검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'인정'통합검색 결과 입니다. (197건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

가명처리된 정보 활용, SKT는 무죄·스캐터랩은 유죄...왜?

가명처리된 개인정보를 활용한 두 기업에 대해 법원이 서로 다른 판단을 내리면서, 개인정보보호법 해석의 기준과 일관성 관련해 의문이 제기된다. SK텔레콤은 가명정보를 본인 동의 없이 활용한 사례에서 법원의 정당성을 인정받았지만, 인공지능 챗봇 '이루다'를 개발한 스캐터랩은 같은 법 아래에서 위법 판결을 받았기 때문이다. 두 사례 모두 가명처리를 했다는 공통점이 있지만, 활용 목적과 식별 가능성 수준의 차이가 판결의 갈림길이 된 것으로 분석된다. 법원 "SK텔레콤은 식별 위험 낮아” vs "스캐터랩은 식별 가능성 존재" 정부는 지난 2020년 개인정보보호법을 개정해 가명 처리된 개인정보를 통계 작성, 과학적 연구, 공익적 기록 보존 등을 목적으로 하는 경우 본인 동의 없이도 활용하거나 제3자에게 제공할 수 있도록 허용했다. 디지털 경제 활성화를 위한 데이터 산업 육성이 입법 취지였다. 대법원은 지난 1일 SK텔레콤 가입자들이 제기한 '가명처리 중단' 소송에서 원고 청구를 기각했다. SK텔레콤이 가입자의 개인정보를 가명 처리해 제3자에게 제공한 행위가 개인정보보호법에 위반되지 않는다고 판단한 것이다. 재판부는 “SK텔레콤의 가명처리는 통계 작성과 연구 목적으로 이뤄졌으며, 개인정보에 대한 식별 위험성을 낮추는 방식”이라며 “가명정보의 활용은 사생활 침해 위험이 발생하는 일반적인 개인정보 처리와 구별된다”고 판시했다. 반면 1심 법원은 지난 6월 이루다 개발사 스캐터랩에 대해 개인정보보호법 위반으로 위자료를 배상하라고 판결했다. 스캐터랩 측은 가명 처리된 카카오톡 메시지를 활용했으며, 개발 목적이 과학적 연구라고 주장했지만 받아들여지지 않았다. 당시 재판부는 “스캐터랩의 가명처리는 특정 개인의 식별 가능성을 완전히 배제하지 못했다”며 “이루다 개발은 상업적 목적의 챗봇 제작으로, 개인정보보호법이 허용하는 과학적 연구에 해당하지 않는다”고 판단했다. 핵심 쟁점은 '식별 가능성'과 '목적의 정당성' 법률 전문가들은 두 사건 간 판결이 달라진 핵심으로 ▲가명처리 수준의 차이와 ▲활용 목적의 정당성 여부를 지적하고 있다. 구태언 법무법인 린 변호사는 “SK텔레콤은 적절한 방식으로 가명처리를 수행했고, 데이터 활용 목적도 법에서 정한 공익적 범위에 해당한다”며 “반면 스캐터랩은 가명처리가 불충분했고, 상업적 용도로 활용한 점에서 문제가 된 것”이라고 설명했다. 보안 업계 관계자도 “가명 처리했다고 해서 자동으로 식별 가능성이 사라지는 것은 아니다”라며 “가명정보와 원본 데이터를 연결할 수 있는 키가 존재할 경우 언제든지 개인을 특정할 수 있다”고 지적했다. 가명정보는 민감한 개인정보를 보호하면서도 산업·연구 목적으로 데이터를 활용할 수 있도록 하는 대안으로 주목받아 왔다. 그러나 처리 수준에 따라 사생활 침해 우려가 발생할 수 있고, 중소기업이 이를 감당하기 어려운 경우도 많아 제도적 보완 필요성이 제기된다. 고려대 정보보호대학원 권헌영 교수는 “가명정보라 하더라도 원칙적으로 동의 없이 제3자에게 제공되는 것은 위험 요소가 존재한다”며 “가명처리는 대규모 인프라를 갖춘 기업 중심으로 이뤄지고 있어, 일반 기업이 이를 제대로 수행하기는 쉽지 않다”고 말했다. 이어 “현재는 가명처리된 정보를 특정할 수 있다면 이를 활용한 주체가 개인정보를 수집한 것으로 간주한다”면서 “불법 활용을 막기 위해서는 민감정보를 별도 처리하거나, 정보 제공자가 명시적으로 제외를 요청할 수 있도록 제도를 정비할 필요가 있다”고 강조했다. 책임 있는 활용 위한 기술적·제도적 기준 필요 전문가들은 앞으로 가명정보의 안전한 활용을 위해 기술적 기준뿐 아니라, 사업자 책임·정보보호 가이드라인 강화 등 제도 전반의 재정비가 필요하다고 강조한다. 보안 업계에서는 '태깅 처리' 방식이 하나의 대안으로 제시되기도 한다. 정보에 키워드를 부여하고 원본과 분리된 상태로 데이터를 유통하면 원본 식별 가능성을 줄일 수 있다는 것이다. 업계 전문가는 "결국 개인정보 가명처리는 단순한 기술 문제가 아닌, 책임성과 투명성 확보의 문제라는 점에서 제도적 보완이 병행돼야 한다"며 "동일한 법 아래에서 전혀 다른 결론이 나오는 상황은 법 적용의 일관성과 예측 가능성을 떨어뜨리는 요인이 될 수도 있다"고 우려하기도 했다.

2025.08.06 15:55박서린

주민번호 무단수집 '삼국지전략판' 쿠카게임즈...과징금 철퇴

중국 게임사인 쿠카게임즈가 국내 이용자들의 주민등록번호를 무단 수집해 과징금이 부과됐다. 24일 개인정보보호위원회(이하 개인정보위)는 개인정보 보호 법규를 위반한 쿠카게임즈에 대해 과징금 9천370만원을 부과하고, 적법 근거 없이 주민등록번호를 처리하지 않도록 시정명령했다고 밝혔다. 쿠가게임즈는 모바일 게임 '삼국지 전략판'에서 이벤트를 진행하고 당첨자를 대상으로 이름과 주소, 연락처와 함께 주민등록번호 41건을 수집했다. 개인정보위 조사 결과 쿠카게임즈는 "이벤트 경품으로 주류 지급을 위해 경품 지급 대상의 연령을 확인하고자 주민등록번호를 수집했다"고 소명했다. 다만 개인정보보호법에서는 주민등록번호는 대통령령 이상의 법령에서 구체적으로 처리를 요구·허용한 경우와 같이 예외적일 때만 처리를 허용하고 있다. 개인정보위 측은 "주민등록번호는 유출 시 다른 개인정보에 비해 정보주체에게 미치는 피해와 사회적 문제가 심각할 수 있다"며 "개인정보를 처리하는 사업자가 법령에 주민등록번호를 처리할 수 있는 구체적인 근거가 없다면 주민등록번호를 수집·처리하지 않아야한다"고 당부했다.

2025.07.24 16:31정진성

루이비통 고객 42만명 개인정보 유출에…홍콩 당국, 조사 돌입

홍콩 프라이버시 감시 기관이 루이비통 고객 데이터 유출 사건에 대해 조사 중이다. 21일(현지시간) 블룸버그 등 외신에 따르면 루이비통 홍콩 대변인은 유출된 고객 정보에 ▲이름 ▲여권번호 ▲생년월일 ▲주소 ▲이메일 ▲전화번호 ▲구매 이력 및 제품 선호도가 포함돼 있으나 ▲결제 정보는 해당되지 않는다고 밝혔다. 홍콩 개인정보보호위원회는 이 사건을 조사 중이며 당국에 대한 통지 지연 여부도 조사 대상에 포함된다고 언급했다. 다만, 현재까지 이번 유출과 관련된 민원이나 문의는 접수되지 않았다고 부연했다. 이번 홍콩 데이터 유출은 이달 초 영국와 한국에서 발생한 유사한 사건들에 이어 발생한 것이다. 이달 4일 루이비통코리아는 보안 관련 사고가 지난달 8일 일어났다고 하며 “권한 없는 제3자가 당사 시스템에 일시적으로 접근해 일부 고객 정보가 유출됐다”고 말한 바 있다. 루이비통과 같은 명품 그룹에 속해 있는 디올도 지난 5월 고객 정보가 유출되는 사이버 공격을 겪었다. 홍콩 개보위는 루이비통 본사가 지난달 13일 컴퓨터 시스템에서 의심스러운 활동을 발견했고 이달 2일 홍콩 고객이 영향을 받았다는 사실을 확인했다고 발표했다. 같은 날 홍콩지사는 사건 사실을 통보 받았으며 지난 17일 유출 보고서를 제출했다. 루이비통은 “무단 접근자에 의한 일부 고객 데이터 접근이 있었음을 확인한 후 사이버 보안 전문가의 지원을 받아 사건을 조사하고 통제하기 위한 조치를 즉시 취했다”고 말했다. 이어 “규제 당국 및 피해 고객에게 통보하고 있으며 시스템 보안을 강화했다”고 덧붙였다.

