 얼굴·지문·홍채 및 손바닥 정맥 등 개인을 식별할 수 있는 신체적·생리적·행동적 특징에 관한 개인정보로 설명합니다.
얼굴 인식 출입, 음성 인증처럼 생체 특징을 다루는 기능은 개인정보 보호법상 민감한 처리에 해당하는지와 AI기본법상 영역 해당 여부를 함께 확인해야 합니다.
영향평가와 개인정보의 접점
시행령 제28조제1항은 영향평가에 담을 사항으로 영향받을 가능성이 있는 개인이나 집단의 식별, 영향을 받을 수 있는 기본권 유형의 식별, 사회적·경제적 영향의 내용과 범위 등을 들고 있습니다. 이 과정은 개인정보 영향평가와 목적이 다르지만 조사 대상이 겹칩니다.
따라서 두 평가를 완전히 따로 진행하기보다, 데이터 흐름도와 처리 목록을 한 번 만들어 양쪽에서 쓰는 방식이 실무 부담을 줄입니다.
자체점검 체크리스트
- 1
AI 기능별로 어떤 개인정보가 들어가는지 항목 단위로 적었는가
「고객정보」가 아니라 이름·연락처·거래내역처럼 항목으로 적어야 이후 판단이 가능합니다.
- 2
외부 AI 서비스로 나가는 데이터의 성격을 구분했는가
제3자 제공인지 처리위탁인지, 국외 이전이 있는지를 나누어 확인합니다.
- 3
개인정보 처리방침에 AI 활용과 관련한 내용이 반영되어 있는가
처리 목적·위탁·국외 이전 항목이 실제 운영과 일치하는지 확인합니다.
- 4
자동화된 결정이 있다면 설명·대응 절차가 마련되어 있는가
AI기본법 제34조제1항제2호의 설명 방안과 개인정보 보호법상 자동화된 결정 관련 절차를 함께 설계합니다.
- 5
생체 특징을 다루는 기능이 있는지 확인했는가
얼굴·지문·홍채·정맥·음성 등. 있다면 별도 검토 항목으로 분리합니다.
실무에서 자주 남는 확인 필요 상황
아래는 자주 관찰되는 상황의 예시이며, 특정 회사의 상태를 판단한 것이 아닙니다.
외부 모델 API에 고객 데이터가 원문 그대로 전달된다
무엇이 어디로 가는지 정리되지 않아 처리위탁·국외 이전 여부와 처리방침 반영 상태를 확인할 수 없습니다.
학습용데이터 개요를 설명할 수 없다
고영향에 해당하는 경우 제34조제1항제2호의 설명 방안에 학습용데이터의 개요가 포함되는데, 어떤 데이터로 만들었는지 회사가 답하지 못합니다.
정보주체가 AI 결정에 대해 설명을 요구했다
요청을 받는 창구와 답변 기준이 정해져 있지 않아 부서마다 다른 답이 나가는 상태가 됩니다.
근거 · 출처
아래 요약은 법령 원문(국가법령정보센터)을 확인해 정리한 것입니다.
AI기본법 제34조
고영향 인공지능 사업자의 책무 6가지. 위험관리방안 수립·운영, 설명 방안 수립·시행, 이용자 보호 방안 수립·운영, 사람의 관리·감독, 조치 내용을 확인할 수 있는 문서의 작성·보관 등.
법령 원문 보기 →AI기본법 시행령 제27조
제34조 조치의 구체화. 위험관리방안 주요 내용·설명 방안 주요 내용·이용자 보호 방안·관리감독자의 성명과 연락처를 사무소나 홈페이지 등에 게시하고, 조치 근거를 **문서로 5년간 보관**한다(전자적 보관 포함).
법령 원문 보기 →AI기본법 제35조
고영향 인공지능 영향평가. 고영향 인공지능을 이용한 제품·서비스를 제공하는 경우 사전에 사람의 기본권에 미치는 영향을 평가하도록 노력한다. 국가기관등은 영향평가를 실시한 제품·서비스를 우선 고려한다.
법령 원문 보기 →AI기본법 시행령 제28조
영향평가에 담을 7가지. 영향받는 개인·집단 식별(인공지능취약계층 특성 반영), 영향받는 기본권 유형 식별, 사회적·경제적 영향의 내용과 범위, 사용 행태, 평가지표와 결과산출 방식, 위험 예방·완화·복구, 개선 이행계획.
법령 원문 보기 →AI기본법 제2조제4호
「고영향 인공지능」의 정의와 활용 영역 11가지(에너지 공급, 먹는물 생산, 보건의료, 의료기기·디지털의료기기, 원자력, 범죄수사용 생체인식정보 분석, 채용·대출 심사 등 권리·의무에 중대한 영향을 주는 판단·평가, 교통, 국가기관등의 의사결정, 유아·초·중등 학생 평가, 그 밖에 대통령령으로 정하는 영역)를 정한다.
법령 원문 보기 →개인정보 보호법 법령 전문
개인정보의 수집·이용 근거, 제3자 제공과 처리위탁, 국외 이전, 처리방침 공개, 자동화된 결정에 대한 정보주체의 권리 등을 정한다. 개별 조항과 적용 범위는 원문과 개인정보보호위원회 안내를 확인한다.
법령 원문 보기 →
자주 묻는 질문
- AI에 고객 개인정보를 넣어도 되나요?
- 가능 여부는 개인정보 보호법상 처리 근거와 목적, 외부 서비스 이용 시 처리위탁·제3자 제공·국외 이전 해당 여부, 개인정보 처리방침 반영 상태에 따라 달라집니다. AI기본법은 이 부분을 직접 정하지 않고, 고영향 인공지능인 경우 제34조제1항의 이용자 보호 방안과 설명 방안을 요구합니다. 개별 사안의 판단은 자격 있는 전문가의 자문이 필요합니다.
- AI 개인정보 점검과 AI기본법 영향평가는 같은 건가요?
- 다릅니다. AI기본법 제35조의 영향평가는 사람의 기본권에 미치는 영향을 평가하는 절차로, 시행령 제28조제1항이 영향받는 개인·집단 식별, 기본권 유형 식별, 사회적·경제적 영향 등 7가지 항목을 정하고 있습니다. 개인정보 관련 점검과 목적은 다르지만 데이터 흐름 조사 등 조사 대상이 겹치므로 실무에서는 함께 진행하는 경우가 많습니다.
- 얼굴 인식 출입 시스템도 고영향 인공지능인가요?
- AI기본법 제2조제4호 바목은 범죄 수사나 체포 업무를 위한 생체인식정보의 분석·활용을 고영향 영역으로 열거하고 있습니다. 일반 기업의 출입 관리가 이 영역에 해당하는지는 활용 목적과 방식에 따라 달라지므로 제33조제1항의 사전 검토를 통해 개별적으로 확인해야 합니다.
※ '확인 필요'는 위반·불이행을 의미하지 않습니다. 자체점검 결과이며 법률상담·법률자문을 제공하지 않습니다. 이 페이지는 법령 원문을 정리한 참고 자료이며, 개별 사안에 대한 판단은 변호사 등 자격 있는 전문가의 자문이 필요합니다.