1.

생성형 AI 개발·활용 단계별 주요 고려사항
 

(1)

1단계: 생성형 AI 활용 목적 설정 및 관련된 개인정보 적법처리근거 확보

안내서는 개인정보 처리의 적법근거는 개인정보의 수집 출처별로 확인해야 한다고 설명하면서 그 수집 출처를 크게 1) 공개된 개인정보의 수집과 2) 이용자 개인정보의 재사용으로 구분하고 있습니다.
 

1) 공개된 개인정보를 수집·이용하는 경우: 개인정보 보호법(이하 “법”)상 정당한 이익 조항(법 제15조 제1항 제6호)이 수집·이용의 실질적인 적법 근거가 될 수 있습니다. 다만 이를 위해서는 목적의 정당성, 공개된 개인정보 처리의 필요성, 기술적·관리적 안전조치 및 정보주체 권리보장 방안 마련 등을 통한 정보주체의 권리침해 가능성 최소화가 핵심적으로 요구됩니다.^[1]

2) 이용자 개인정보를 재사용하여 AI를 학습·개발하는 경우: 이 경우 적법처리 근거는 다음 표와 같이 AI 학습·개발이 당초 개인정보의 수집 목적과의 관련성 및 개인정보의 성격에 따라 달라질 수 있습니다.
 

(2)

2단계: 생성형 AI 개발·활용 방식 및 리스크 관리 등 전략 수립

안내서는 생성형 AI를 개발·활용 방식에 따라 1) 비공개 모델 등 상용 AI 서비스를 API에 연계하는 방법으로 활용하는 서비스형 LLM, 2) 주로 공개(open-weight)된 사전학습(pre-trained model)된 모델을 추가학습하여 개발하는 기성 LLM 활용, 3) 모델을 처음부터 직접 사전학습하는 방식인 자체개발의 3가지 유형으로 구분하며, 각 유형별 AI 개발 과정에서의 이슈 및 권장 조치를 제시하고 있습니다.
 

(3)

3단계: 생성형 AI 학습 및 개발 단계에서의 안전조치

안내서는 AI 학습 및 개발과정에서 데이터, 모델 및 시스템 수준에서 고려할 수 있는 프라이버시 안전조치들로, 1) 데이터 수준에서는 데이터 오염 및 편향성, 부정확성 대응, 가명 및 익명처리 등의 데이터 전처리, 개인정보 강화기술(PET), 2) 모델 수준에서는 미세조정 및 (개인정보 추출 목적의) 적대적 공격 대응, 3) 시스템 수준에서는 API 접근제어 및 필터링 등을 제시하고, 4) 이러한 내용들을 지속적으로 평가하고 이를 기초로 보완하도록 요구하고 있습니다.
 

(4)

4단계: 정보주체의 권리 침해 모니터링 등 시스템 적용 및 관리 조치

안내서는 AI 시스템 개발을 완료한 후에도 배포 전에 AI 시스템의 프라이버시 리스크를 점검하고 이를 문서화하는 한편 그 사용목적 및 금지행위 등을 정리한 허용되는 이용방침(AUP)을 작성 및 공개하는 등의 조치를 요구하고 있습니다.

또한 정보주체의 권리보장 측면에서, AI 서비스의 학습데이터셋의 규모나 구조적 제약으로 인해 법상 원칙적으로 요구되는 정보주체의 권리(열람, 정정, 삭제, 처리정지 요구권 등)의 행사를 보장하는 것이 어려운 경우, 정보주체에게 그 사실과 사유를 안내하고 대체 수단을 제공하는 것이 가능하다고 설명하고 있습니다.

한편, 생성형 AI 시스템을 활용하여 정보주체에 대한 의사결정을 내리는 경우에는, 해당 의사결정이 법상 자동화된 결정에 해당하는지 여부를 확인하고 그에 관한 거부권, 설명요구권, 검토요구권 등 법상 요구되는 정보주체의 권리를 보장해야 합니다.

끝으로 개인정보처리자가 데이터셋 수집 사실, 주요 출처, 처리 목적 등 AI 시스템 개인정보 처리과정을 개인정보 처리방침, 기술문서, FAQ 등을 통해 공개하여 정보주체의 권리를 지원할 필요가 있습니다.
 

2.

AI 프라이버시 거버넌스 구축

안내서는 생성형 AI의 데이터 처리 관련 리스크 관리가 중요해짐에 따라 각 기업·기관에서 개인정보 관련 법규 준수와 리스크 관리를 총괄하는 개인정보 보호책임자(CPO) 중심의 내부 관리체계를 구축·운영할 필요가 있다고 강조하고 있습니다.

이러한 거버넌스를 구축함으로써 CPO는 생성형 AI의 목적 설정부터 적용·관리까지의 전체 프로세스를 관리·감독하며 개인정보 처리의 적법성과 안정성을 확보할 수 있게 됩니다. AI 프라이버시 거버넌스를 위하여 안내서가 제시하고 있는 주요 프로세스는 다음과 같습니다.
 

• 개인정보 영향평가 등 점검도구를 활용해 프라이버시 리스크 지속적으로 평가

• 프라이버시 리스크를 경감하기 위한 다층적 안전조치 수립 및 이행

• 프라이버시 리스크 관리 정책의 체계적 문서화

• 개인정보 취약성 상시 모니터링·평가 및 보고

• 정보주체 권리행사 지원

3.

안내서의 의미 및 전망

위 안내서는 위원회가 그간 AI 서비스와 관련하여 마련한 개인정보 안내서 및 각종 집행 사례와 정책들을 종합하여 생성형AI 사업자가 개발·활용 단계별로 고려할 주요한 안전조치를 체계적으로 제시하였다는 점에서 의미가 있습니다.

나아가, 안내서는 생성형 AI 모델 중 언어모델 기반 생성형 AI를 중심으로 작성되었으나 향후 음성, 이미지, 영상 등 여러 유형의 정보를 처리하는 멀티모달, Agentic AI의 영역까지 점진적으로 확대해 나갈 예정이므로 후속 안내서도 기다려 볼 필요가 있습니다.

특히 이번 안내서는 생성형 AI에 있어 법적 리스크 대응을 위해 AI 프라이버시 거버넌스 구축의 중요성을 강조하고 있습니다. 따라서 귀사가 회사의 서비스 또는 그 고도화를 위하여 공개된 개인정보 또는 기존에 수집 및 확보된 개인정보를 활용하는 경우에는 그 개발 및 활용의 각 단계에서 발생할 수 있는 위험을 매핑하고 측정하여 귀사의 개인정보 최고책임자(CPO)를 중심으로 관련된 위험을 관리하는 정책 및 조치들을 구축 및 운영해 나가는 것이 적절할 것으로 생각됩니다.