2025.07.22 09:50박서린

김우영 의원 "유심 정보도 암호화 의무대상 포함해야"

국회 과학기술정보방송통신위원회 소속 김우영 의원(더불어민주당)은 가입자식별모듈(SIM) 등 필수적인 개인정보를 규정해 이동통신 서비스 이용자의 개인정보를 보다 안전하게 보호하는 취지의 개인정보보호법 개정안을 발의했다고 7일 밝혔다. 현행 개인정보보호법에서는 고유식별정보를 암호화해 분실, 도난, 유출, 위조, 변조 또는 훼손의 위험으로부터 안전하게 보관하도록 규정하고 있으나 유심 정보는 이동통신 서비스의 필수적인 정보임에도 암호화가 의무적으로 적용되지 않아 개인정보 유출 사고가 발생할 때 이용자를 보호할 수 있는 근거가 부족했다. 이에 따라, 개정안은 제 29조에 규정하는 안전조치 의무에 접속기록 보관뿐 아니라 고유식별정보, 생체인식정보, 범용가입자식별모듈(USIM) 정보를 포함했다. 이를 통해 이동통신 서비스를 이용하면서 이용자가 제공하는 개인정보를 침해사고로부터 안전하게 보호할 근거가 마련될 것으로 기대된다. 김우영 의원은 “정보보안 정책 방향성이 정보통신망에서 데이터 중심으로 이동하는 만큼 기존 법안에서 안전조치의무대상이 아니었던 가입자식별모듈도 암호화 의무대상에 포함해야 한다”고 말했다.

2025.07.07 11:33박수형

예스24, 이제야 KISA에 'SOS'…서비스 정상화 계획대로 될까

홈페이지, 앱 먹통 사태가 계속되고 있는 인터넷 서점 예스24가 사고 나흘이 지나서야 한국인터넷진흥원(KISA)에 협력을 요청했다. 해킹을 당한 직후 기술지원 요청을 하지 않고, 4일 차에 접어들어서야 협력한 배경에 관심이 쏠린다. 12일 KISA에 따르면 이날 오전 예스24는 KISA에 홈페이지, 앱 접속 불능 사고에 대한 기술지원을 요청했다. KISA 관계자는 “오전 11시에서 11시 30분 사이 예스24가 기술지원을 요청했다”며 “기술지원을 요청함에 따라 지금 원인을 분석 중”이라고 말했다.이어 “원인 조사는 피해 확산, 재발 방지에 초점이 맞춰질 것”이라고 덧붙였다. 예스24가 KISA에 기술 지원을 요청한 것은 이번 사태가 발생한지 나흘만이다. 앞선 지난 9일 새벽 4시 예스24는 랜섬웨어의 공격으로 홈페이지와, 앱 접속이 불가능해지면서 도서 주문부터 공연 예매, 이(e)북 열람까지 주요 서비스 전반이 모두 마비됐다. 당초 예스24는 이번 사건과 관련해 “시스템 장애”라는 입장을 고수했으나 랜섬웨어에 의한 장애라는 사실이 알려지자 뒤늦게 해킹 사실을 인정해 빈축을 산 바 있다. 예스24 실책은 또 있다. 이후 발표한 사과문에서 “KISA 등과 함께 사고 원인 분석, 피해 사실 여부 파악에 최선을 다하고 있다”고 했으나 이는 사실이 아니었다. KISA가 “예스24와 협력해 조사한 사실이 없다”고 반박문을 내면서 예스24 발표는 거짓 해명으로 드러났다. 사고 파악을 위해 예스24 본사로 KISA 분석가들이 두 차례 방문했음에도 기술지원에 동의하지 않다가, 사건이 장기화되자 부랴부랴 기술지원에 동의한 것이 아니냐는 의문도 나온다. 예스24가 지난 11일 저녁 낸 2차가 입장문에서 밝힌대로, 오늘 2시 30분경 일부 공연 제작사의 공연 현장 입장처리 시스템이 복구되기 시작했다. 뮤지컬 '매디슨 카운티의 다리', '구텐버그'의 제작사 쇼노트는 공식 인스타그램을 통해 “예스24 예매자 정보가 복구돼 신분증 지참 혹은 예매 내역, 개인정보 확인으로 티켓 수령이 가능하다”고 안내했다. 이에 예스24가 주장대로 도서 등 주요 서비스가 하루 이틀 내 순차적으로 복구될지 여부에도 이목이 쏠린다. 회사 측은 늦어도 15일까지 모든 시스템을 복구하겠다고 밝혔었다. 예스24 관계자는 “판매 페이지, 좌석 등을 확인해야 공연에 입장할 수 있어 공연 기획사가 볼 수 있는 페이지가 가장 먼저 열렸다”며 “나머지 서비스의 복구는 명확한 시간을 장담하기 어렵다”고 말했다.

2025.06.12 15:47박서린

"고객사 정보 유출 정황"…세일즈포스, 개인정보위 조사 받는다

세일즈포스가 고객사 개인 정보 유출 정황 건으로 국내 정부 조사를 받는 것으로 전해졌다. 11일 IT 업계에 따르면 최근 세일즈포스의 고객관계관리(CRM) 솔루션 사용 기업 대상 개인정보 유출 시도가 발생해 개인정보보호위원회가 관련 조사에 들어간 것으로 파악됐다. 세일즈포스는 전 세계 15만 개 기업에 CRM 서비스를 제공하고 있다. 개인정보위는 세일즈포스 국내 고객사에서 개인정보 유출 신고가 있었다고 밝혔다. 이에 정확한 현황 파악과 세일즈포스 개인정보 보호 취약점 여부에 대한 사실관계 확인 절차를 시작했다. 앞서 세일즈포스 IT팀 직원으로 속인 보이스피싱범이 고객사에 악성코드앱 설치를 유도한 후 개인정보를 탈취했다는 구글클라우드 보고서 결과도 나온 바 있다. 개인정보위는 "세일즈포스 시스템을 이용하는 국내기업에 시스템 보안 점검을 비롯한 피싱 예방 교육 실시, 관리자 계정에 대한 다중 인증 적용 등 개인정보 보호 활동을 강화해달라고 당부했다"고 말했다.

2025.06.11 14:44김미정

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

개인정보위 처벌 세진다···"징벌적 손해배상 수준 높일 것"

SK텔레콤(SKT)에서 2600만 개인정보가 털려 나가자 징벌적손해배상을 해야 한다는 목소리가 커졌다. 고학수 개인정보보호위원장은 21일 서울 중구 은행회관에서 한국개인정보보호책임자(CPO)협의회와 '개인정보 정책 포럼'을 열고 이같이 발표했다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 밝혔다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 말했다. 현재 개인정보위는 개인정보유출 기업에 대해 과태료와 과징금만 부과하고 있다. 강대현 개인정보위 조사총괄과장도 “징벌적 손해배상 수준으로 처벌 수위를 높여 정보주체가 당한 피해를 실질적으로 구제하겠다”며 “구체적으로 피해를 보상하는 방안과 과징금을 부과하는 기준을 연계하도록 추진할 것”이라고 강조했다. 고낙준 개인정보위 신기술개인정보과장은 “기업이 정보주체 피해를 보상하면 과징금을 감면하는 방법을 생각하고 있다”며 “과징금과 과태료만으로는 실제 피해를 구제하는 데 한계가 있다”고 지적했다. 그러면서 “SK텔레콤이 개인정보를 암호화하지 않았던 게 문제”라며 “법정 의무 암호화 대상이 아닌 개인정보도 암호로 만들었다면 개인정보가 유출됐다고 해도 과징금을 줄여줄지 검토하고 있다”고 덧붙였다. 개인정보위는 이런 대책에 각계각층 의견을 받아 다음 달 방침을 확정하기로 했다. 아울러 SK텔레콤 사고로 큰 위기를 맞았다고 봤다. 강 과장은 “최근 개인정보 유출 사고는 해킹 같은 사이버 범죄로 규모가 커졌다”며 “작은 물구멍이 커져 댐이 무너지듯 일어난다”고 짚었다. 지난달 국내에서 유출된 개인정보는 SK텔레콤 2500만건에 기타 1100만건을 더한 3600만건으로, 지난해 3배다. 지난해에는 1377만건 빠져나갔다. 고 과장은 “SK텔레콤 고객 정보 유출 사고는 인공지능이 발전하는 시대 핵심인 믿음을 무너뜨린 중대한 사건”이라며 “100만명 이상 개인정보를 취급하는 기업을 중심으로 새로운 기준을 적용하려고 한다”고 설명했다.

