생성형 인공지능 개발·활용 단계별 고려 사항 [ⓒ 개인정보위]

[디지털데일리 최민지기자] 개인정보보호위원회(이하 개인정보위)가 인공지능(AI) 기획·개발 단계부터 개인정보보호를 내재화하는 내용을 담은 안내서를 내놓았다.

6일 개인정보위(위원장 고학수)는 서울 중구 소재 정동 1928 아트센터에서 ‘생성형 인공지능과 프라이버시’ 오픈 세미나를 개최하고 ‘생성형AI 개발·활용을 위한 개인정보 처리 안내서’를 공개했다.

이날 개인정보위는 생성형AI 서비스를 개발·활용하는 기업·기관을 위한 개인정보 안전 처리 기준을 제시했다. 개인정보위는 이번 안내서를 통해 생성형AI 개발·활용 전 과정에서 개인정보보호법 적용의 불확실성을 해소하고, 자율적 법준수 역량을 높이는 역할을 할 것으로 기대했다.

안내서는 생성형 AI 개발·활용하는 생애주기를 4단계로 분류하고 단계별로 확인할 최소한의 안전조치를 체계적으로 제시했다. AI 시스템이 실제로 개발·활용되는 방식과 맥락을 유형화하고, 각 유형에 따른 법적 기준과 안전성 확보 기준을 명시했다.

우선, 목적 설정 단계에서 AI 개발 목적을 명확히 해야 한다. 목적 설정은 프라이버시 리스크 관리를 위한 출발점이자, 개인정보처리 적법성을 판단하는 핵심 기준이 된다. 또, 생성형AI 학습에 투입되는 개인정보 출처는 공개된 개인정보를 수집하는 방안과 이미 보유한 이용자 개인정보를 재사용하는 방안으로 구분할 수 있고, 출처별로 개인정보 처리 적법근거를 확인해야 한다.

전략 수립 단계에서는 개발 방식을 나눠 유형별 리스크 경감 방안을 안내했다. 안내서는 생성형 AI 개발·활용 방식을 ▲챗GPT API 연계 등 서비스형 대규모언어모델(LLM) ▲라마(Llama) 오픈소스 모델 추가학습 등 기성 LLM 활용 ▲경량모델(SLM) 개발 같은 자체개발, 세가지 유형으로 구분해 각각의 고려사항과 대응 전략을 서술했다. 개인정보위는 공통적으로 개인정보안심설계(PbD) 원칙 반영과 개인정보 영향평가 실시를 권장했다.

다음 단계에서는 사전 설정한 목적과 전략에 따라 학습·개발을 수행하게 된다. AI는 학습데이터를 그대로 발화하는 암기 위험을 비롯해 데이터 오염·탈옥 등 다양한 리스크 요인이 있어, 이를 고려한 다층적 안전조치 마련이 필수적이다. 이에 ▲데이터 수준 ▲모델 수준 ▲시스템 수준에서 고려할 수 있는 기술적·관리적 안전조치 기준을 내놓았으며, 지속적인 평가를 통해 프라이버시 안전성을 점검·보완할 수 있는 피드백 루프(feedback loop) 내재화를 권장했다.

또한, 최근에는 자율적으로 외부 지식을 검색하거나 기억 능력(메모리)을 갖춘 검색형·기억형 AI 에이전트가 등장하고 있다. 검색형 에이전트는 불법적이거나 유해한 정보를 활용하지 않도록 통제할 필요가 있고, 기억형 에이전트는 이용자 프로파일링과 같은 위험을 낮추기 위해 사전적 통제 장치를 적용할 것을 권했다.

적용 및 관리 단계는 정보주체 권리 보장 등을 중점적으로 다룬다. 학습·개발을 완료한 생성형AI 시스템을 실제 활용 환경에 배포·적용해 최종적으로 서비스 제공을 시작하는 단계다. 배포 이전 단계에서는 AI 결과값의 정확도, 안전조치 우회 시도에 대한 저항성, 학습데이터 노출 가능성 등을 집중 점검하고 결과를 문서화한다. 배포 이후에는 적절한 모니터링과 함께 정보주체 권리 보장 방안이 마련돼야 한다.

특히, 안내서는 전체 과정에서의 개인정보 보호 관점을 내재화하기 위해 필수적인 개인정보보호책임자(CPO) 중심 거버넌스 구축 방안을 강조했다.

프라이버시 리스크 관리가 실효적으로 이뤄지기 위해서는 기관·기업 내 거버넌스 체계 마련이 중요하다. CPO 중심으로 내부 관리체계를 구축·운영할 필요가 있다는 설명이다. 개인정보위는 CPO가 조직 내 AI 기획·개발 초기 단계부터 적극 개입해 개인정보 처리에 관한 충분한 정보를 확보하고, 관련 부서에 적시 피드백을 제공해 개인정보 보호 원칙이 생성형 AI 서비스에 내재화될 수 있는 체계를 마련할 것을 권장했다.

안내서는 향후 기술 발전과 국내·외 개인정보보호 정책 변화에 발맞춰 지속적으로 업데이트될 예정이다.

개인정보위 고학수 위원장은 “명확한 안내서를 통해 실무 현장의 법적 불확실성이 해소되고, 생성형 인공지능 개발·활용에 개인정보 보호 관점이 체계적으로 반영될 수 있을 것으로 기대된다”며 “앞으로도 개인정보위는 ‘프라이버시’와 ‘혁신’ 두 가치가 상호 공존할 수 있도록 정책 기반을 마련하겠다”고 말했다.