AI 도입할 때 개인정보 리스크는 어떻게 점검하나요?

축 1 · AI기본법 기준

고영향 인공지능에 해당하면 제34조제1항이 여섯 가지 조치를 정합니다. 이 중 개인정보와 직접 관련된 것은 제2호 설명 방안, 제3호 이용자 보호 방안, 제4호 사람의 관리·감독입니다.

제2호는 기술적으로 가능한 범위에서 인공지능이 도출한 최종결과, 그 결과 도출에 활용된 주요 기준, 개발·활용에 사용된 학습용데이터의 개요 등에 대한 설명 방안을 수립·시행하도록 합니다. 「학습용데이터의 개요」가 들어간다는 점이 실무에서 중요합니다.

시행령 제27조제1항은 위험관리방안의 주요 내용, 설명 방안의 주요 내용, 이용자 보호 방안, 관리·감독자의 성명과 연락처를 사무소나 홈페이지 등에 게시하도록 하고, 제2항은 조치 근거를 문서로 5년간 보관하도록 정합니다.

축 2 · 개인정보 보호법 기준

개인정보 보호법은 AI 여부와 무관하게 적용됩니다. AI 도입 시 실무에서 다시 확인하게 되는 지점은 대체로 다음과 같습니다. 어떤 개인정보를 어떤 근거로 수집·이용하는지, 처리 목적이 바뀌지는 않았는지, 외부 AI 서비스에 데이터를 보내는 것이 제3자 제공인지 처리위탁인지, 국외로 이전되는지, 그리고 개인정보 처리방침에 이 사실이 반영되어 있는지입니다.

자동화된 결정도 별도 확인 항목입니다. 개인정보 보호법은 완전히 자동화된 방식으로 이루어지는 결정에 대해 정보주체가 설명을 요구하거나 대응할 수 있는 절차를 두고 있습니다. AI가 채용·심사·평가에 관여한다면 이 절차와 AI기본법 제34조제1항제2호의 설명 방안을 함께 설계하는 편이 효율적입니다.

구체적인 조문과 적용 범위는 개인정보 보호법 원문(자동화된 결정은 제37조의2)과 개인정보보호위원회 안내에서 확인할 수 있습니다. 개인정보 처리의 적법성에 관한 개별 판단이 필요한 경우 전문가 검토를 권합니다.

생체인식정보의 별도 검토

제2조제4호 바목은 범죄 수사나 체포 업무를 위한 생체인식정보의 분석·활용을 고영향 영역으로 열거합니다. 이 조항은 생체인식정보를 얼굴·지문·홍채 및 손바닥 정맥 등 개인을 식별할 수 있는 신체적·생리적·행동적 특징에 관한 개인정보로 설명합니다.

얼굴 인식 출입, 음성 인증처럼 생체 특징을 다루는 기능은 개인정보 보호법상 민감한 처리에 해당하는지와 AI기본법상 영역 해당 여부를 함께 확인해야 합니다.

AI 영향평가와 개인정보 영향평가의 구분

시행령 제28조제1항은 영향평가에 담을 사항으로 영향받을 가능성이 있는 개인이나 집단의 식별, 영향을 받을 수 있는 기본권 유형의 식별, 사회적·경제적 영향의 내용과 범위 등을 들고 있습니다. 이 과정은 개인정보 영향평가와 목적이 다르지만 조사 대상이 겹칩니다.

따라서 두 평가를 완전히 따로 진행하기보다, 데이터 흐름도와 처리 목록을 한 번 만들어 양쪽에서 쓰는 방식이 실무 부담을 줄입니다.