2025.05.21 22:55유혜진

"개인정보 유출 기업이 불법유통 추적해야"

더불어민주당 이정문 의원이 개인정보 유출 기업과 기관의 사후 책임을 강화하는 개인정보 보호법 개정안을 대표발의 했다고 1일 밝혔다. 최근 SK텔레콤 사이버 침해사고를 비롯해 대규모 개인정보 유출 사고가 반복되고 있으나, 현행 개인정보보호법에는 유출된 개인정보의 불법유통을 추적하고 확산을 방지하는 사후 조치에 대한 의무는 없다. 이에 따라 개정안은 일정 규모 이상의 개인정보 유출 사고 발생 시 기업에 추가적인 의무를 부과하는 내용을 담았다. 구체적으로 ▲1천명 이상의 정보주체에 관한 개인정보 유출 ▲민감정보, 고유식별정보 유출 ▲개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의한 개인정보 유출 시 2년간 유출된 정보의 불법유통 여부를 모니터링하고 모니터링 결과를 개인정보보호위원회에 보고하도록 의무화했다. 모니터링 미이행 또는 보고 의무 위반 시 3천만원 이하의 과태료 부과 조치도 마련했다. 아울러 유출된 개인정보가 불법 유통되는 것을 확인한 경우 정보를 유통하는 자를 수사기관에 고발하도록 하고, 개인정보 유출로 피해를 입은 정보주체가 해당 정보의 불법유통 의심 시 개인정보보호위원회 등 전문기관에 신고할 수 있는 법적 근거를 마련했다. 이정문 의원은 “개인정보 유출로 인한 피해는 단순히 유출 자체에서 그치지 않고, 2차·3차 피해로 확산되는 경우가 많다”며 “기업과 공공기관들이 개인정보 유출 이후에도 지속적으로 유출된 정보에 대한 책임을 지고 사후 관리를 철저히 하도록 하는 것이 개정안의 취지”라고 밝혔다. 이어 “개인정보를 수집하는 기업과 공공기관은 정보의 안전한 보호뿐만 아니라 유출사고 발생 시 사후 확산 방지에도 책임을 다해야 한다”면서 “이번 개정안을 통해 SK텔레콤의 대규모 개인정보 유출 초기 대응실패와 무책임한 대응과 같은 상황을 방지해 국민의 피해를 최소화하는 데 기여할 것”이라고 강조했다.

2025.05.01 12:46박수형

개인정보위, 매달 현장 상담서 마이데이터·AI규정 설명

개인정보보호위원회는 29일 부산 해운대구 가명정보활용지원센터에서 '찾아가는 개인정보 현장 상담'을 실시했다. 지난달 서울에 이어 두 번째다. 개인정보위는 올해 추진할 가명정보와 마이데이터 제도 개선 방향, '개인정보보호법' 상 인공지능(AI) 특례 규정 등을 설명했다. 법령 해석 사례와 더불어 개인정보 보호 방안과 지난달 시행된 마이데이터 서비스 제도를 안내했다. 개인정보위는 '안전지킴이'도 두고 있다. 개인정보 보호 분야에서 실무 경험과 전문성을 쌓은 퇴직공무원이 안전지킴이로 활동한다. 이들은 온라인에 유·노출된 개인정보와 불법 유통 게시물을 탐지하고, 개인정보를 보호하는 데 어려움을 겪는 스타트업·소상공인을 상담한다. 개인정보위는 연말까지 매달 전국 7개 권역에서 찾아가는 상담을 하기로 했다. 5월(서울), 6월(대구), 7월(강원), 8월(인천), 9월(서울), 10월(대구), 11월(전북), 12월(대전) 등으로 계획했다.

2025.04.29 16:56유혜진

"AI 학습 정보 수집 때도 처리방침 투명하게 공개"

정부가 기관이나 기업들이 소비자들의 개인정보를 인공지능(AI) 학습에 활용할 경우에도 처리 방침을 투명하게 밝히도록 권고했다. 개인정보보호위원회는 28일 서울 강남구 한국과학기술회관에서 '개인정보 처리 방침 작성 지침 설명회'를 열고 이같이 밝혔다. 기관이나 기업들은 개인정보보호법 제30조에 따라 개인정보 처리 방침을 투명하게 작성 및 공개해야 한다. 개인정보보호위원회는 이 조항을 AI 학습에도 적용하도록 권고했다. 임종철 개보위 서기관은 "기관이나 기업이 AI 학습용 정보를 소비자로부터 수집해 이용한다면 어떤 식으로 투명하게 할 것인지 기준을 개인정보 처리 방침에 명시하길 권한다”고 말했다. 그는 정보주체 동의 없이 처리할 수 있는 개인정보 항목과 동의가 필요한 항목도 소개했다. 회원 서비스 운영이나 판매 상품을 사후 처리(AS)하기 위해 상담하는 등 계약 체결·이행에 관한 사항은 동의 없이 처리할 수 있다. 하지만 민감정보, 고유식별정보, 개인정보 제3자 제공의 경우 계약을 체결·이행하는 일이더라도 동의를 받아야 처리할 수 있다. 소비자에게는 개인정보 관련 고충을 직접 처리하는 부서 연락처를 알려주거나, 개인정보책임자(CPO)가 책임지고 고충을 처리하는 고객센터 등 유관 부서 연락처를 공개하도록 했다. CPO 소속 부서 연락처만 기재하면 됐던 기존 규정을 좀 더 강화한 것이다. 개인정보 처리 방침 공개 방식은 좀 더 다양화했다. 이에 따라 사업자 홈페이지 첫 화면 말고도 '서비스 메뉴', '설정', '회원가입', '로그인 영역' 등에 처리 방침을 표시해도 된다. 임 서기관은 “모바일 앱 환경이 다양해져서 공개 방식을 고쳤다”며 “기존에는 반드시 홈페이지 첫 화면 아래에 처리 방침을 공개해 맨 밑으로 화면을 내려야 이를 볼 수 있었다”고 강조했다. 행태 정보를 수집·이용·제공한다거나 소비자가 거부하는 방법을 알리는 요령도 안내했다. 이동일 개보위 사무관은 “사업자는 인터넷 쿠키와 맞춤형 광고를 차단하는 방법 등 정보 주체가 거부권을 행사할 방법을 제시해야 한다”며 “웹브라우저에 저장된 쿠키 삭제, 제3자 쿠키 삭제, 모든 쿠키 삭제 등 단계별로 맞춤형 광고를 차단할 수 있다”고 설명했다. 이날 설명회에는 공공·민간 부문 개인정보처리자 400명이 참석했다.

2025.04.29 16:05유혜진

[기고] 대한민국이 AI 강국으로 가는 길, 데이터 활용의 딜레마를 넘어

개인정보보호위원회가 주관해 상정하고 지난 2월 국가인공지능위원회가 심의해 채택한 '인공지능(AI) 데이터 확충 및 개방 확대방안'은 AI 시대를 맞아 우리나라가 경쟁력을 갖추기 위한 본격적인 첫걸음이라고 할 수 있다. 국가인공지능위원회는 이 방안을 채택하면서 AI 기반의 디지털 전환이 가속화되는 시대에 대응하고 AI 경쟁력을 높이기 위한 양질의 데이터를 보다 많이 확보하며 이를 적극적으로 활용할 수 있는 정책 마련을 목표로 삼았다. 이 의안에서 무엇보다 주목할 점은 AI 정책의 최상위 거버넌스 기구인 국가인공지능위원회가 AI 발전을 위해 데이터 접근이 필수적이라는 점을 공식적으로 인정했다는 것이다. 이는 데이터 활용을 둘러싼 사회적 인식과 정책 방향에 중요한 전환점이 될 수 있다. 다만 보다 중요한 과제는 이 방안의 취지를 뒷받침할 수 있는 구체적이고 실행력 있는 후속 정책을 신속히 마련한 후 실제 집행으로 이어가는 일이다. 이 과정에서 AI 모델이 실제로 어떻게 설계되고 학습되는지를 이해하는 것이 필수적이다. 산업 현장과 기술의 현실을 충분히 고려하지 않은 채 이론에만 머무는 논의는 오히려 과도한 규제나 비현실적인 기준으로 이어져 혁신을 저해할 위험이 있다. 이번 의안은 AI가 학습에 필요한 데이터를 활용할 때 정보주체의 '동의'만을 유일한 법적 근거로 삼지 않겠다는 취지를 담고 있다. 이는 동의를 받기 어려운 현실적인 제약과 형식적인 동의가 오히려 개인정보 보호를 약화시킬 수 있다는 문제의식에서 출발한 것이다. 동의 외에도 정당한 이익, 공익 목적, 가명정보 활용 등 다양한 법적 근거를 합리적으로 마련하면 데이터 활용의 유연성을 높이고 AI 혁신의 기반도 한층 더 강화할 수 있다. 결국 어떤 대안을 채택하고 그 기준을 어떻게 설계하느냐에 따라 한국 사회가 나아갈 AI 시대의 방향은 크게 달라질 것이다. '계약의 필요성(제15조 제1항 제4호)'과 '정당한 이익(같은 항 제6호)'은 개인정보보호법상 동의에만 의존하기 어려운 현실을 보완할 수 있는 중요한 법적 근거다. 지난해 12월 개인정보보호위원회가 공개한 개인정보 처리 통합 안내서에서도 이 두 근거의 적용 범위를 넓히려는 방향성을 확인할 수 있다. 이 방향성은 데이터 활용의 현실성과 기술 발전의 속도를 함께 고려하려는 시도의 일환이라고 볼 수 있다. AI 학습에는 필연적으로 대규모 데이터의 활용이 요구되며 이를 뒷받침하려면 기술적 맥락과 사회적 현실을 반영한 유연한 법적 근거가 필요하다. 그런 점에서 '계약의 필요성'과 '정당한 이익'의 적극적인 해석과 적용은 앞으로의 AI 정책과 데이터 활용 논의에서 핵심적인 역할을 하게 될 것이다. AI 모델의 발전은 이제 단순한 IT 기술의 문제가 아니라 국가 경제 전반의 경쟁력과 대한민국 사회 전체의 이익과 직결된 과제가 됐다. 기업들은 경쟁력 있는 AI 기술을 학습하고 고도화하는 일을 생존 전략의 일부로 받아들이고 있으며 일반 국민 역시 AI 기술을 통해 보다 나은 서비스를 누릴 기회를 기대하고 있다. 한국 사회의 현실을 제대로 반영하는 AI 기술을 개발하기 위해서는 국내 이용자에 기반한 데이터가 필수적이다. 우리의 언어, 지리, 문화적 맥락을 반영하지 못하는 기술은 결과적으로 편향되거나 차별적인 판단을 내릴 수밖에 없다. 이러한 문제는 AI가 우리의 일상 속으로 깊이 들어오고 있는 지금 중대한 사회적 문제로 부상하고 있다. 결국 해답은 데이터 접근성의 획기적 확대에 있다. 이미 세계 각국은 데이터 주도권 확보를 위한 경쟁에 돌입했다. 유럽 개인정보보호이사회(EDPB)는 AI 학습을 위한 적법 근거로 '정당한 이익'을 명시했고 일본은 개인정보보호법 개정을 통해 일정한 요건 하에서는 동의 없이도 AI 학습 데이터 활용을 허용하는 방안을 추진 중이다. 이제 우리도 더 이상 논의를 미룰 수 없다. AI 시대에 걸맞은 구체적이고 실행 가능한 법적 기준을 마련해야 할 때다. 데이터 활용과 개인정보 보호는 대립하는 개념이 아니라 조화를 이뤄야 할 정책 목표다. 이를 위한 정교한 설계가 절실하다. 이 중요한 전환점에서 가장 필요한 것은 현장의 현실을 반영한 제도다. 기술을 직접 개발하고 데이터를 다루는 이들의 목소리를 반영하지 못한 규제는 결국 우리 스스로의 경쟁력을 제약하는 결과를 낳게 된다. AI 강국을 향한 우리의 여정이 규제의 그늘 속에 가로막힐 수 있다는 지적에 귀를 기울어야 할 것이다.

2025.04.14 17:17조경식

[AI는 지금] "개보위, 中 AI 옹호"…딥시크에 긍정 신호 보낸 고학수 위원장, 이유는?

중국 딥시크의 국내 진출 여부를 둘러싼 논란이 이어지는 가운데 개인정보보호위원회가 오픈소스 기반 인공지능(AI) 모델 활용에 긍정적인 입장을 밝혔다. 중국 기업의 앱 자체를 옹호한 것이 아니라 딥시크 등의 오픈소스 생태계 확장이라는 기술 전략에 지지를 표한 것으로 보인다. 24일 업계에 따르면 고학수 개인정보보호위원회 위원장은 최근 한 세미나에서 딥시크 오픈소스 모델의 활용 가능성을 언급하며 '글로벌 빅테크가 아닌 기업도 도전할 수 있는 기회'라고 표현했다. 해당 발언은 지난달 국내 앱스토어에서 자진 철수한 딥시크 앱과는 별개로 발전하고 있는 오픈소스 기술 흐름을 짚은 것으로 평가된다. 딥시크는 중국발 오픈소스 거대언어모델(LLM) 스타트업으로, 지난 1월 이후 전 세계 AI 생태계를 신속히 장악했다. 오픈AI, 앤트로픽, 구글 딥마인드 등 미국·영국 프런티어 AI 기업들이 천문학적 자금을 투입한 것과 달리 적은 비용으로 고성능 모델을 구현한 데다 오픈소스로 공개돼 폭발적인 관심을 받았다. 퍼플렉시티 등 해외 LLM 서비스 기업들은 이미 딥시크를 로컬 환경에 설치해 운영 중이다. 최근에는 국내 기업들도 이를 기반으로 특화 모델 개발에 나서고 있다. 뤼튼테크놀로지스와 이스트소프트는 지난 2월 딥시크 모델을 자체 클라우드 환경에 구축해 운영을 시작했다. 크라우드웍스는 일본 법인을 통해 딥시크 R1 기반 일본어 모델을 개발한 뒤 이를 한국어로 확장할 계획이다. 일각에선 크라우드웍스가 딥시크 본사와 직접 계약을 맺고 한국어 모델을 공동 개발했다고 주장했지만 이는 사실이 아닌 것으로 확인됐다. 크라우드웍스 측이 지난 23일 딥시크 본사와 계약한 적이 없으며 회사가 활용 중인 모델은 앱이 아닌 설치형 B2B 버전이라고 해명했기 때문이다. 데이터가 중국 서버로 전송되는 B2C 앱과는 구조적으로 다르다는 설명이다. 실제로 퍼플렉시티, 뤼튼, 이스트소프트 등의 국내 설치형 모델은 외부 인터넷과 연결되지 않는 제한된 환경에서 구동된다. 이에 따라 중국 서버로 정보가 전송될 가능성은 원천적으로 차단된다. 다만 보안업계에서는 딥시크처럼 오픈소스로 제공되는 모델이라도 로컬 환경에 도입할 경우 여전히 위험 요소가 존재한다고 지적한다. 오픈소스 특성상 코드나 가중치 파일에 악성 코드가 삽입될 수 있으며 모델 로딩 과정에서 시스템 취약점을 노린 침투 가능성도 배제할 수 없기 때문이다. 또 일부 개발자가 모델에 내장된 안전 장치를 우회하거나 변형 모델을 제작할 경우 유해한 콘텐츠나 악성 코드를 생성하는 방식으로 악용될 수 있다. 특히 딥시크는 경쟁 모델에 비해 보안 업데이트나 코드 감사가 부족하다는 평가도 있어 도입 시 철저한 검증과 보안 관리가 필요하다는 지적이 잇따른다. 실제로 김승주 고려대학교 정보보호대학원 교수는 최근 자신의 링크드인을 통해 "딥시크를 PC나 클라우드에 설치해서 쓰면 운영주체가 중국이 아니기 때문에 안전하다는 말이 돈다"며 "이는 굉장히 위험한 생각"이라고 지적했다. 그럼에도 고 위원장이 딥시크를 위시한 오픈소스 LLM에 주목한 이유는 분명하다. 자본과 인프라가 부족한 국내 AI 생태계가 낮은 진입 장벽을 바탕으로 글로벌 경쟁에 도전할 수 있다는 점 때문이다. 업계에선 이 같은 메시지를 한국 정부가 추진 중인 '월드 베스트 LLM' 프로젝트와 맞물려 해석하는 분위기다. 정부는 국가 차원의 대규모 언어모델 개발을 위해 파운데이션 모델을 오픈소스로 공개하고 공공 중심의 활용 사례를 확산하겠다는 계획을 밝힌 바 있다. 이 프로젝트는 지난 2월 과학기술정보통신부가 발표한 'AI R&D 전략 고도화 방안'에 핵심 과제로 포함됐다. 정부는 향후 3개월 이내 'AI 국가대표팀'을 선발해 연구 자원과 데이터를 집중 지원하고 공공 데이터를 기반으로 한 특화 모델 개발을 유도할 방침이다. 업계에선 딥시크 사례가 이 같은 흐름을 촉발하는 계기가 됐다는 평가도 나온다. 고성능 언어모델을 오픈소스를 통해 낮은 비용으로 구현할 수 있다는 점이 확인되면서 '챗GPT'나 '클로드' 등 프런티어 AI를 빠르게 따라잡을 수 있다는 기대가 생겼다는 분석으로, 보안만 보장된다면 무료로 실사용도 가능하다는 인식이 퍼진 것이 정책 전환에 영향을 미쳤다는 해석도 제기된다. 고학수 개인정보보호위원회 위원장은 "딥시크 등의 모델에는 분명 잠재적인 불안 요소가 있지만 빅테크가 아니어도 적은 투자를 통해 세계 시장에 도전할 수 있다는 메시지를 줬다"며 "이러한 오픈소스를 통해 국내에서도 다양한 앱 서비스를 만들 수 있을 것"이라고 말했다. 이어 "향후에 보다 넓은 생태계를 구축해야 한다고 믿는다"며 "자유로운 혁신의 한 축은 열린 모델을 통해 새로운 응용 생태계를 형성하는 것이라 생각한다"고 말했다.

2025.03.24 16:16조이환

KCL, 한국항만협회와 항만자재 품질인증제도 활성화 업무협약

KCL(한국건설생활환경시험연구원·원장 천영길)은 한국항만협회(회장 강범구)와 '항만건설자재의 품질인증제도 도입 및 활성화를 위한 업무협약'을 체결했다고 밝혔다. KCL과 항만협회는 협약에 따라 항만 건설자재 품질인정 절차개발과 제도화에 협력하는 한편, 품질인정 시험전문기관 인정 업무와 항만 산업 안전관리에 대한 국가 연구개발(R&D)을 공동 수행한다. 항만협회는 1976년에 설립된 해양수산부 특수법인으로 국내 항만·어항 설계와 시공에 관련한 기술기준을 총괄 관리·운영·개발하는 항만시설 기술기준 전문기관이다. KCL은 항만용 방충재 시험평가 설비를 구축해 국내·외 최신 시험규격을 적용한 성능시험을 수행하고 있다. 건설기술진흥법에 따른 항만용 방충재 품질검사를 시행할 수 있는 국내 유일한 기관이다. 천영길 KCL 원장은 “항만 건설자재 품질은 안전하고 지속가능한 시설물을 구축하는 필수적인 요소로 국가 기반시설물인 항만의 안정적인 운용을 위하여 엄격한 관리가 중요하다”며 “두 기관의 인프라와 경험을 바탕으로 항만 시설물과 선박의 안전 확보에 기여할 것”이라고 말했다.

2025.03.12 17:17주문정

"中에 220배 뒤처져"...자율주행차 발목잡는 규제

“지난해까지 중국 바이두가 쌓은 자율주행 운행 기록이 1억1천만km였다. 국내 1위 업체로 평가받는 오토노머스에이투지가 50만km로 약 220배 차이가 난다. 방대한 데이터 차이를 극복하려면 양질의 데이터를 수집할 수 있게 해야 한다.” 이상동 한국자율주행산업협회 팀장은 지난 27일 열린 '자율주행 산업 지원 국회 토론회'에서 이같이 말했다. 최근 중국 스타트업이 내놓은 AI 모델 '딥시크'가 저성능 칩으로 충격적인 성능을 보여주자 BYD와 지리 등 현지 자동차 기업들이 잇따라 자율주행 기술에 딥시크를 활용하겠다고 나섰다. 일찍이 자율주행 기술을 내세워온 테슬라도 지난해 말 완전자율주행(FSD) 소프트웨어 최신 버전을 업데이트하고, 오는 6월 이를 기반으로 한 로보택시 서비스를 예고하는 등 기술 고도화에 집중하는 추세다. 해외 기업들이 실제 주행 데이터를 수집하고, 이를 토대로 기술을 고도화하는 반면 우리나라는 데이터 수집 제한 규제로 양적 격차가 크게 벌어지고 있다는 지적이다. 이상동 팀장은 “AI 기업과 자율주행 기업, 완성차 기업들이 경계선 없이 넘나들면서 협업을 하며 AI 학습을 위한 데이터 수집과 활용이 중요하게 됐다”며 “국내에 자율주행차가 돌아다니려면 국내 환경에 맞는 최적화 데이터가 꼭 필요하다”고 강조했다. 특히 국가 차원에서 양질의 주행 데이터를 수집하는 것이 바람직하다고 봤다. 영세한 스타트업도 산업에 진입할 수 있게 하자는 취지다. 지난 2023년 개인정보보호법 개정에 따라 '이동형 영상정보처리기기'라는 개념으로 주행 영상을 데이터로 활용할 수 있는 법적 근거가 마련됐다. 그러나 데이터의 질적 측면에서 미국, 중국 등 자율주행 기술에 공들이는 국가 대비 여건이 불리하다는 지적이다. 이 팀장은 “테슬라로 예를 들면, 500만대 차량이 도로를 주행하며 사고가 발생하면 당시 영상을 그대로 본사에 전송함에 따라 그 데이터를 자율주행 AI 성능 개선에 활용하고 있다”며 “이런 회사와 규제 샌드박스 차량 몇십 대의 주행 데이터를 토대로 기술을 개발하는 (우리나라) 회사 간 경쟁력이 어디에 있겠나”라고 강조했다. 특히 현 제도 하에서 주행 영상 데이터를 활용할 때 개인정보 비식별화 처리 과정을 거치게 하는 점을 문제 삼았다. 비식별 처리된 영상을 학습한 AI보다 원본 영상을 학습한 AI가 객체 인식이나 주행 판단의 정확도가 17% 이상 높아졌다는 연구 결과를 소개했다. 이 팀장은 “특히 야간 주행, 악천우 등 복잡한 도심 환경에서 원본 주행 영상의 활용 가치가 더욱 올라간다”고 덧붙였다. 우리나라에선 설정된 규칙에 따라 자율주행 AI 모델이 주어진 상황을 인지하고 제어하는 반면, 테슬라 등 선도 기업들은 AI가 사람처럼 새로운 상황에서도 적절한 판단을 할 수 있도록 엔드투엔드(E2E) 방식을 쓰고 있는 점에도 주목했다. E2E 방식 자율주행 AI 성능을 개선하기 위해 더욱 양질의 주행 데이터가 요구되고 있다는 분석이다. 이 팀장은 “결국 모든 사례를 사전에 정의할 수 없기 때문에, 정의된 내용을 벗어나는 사례에서 자율주행 AI가 어떻게 대응할지 모른다는 기술적 어려움이 있다”고 첨언했다. 규제 샌드박스를 통해 원본 주행 데이터 활용이 일부 허용되고 있지만, 대규모 개발 프로젝트에는 한계가 있어 많은 기업들이 비식별 처리된 영상 데이터를 사용할 수밖에 없는 상황이다. 이 팀장은 “규제 샌드박스는 일시적인 예외를 두는 제도인데 자율주행 산업은 계속 고도화해나갈 산업”이라며 “원본 주행 데이터 활용에 대한 지속적인 법적 근거가 마련돼야 한다”고 주장했다.

2025.02.28 18:37김윤희

[보안리더] 염흥열 CPO협의회장 "개인정보 지키면서 활용하는 PET 주목"

“기업에서 개인정보가 유출되면 전체 매출액의 최대 3%를 과징금으로 내야 합니다. 다만, 전체 매출액에서 위반 행위와 관련이 없는 매출액을 제외합니다. 매우 중요한 개인정보가 빠져나갔으니 벌을 받는 셈이죠. 그만큼 기업이나 기관의 개인정보보호책임자(CPO) 어깨가 무겁습니다.” 염흥열 한국개인정보보호책임자협의회장은 최근 서울 강남에서 지디넷코리아와 만나 “개인정보보호책임자 모임이 이제 막 첫발을 떼었다”며 이같이 말했다. 개인정보보호책임자는 영어로 CPO(Chief Privacy Officer)라고 부른다. CPO는 조직에서 개인정보 보호 계획을 세우고 시행하는 책임을 진다. 개인정보 처리 실태를 조사하고, 개인정보가 새어 나가지 않도록 내부 통제 시스템을 만든다. 기업과 공공기관 등에서 개인정보 처리를 책임질 CPO를 정해야 한다. 소상공인기본법에 따른 소상공인은 사업주 또는 대표자가 CPO가 된다. 이들이 모인 한국CPO협의회는 지난해 9월 출범했다. 112개 기업과 기관의 CPO들이 개인정보 보호 정책을 나누며 활동하고 있다. 부회장사는 21개다. LG유플러스, 우아한형제들(배달의민족), 카카오, 쿠팡, 삼성서울병원, 국립암센터, SK텔레콤, 한국전력공사, 삼성전자, 기아, 비바리퍼블리카(토스), KB국민은행, 국민건강보험공단, 넷마블, 한국교통안전공단, LG전자, 현대자동차, 삼성화재, 메타코리아(페이스북), KT, 한국인터넷진흥원이다. 염 회장은 순천향대 정보보호학과 명예교수이기도 하다. 전자공학과 교수로 지내다 2001년 정보보호학과를 만들었다. 한국정보보호학회 명예회장과 더불어 국제전기통신연합 전기통신표준화부문(ITU-T) 전기통신자문반(TSAG) 부의장도 맡고 있다. 아래는 염 회장과의 일문일답. -개인정보가 유출되면 CPO는 어떤 제재를 받나? “기업에서 개인정보가 유출되면 전체 매출액의 3%까지 과징금으로 내야 한다. 전체 매출액에서 위반 행위와 관련 없는 매출액은 제외되지만, 관련 없다는 사실을 기업이 자료로 입증해야 한다. 2020년 이래 카카오 등 국내 기업과 구글·메타 등 많은 해외 기업이 한국에서 수십억~수백억원 과징금을 부과 받은 적 있다. 유럽연합(EU)에서는 기업의 국내외 전체 매출액의 최대 4%를 과징금으로 물게 한다. 한국은 이보다 약한 편이다. 그래도 기업은 몇백만원 과태료보다 부담이라는 입장이다. 그만큼 CPO 역할이 중요하다. 공공기관·비영리법인·비영리단체 등은 매출액을 산정하지 않는다. 정확하게 매길 수 없어서다. '법인세법'에 의한 소득이 없으면 위반 행위 중대성에 따라 ▲500만원 이상 5천만원 이하 ▲5천만원 이상 2억원 미만 ▲2억원 이상 7억원 미만 ▲7억원 이상 18억원 등으로 구분해 기준 금액을 산정해 과징금을 낸다. 위반 행위 중대성은 개인정보보호위원회가 판단한다. 이렇게 거둔 과징금을 인재를 가르치고 연구개발(R&D)하는 데 써서 한국 개인정보 보호 수준을 더 높이면 좋겠다.” -한국의 개인정보 보호 수준이 어떤가? “세계적인 수준이다. 미국이나 EU보다 투명하고 구체적으로 기준을 정해 지킨다. EU도 어떤 기업이 소비자로부터 개인정보를 받아 적법하게 제3자에게 줄 수 있게끔 한다. 한국에서 그러려면 누가 누구에게 주는지, 왜 주는지, 이 정보를 언제 삭제할지 등을 개인정보처리방침에 세세히 명시해야 한다. 그래서 한국 규제가 깐깐하다고 느끼는 기업도 있다.” -기업이 개인정보 지키면서도 활용할 수 있는 방안이 있나? “그게 CPO들이 요즘 가장 관심 있는 일이다. 개인정보 보호 강화 기술(PET·Privacy Enhancing Technology)로, 개인정보를 최소한 수집하면서도 산업을 활성하는 기술 3가지를 주목한다. 첫째 가명정보다. 개인정보가 모두 공개된 정보라면, 익명정보는 모두 가린 정보다. 가명정보는 이 중간이다. 다른 정보와 맞춰보면 얼추 알 수 있지만 그대로는 알기 어려운 내용으로 꾸린다. 과학·연구·통계적 목적이라면 가명정보를 쓸 수 있다. 정보가 그대로 드러나는 게 아니라 이용자로부터 동의받지 않아도 제3자에게 넘길 수 있다. 둘째 동형암호다. 내 키가 170㎝라는 정보와 다른 사람 키는 165㎝라는 정보가 있다고 예를 들자. 이를 각각 암호로 만들어 결합기관에 주면 결합기관은 이를 더하거나 빼는 연산을 할 수 있다. 다만 결합기관은 이 정보 주인이 누군지 모른다. 정보 제공자가 되돌아온 결과를 보면 된다. 셋째 연합학습이다. 인공지능 시대에 맞게 개인정보도 인공지능을 활용하는 일이 잦다. 어떤 기기가 학습한 내용을 내보내면 안 되지만, 서로 다른 기기가 학습한 정보를 합쳐 또 학습하도록 하는 연합학습은 가능하다.” -정보보호업계 화두 '국가 망 보안 체계'와 '제로 트러스트'는 어떻게 보나? “국가 망 보안 체계는 N2SF(National Network Security FRAMEwork) 약자다. 지금껏 폐쇄된 공공 정보망을 열겠다는 정책이다. 그러니 '절대 믿지 말고 항상 검증하라'는 제로 트러스트(Zero Trust) 개념이 필수다. 외부 망은 당연하고 내부 망도, 모든 망은 해킹됐다고 전제하고 접근을 제한한다. 지금껏 내부 망 사용자는 믿어왔다. 외부 망 사용자는 비밀번호와 문자 인증 등 2가지 이상 인증하도록 했지만 내부 망 사용자는 비밀번호 하나면 됐다. 이제 내부 망 사용자도 이중 요소로 인증하도록 한다. 이에 새로운 보안 통제 도구가 필요하다. 기업에 새로운 시장이 열리는 셈이다.” -올해 협의회 계획은? “정책당국과 회원사가 깊게 논의할 수 있는 세미나 'KPPI(KCPO Prime Privacy Insight)'를 운영하겠다. 개인정보보호위원회와 CPO, 또 분야별 CPO끼리 교류하는 'KCPO 브릿지 포럼'도 열기로 했다. 고위관계자가 모여 정책 동향을 공유하는 'KCPO 프라이버시 서밋' 등도 주기적으로 할 예정이다. 오는 9월에는 서울 삼성동 코엑스에서 제47차 글로벌 프라이버시 총회(GPA·Global Privacy Assembly)가 개최된다. 이 총회는 세계 최대 규모의 개인정보 보호 관련 국제 회의로, 미국·EU·영국·일본 등 89개국 137개 기관이 참여한다. 이에 협의회가 적극적으로 나서 세계 개인정보 보호 전문가와 소통할 예정이다. 예비 CPO를 위한 교육 과정도 개발해 올해 시범 운영하려고 한다. CPO에 대한 자체 정책도 연구할 생각이다. 조직 형태, 예산과 인력 현황, 주요 고충을 들어 CPO 지정 현황 실태 조사를 하려고 한다.”

2025.02.25 09:23유혜진

[기고] 인공지능 시대, 무분별한 중복 규제 지양해야

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주] 인공지능(AI) 규제의 근간이 될 수 있는 인공지능기본법(AI기본법)이 지난 1월 국회에서 정부로 이송돼 공포됨에 따라 내년부터 본격적인 시행을 앞두고 있다. 이같은 상황에서 프라이버시 분야에서의 AI 규제에 관한 법안도 새롭게 발의됐다. 지난달 31일자 개인정보 보호법 일부개정법률안이 바로 그것이다. 공개된 주요 내용에 따르면 개인정보보호위원회의 심의·의결을 거친 경우 적법하게 수집한 개인정보는 AI 개발을 위해 활용할 수 있게 된다. 이 과정에서 정보주체의 권리 침해가 발생하지 않도록 사전 및 사후적 조치도 마련됐다. 다시 말해 사전적으로 개인정보 처리방침을 통한 투명성 확보 조치를 이행하도록 하고 사후적으로는 개인정보보호위원회의 주기적인 관리 및 점검을 통해 개인정보의 안전성을 확보하겠다는 계획이다. 이는 개인정보보호위원회가 올해 6대 핵심 추진과제 중 하나로 세운 AI 시대 개인정보 규율체계 혁신 과제와 궤를 같이 한다. 이미 현행 개인정보 보호법 제15조 제4항은 당초 수집 목적과 합리적으로 관련된 범위 내에서는 안전성 확보 조치를 취하였는지 여부 등을 고려해 정보주체의 동의 없이도 개인정보를 추가적으로 이용할 수 있도록 규정해 두고 있다. 이에 따라 특정 서비스 제공 목적으로 수집한 개인정보를 AI 서비스 개발에 이용하는 행위는 현재도 충분히 가능하다고 판단된다. 개인정보보호위원회 역시 AI 시대 안전한 개인정보 활용 정책방향을 통해 위와 동일한 입장을 표명한 바 있다. 이번 개정안은 주로 기본 서비스 관련 개인정보를 관련이 없는 기타 서비스 개선이나 신규 서비스 개발을 위해 이용하는 경우에 대비한 것으로 이해된다. 다시 말해 다른 서비스나 신규 서비스의 경우 기존 서비스 개선에 비해 정보주체의 예측가능성이 떨어질 것이므로, 이를 위한 AI 개발에 대해서는 보다 엄격하게 개인정보보호위원회의 심의·의결을 요구하겠다는 취지다. 규제의 강도 측면에서 합리적인 규제라고 생각된다. 다만 세부적인 규제 내용은 추가적인 검토를 통해 완성해 나가야 할 것이다. 내년부터 시행 예정인 AI기본법은 이미 일부 AI에 대해 투명성 확보 의무 및 안전성 확보의무를 부과하고 있다. 이에 따라 개인정보 보호법 개정안을 통해 규율되는 투명성 확보 조치와 안전성 확보 조치 역시 단순한 중복 규제에 그치지 않도록 해야 한다. 이를 위해 제도 시행 전부터 부처 간 협력을 통해 각 규제의 유기적인 정착을 도모해야 한다. 향후에는 프라이버시 분야 외에 다른 부처에서도 다른 법안을 통해 AI에 관한 규제를 연이어 도입할 것으로 예상된다. AI와 같이 광범위한 분야에서 사용될 수 있는 기술에 대해 각 부처별로 관심을 갖고 규제를 도입하려는 시도 자체는 어찌 보면 당연한 것이다. 다만 앞서 본 것처럼 AI가 화두로 떠오른다고 해서 각 부처가 무분별하게 중복 규제를 하는 상황은 반드시 피해야 한다. 규제가 필수적이라 하더라도 사전에 별 다른 논의 없이 부처별 규제들이 우후죽순처럼 도입되기만 한다면 수범자 입장에서는 큰 혼란이 초래될 수밖에 없다. 일례로 광고성 정보 전송과 관련한 정보통신망법에 따른 규제와 개인정보 보호법에 따른 규제 역시 과도한 중복 규제로 여기는 여론이 많았다. 두 규제를 통합하려는 시도는 줄곧 있어 왔지만 아직까지 혼란은 이어져 오고 있다. 그 외에 지난 2020년 데이터3법을 통합하려는 시도에도 불구하고 복잡하게 얽힌 문제로 개인정보 보호법과 신용정보법 간의 통합은 무산되었다. 이같이 처음부터 규제가 여러 갈래로 흩어져 있는 상황에서는 중복 규제가 발생할 것이 우려된다. 다만 나중에 이를 다시 주어 담는 통합작업을 하는 것 역시 너무나 어려운 작업임은 그간의 선례에 비추어 볼 때 자명하다. 그렇다고 과도한 중복 규제를 그대로 두는 것은 사업자들에게 짐을 돌리는 것밖에 되지 않는다. 동시에 규제기관 간에 서로 눈치만 보며 상황을 애매하게 방치하는 것 역시 법치국가에서 허용해서는 안 된다. 어려운 시국 속에서도 AI기본법이 극적으로 국회에서 통과된 만큼 이 법안이 누더기 규제가 되지 않도록 제도 도입 초기부터 각 부처 간 원활한 협의를 통해 유기적인 규제 로드맵을 완성하기를 기대해 본다.

2025.02.14 15:41법무법인 태평양 이준호

[AI는 지금] 파리 AI 정상회의 임박…韓, 글로벌 AI 거버넌스 존재감 시험대

'파리 인공지능(AI) 정상회의(AI Action Summit)' 개막을 앞두고 한국 정부와 기업이 글로벌 AI 거버넌스 구축에 기여하기 위해 적극 참여할 예정이다. 다만 탄핵 정국으로 인해 정상급 외교가 부재한 점은 아쉬움으로 남는다. 10일 업계에 따르면 프랑스 파리에서 개막해 이틀간 진행될 AI 정상회의는 80개국 이상이 참석하는 대규모 행사로, AI 안전성과 국제 규범 정립을 주요 의제로 다룰 예정이다. 회의에는 에마뉘엘 마크롱 프랑스 대통령, 나렌드라 모디 인도 총리, JD 밴스 미국 부통령, 딩쉐샹 중국 부총리 등 주요 국가 정상과 오픈AI 샘 알트먼 대표, 구글 순다르 피차이 대표 등 글로벌 기술 기업 대표들이 참석할 예정이다. 이번 회의에서는 AI 안전성 강화, 데이터센터의 에너지 문제, 선진국과 개발도상국 간 AI 기술 격차 해소 등이 중점적으로 논의될 전망이다. 또 글로벌 AI 거버넌스 확립을 위한 국제 기구 설립이 주요 의제로 다뤄질 예정이다. 프랑스 정부는 이 자리에서 AI 산업에 1천90억 유로(한화 약 163조5천억원) 규모의 민간 투자 계획을 발표하며 AI 글로벌 규범 정립에 앞장서겠다는 뜻을 밝힐 것으로 보인다. 회의 개막을 앞두고 마크롱 대통령은 AI 기술을 활용한 딥페이크 영상으로 홍보에 나서 주목을 받았다. 그는 자신의 소셜미디어에 맥가이버, 인플루언서, 코미디 영화 캐릭터 등으로 변신한 합성 영상을 공개하며 "꽤 잘 만들어서 보고 웃었다"고 말했다. 이번 정상회의를 알리는 차원에서 제작된 이 영상은 AI 기술이 미디어와 사회 전반에 미칠 영향을 상징적으로 보여줬다는 평가를 받는다. 한국도 이번 회의에 적극적으로 참여할 예정이다. 정부 측에서는 유상임 과학기술정보통신부 장관, 고학수 개인정보보호위원장, 김명주 AI안전연구소장 등이 대표단을 이끌고 글로벌 AI 거버넌스 논의에 나선다. 특히 AI 안전연구소는 이번 회의에서 영국·일본·싱가포르와 함께 구글과 미스트랄 AI의 모델을 분석해 AI 시스템의 다국어·문화적 취약점을 테스트한 결과를 발표할 예정이다. 연구소는 지난해 11월 설립 이후 영어 기반으로 훈련된 AI 모델이 비(非)서구권 언어와 문화에서 보안 취약점을 가질 수 있다는 점을 고려해 다국어 환경에서의 AI 보안성 문제를 중점적으로 다뤄왔다. 기업 측에서는 삼성전자, 네이버, LG AI연구원이 참가해 AI 기술 개발 및 윤리적 활용에 대한 논의를 이어갈 계획이다. 네이버 최수연 대표, 전경훈 삼성전자 디바이스경험(DX)부문 최고기술책임자(CTO) 겸 삼성리서치 연구소장도 이번 행사에 참석한다. LG AI연구원에서는 배경훈 원장 대신 김유철 전략부문장이 참석해 글로벌 협력과 AI 규범 형성 논의에 힘을 보탤 예정이다. LG 관계자는 "우리는 지금까지 유네스코와 협업하고 서울 AI 정상회의에서도 적극 참여하는 등 국제 사회와 지속적으로 협력해왔다"며 "이번 회의에서도 다른 글로벌 참가자들과 함께 포용적 AI 구축을 위해 노력하겠다"고 밝혔다. 다만 정상급 외교 부재는 아쉬운 대목으로 꼽힌다. 윤석열 대통령이 지난 2023년 이후로 줄곧 AI 3대 강국 도약과 글로벌 디지털 규범 주도를 선언했음에도 불구하고 탄핵 정국으로 인해 이번 정상회의에 참석하지 못하면서 국제 사회에서의 리더십이 약화될 가능성이 제기되고 있기 때문이다. 대통령 권한대행조차 부재해 한국이 주요 논의에서 주도권을 잡기 어려울 것이라는 우려도 나온다. 국내 업계 관계자는 "AI 기술 발전과 거버넌스 논의는 동시에 이뤄져야 하는데 현재 국내 정국이 아쉬운 점이 있다"며 "그럼에도 정부와 기업들이 주어진 여건 속에서 역할을 하기 위해 최선을 다하고 있는 것은 사실"이라고 말했다. 이번 파리 AI 정상회의는 지난 2023년 영국 블레츨리 회의와 지난해 서울 AI 정상회의에 이어 AI 거버넌스 논의의 주요 이정표로 평가된다. AI 기술이 가져올 사회적 변화를 다루는 글로벌 논의가 본격화되는 가운데 한국이 향후 어떤 역할을 할 수 있을지 주목된다. 마크롱 대통령은 회의 개최를 앞두고 "AI는 무법지대가 되어서는 안 된다"며 "우리는 AI 혁명의 중심에 서서 글로벌 규범을 주도해 나갈 것"이라고 강조했다.

2025.02.10 16:58조이환

[기고] 원본 데이터 AI 활용 특례, 신기술 혁신 속도와 수요 반영해야

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주] 개인정보보호위원회와 과학기술정보통신부는 지난해 4개 사업자들을 대상으로 자율주행 인공지능(AI) 시스템 고도화를 위한 영상정보 원본을 활용하는 실증특례를 지정했다. 조금 풀어서 설명하자면 자율주행 AI 학습에는 보행자의 얼굴, 위치, 차량번호 또는 개인정보가 포함된 주행영상 등 영상정보가 필요하다. 현행 개인정보 보호법상 AI 학습에 주행영상 등 영상정보를 활용하려면 정보주체의 동의를 받거나 해당 정보를 가명처리해야 한다. 당연히도 전자는 불가능하고 후자의 경우 보행자 인식률이 저하되는 등 정보의 가치가 떨어지게 된다. 이러한 상황을 타개할 수 있는 것이 규제샌드박스 실증특례 제도다. 이 제도는 사업자가 신기술을 활용한 새로운 서비스를 일정 조건 하에 시장에 우선 출시해서 시험, 검증하게끔 현행 규제 일부를 적용하지 않도록 허용해 준다. 사업자들은 이 실증특례 지정을 신청해서 허용받음으로써 강화된 안전조치 기준을 마련하고 개인정보보호위원회의 주기적 점검을 받도록 하는 등을 조건으로 가명처리하지 않은 영상데이터의 원본을 AI 학습에 활용할 수 있게 됐다. 매우 의미 있는 제도임에도 사업자들이 실증특례 제도를 적극적으로 이용하지 못하는 결정적인 이유가 있다. 규제에서 자유로워지는 것이 아니라 최대 4년의 기간 동안만 규제 적용을 유예 받을 뿐이기 때문이다. 유예 기간 내에 법령이 정비돼 관련 규제가 개선되지 않으면 해당 서비스는 다시 '임시허가'를 통해 시장에 출시해야 한다. 심지어는 유예 기간 중 처리해 왔던 방식에 따라 데이터를 처리하는 경우 법 위반으로 출시를 못하게 될 수도 있다. 개인정보보호위원회는 새해 주요 업무 추진계획 6대 핵심 추진과제 중 하나로 AI 시대에 부합하는 개인정보 법제를 정비하겠다고 공표한 바 있다. 그러면서 자율주행 AI 개발 등 가명처리만으로 연구 목적 달성이 곤란한 경우 원본 데이터 활용을 개인정보 심의, 의결 하에 허용하는 특례를 마련하겠다고 발표했다. 이는 현행 규제샌드박스 실증특례는 최대 4년 동안만 규제 적용을 유예해 준다는 한계를 극복하기 위한 조치로, 개인정보 보호법에 특례 규정을 신설해 AI 개발을 위한 원본 데이터 활용을 허용할 방침이다. 더불어 개인정보보호위원회의 심의·의결과 사후 점검 등의 조건을 둬 개인정보 보호도 함께 도모할 계획이다. AI 기반 기술과 시스템이 더욱 빠른 속도로 고도화돼 가고 있는 현 상황에서 AI 학습 목적의 원본 데이터 활용을 금지할 수 없다는 위원회의 결단으로 풀이돼 공감이 간다. 다만 추진계획에 따르면 이러한 내용이 담길 개인정보 보호법 개정안은 AI 개발 사업자의 '정당한 이익'이나 '공익' 등을 고려하도록 하고 있어 오히려 원본 데이터 활용이 예상외로 제약될 가능성이 있어 보인다. 추후 구체적인 개정안을 구체적으로 살펴봐야 하겠으나 신기술의 개발이 아닌 사회적 편익이나 공익을 고려해 특례를 허용할 경우 제도의 취지에도 불구하고 상당수의 AI 개발 사업은 이 특례 제도를 활용하기 어려워질 것이다. 위원회가 심결이나 사후 현장점검 등을 어떻게 운영할지도 특례 제도 활용에 있어서 매우 중요한 요소가 될 것으로 보인다. 우선 위원회가 업무 추진계획에서 밝힌 바와 같이 합리적이고 유연한 법 해석을 통해 신기술 변화와 현행 법 체계 간 간극을 완화하기 위해서는 위원회의 심결이 신속하게 이루어져야 할 것이다. 기존 규제샌드박스 실증특례는 유사 사례가 있는 경우 패스트트랙 제도를 통해 승인 기간을 평균 4~5개월에서 2개월로 단축해 운영하고 있는 상황이다. 심결 이후에도 위원회의 관리, 감독을 통해서도 사후 통제가 가능한 점을 감안할 때 심결은 가급적 간이하고 신속하게 이뤄질 필요가 있다. 위원회의 사후 관리, 감독도 지나치게 포괄적인 범위의 점검이나 자료제출 요구 등이 이뤄지지 않는지 검토가 필요하다. 심결이 간이하게 이뤄진다면 사후통제 기능이 어느 정도 작동해야 하겠으나 AI 개발 사업자 입장에서 사업 운영에 지장이 갈 정도로 관리, 감독 등이 이뤄진다면 사업자로서는 특례 제도를 고려할 실익이 없게 된다. 이 부분은 AI기본법의 제정 과정에서도 유사한 논란이 제기된 바 있다. 원본 데이터를 가명처리 없이 쓰도록 허용해 주는 특례 제도를 도입하더라도 어느 정도의 제한이 부여되어야 한다는 점은 충분히 공감한다. 다만 신기술 및 신산업 혁신 촉진을 도모하기 위해 도입되는 제도인 만큼 AI 개발 사업자들이 특례 제도를 활용할 '엄두'는 낼 수 있어야 한다. 사업자들의 애로와 현실을 충분히 반영한 합리적이고 유연한 법제도의 도입을 기대해 본다.

2025.02.03 10:17법무법인 태평양 상지영

녹차추출물 등 9종 건강기능식품 재평가 실시

올해 녹차추출물 등 9종 건강기능식품에 대해 재평가가 진행된다. 식품의약품안전처는 2025년 녹차추출물 등 건강기능식품 기능성 원료 9종을 대상으로 안전성과 기능성에 대한 재평가를 실시할 계획이라고 밝혔다. 재평가 대상은 고시되어 있는 원료 2종과 개별인정 받은 원료 7종(다래추출물, 석류농축액, 돌외잎주정추출분말, 미역 등 복합추출물, 과채유래유산균 L.plantarum CJLP133, 락추로스 파우더, 로즈힙분말)이다. 세부적으로 고시 원료로는 ▲녹차추출물(항산화ˑ체지방 감소ˑ혈중 콜레스테롤 개선에 도움을 줄 수 있음) ▲알콕시글리세롤 함유 상어간유(면역력 증진에 도움을 줄 수 있음) 2종, 개별인정형 원료는 ▲다래추출물 (면역 과민반응 개선에 도움을 줄 수 있음) ▲석류농축액(갱년기 여성의 건강에, 피부보습, 자외선에 의한 피부 손상으로부터 피부건강 유지에 도움을 줄 수 있음) ▲돌외잎주정추출분말(체지방 감소에 도움을 줄 수 있음) ▲미역 등 복합추출물(체지방 감소에 도움을 줄 수 있음) ▲과채유래유산균(L. plantarum CJLP133, 면역과민반응에 의한 피부상태 개선에 도움을 줄 수 있음) ▲락추로스 파우더(유익균 증식, 유해균 억제에 도움을 줄 수 있음) ▲로즈힙분말(관절 및 연골 건강에 도움을 줄 수 있음) 등이다. 기능성 원료 인정 당시의 안전성ˑ기능성 자료, 인정 이후 발표된 연구결과·위해정보 등을 종합적으로 분석해 재평가를 실시하고, 그 결과를 연말에 발표할 예정이다. 식약처는 국민이 보다 안전하고 우수한 건강기능식품을 소비할 수 있도록 2017년부터 건강기능식품 기능성 원료 재평가를 매년 실시하고 있다. 대상은 주로 건강기능식품 기능성 원료로 인정받은 후 10년이 경과했거나, 안전성·기능성 관련 새로운 정보 등이 있는 기능성 원료 중 건강기능식품심의위원회 심의를 거쳐 최종 선정된다. 재평가가 완료되면 그 결과를 바탕으로 기능성 인정 내용을 취소하거나, 섭취 시 주의사항·일일섭취량 변경, 규격 강화 등의 조치를 취할 수 있다.

2025.01.30 11:32조민규

Prev 1 2 3 4 5 6 7 8 9 10 Next