AI와 프라이버시 리스크

프라이버시가 곧 경쟁력이다
AI의 프라이버시 문제는 단순히 개인정보 보호법을 준수하는 수준으로는 설명되지 않는다. 생성형 AI가 사회 전 영역으로 확산된 현재, 프라이버시 보호는 기술의 핵심 과제가 되었다. 이 책은 정부와 산업계 전문가들에게 개인정보 문제를 ‘리스크 관리’ 관점에서 새롭게 바라볼 수 있는 틀을 제시한다. 규제 준수라는 소극적 접근을 넘어 프라이버시가 곧 AI 제품의 경쟁력을 결정하는 요소임을 강조한다.
이 책은 프라이버시 리스크를 AI의 다양한 리스크 체계 속에 위치시키며, 그것을 관리하는 시스템적 접근법을 구체적으로 탐구한다. EU AI법과 한국 AI기본법 같은 규제 틀, 기업의 자율적 관리 유인, 소비자가 프라이버시 장치를 품질 요소로 인식하는 과정을 짚는다. 더 나아가 프라이버시 보호가 기술 발전을 가로막는 제약이 아니라 AI 산업의 신뢰와 차별성을 높이는 기제가 될 수 있음을 설득력 있게 보여 준다.

이 책은 AI의 프라이버시 문제를 단순 법규 준수 차원이 아니라 리스크 관리의 핵심으로 다룬다. 프라이버시가 AI 제품의 경쟁력을 좌우하는 요소임을 밝히며 전문가에게 실질적 해법을 제시한다. 인공지능총서. aiseries.oopy.io에서 필요한 인공지능 지식을 찾을 수 있다.

김은수
서울대학교 인공지능신뢰성연구센터 선임연구원이다. 서울대학교 법학전문대학원에서 전문법학박사(SJD) 학위를 받았다. 논문 제목은 《비식별화 방식을 적용한 개인정보보호에 대한 연구: 보건의료정보를 중심으로》다. 인터넷기업협회 개인정보 분야 전문위원(2019), 서울대학교 법학연구소 객원연구원(2021∼2022)을 역임했다. 과학기술정보통신부 AI법제정비단에서 전문위원으로 활동했다(2023). 주요 저서로 《인공지능 시대의 개인정보 보호법》(2022, 공저), 《개인정보 비식별화 방법론: 보건의료정보를 중심으로》(2017, 공저)가 있다.

AI 제품의 경쟁력과 프라이버시 문제

01 AI 거버넌스의 현황 및 전망
02 리스크 개념과 리스크 관리 시스템에 대한 이론적 논의
03 AI 리스크와 프라이버시 리스크
04 개인정보 보호 규제 체제에서의 리스크 관리
05 민감정보의 보호와 AI 프라이버시 리스크
06 데이터 수집과 AI 프라이버시 리스크
07 데이터 활용과 AI 프라이버시 리스크
08 AI 프라이버시 리스크 관리 접근법과 AI 책임 부과 접근법
09 데이터 거버넌스와 AI 거버넌스
10 인간 중심의 거버넌스의 재조명

리스크 관리 접근법은 이론적으로 리스크에 대한 무관용 원칙(zero-tolerance)을 전제하지는 않는다. 리스크가 0인 상태를 목표로 하지 않고 어느 정도의 리스크는 수용한다. 분야를 막론하고 어떤 기술을 활용할 때 해당 기술의 리스크를 0으로 만드는 것은 실질적으로 거의 불가능하다. 만약 가능하다고 하더라도 리스크가 0인 수준이 사회적으로 추구해야 할 목표라고 단정할 수 있을지도 의문이다. AI 산업 성장의 초입 단계에 있는 상황에서 현재 AI 산업을 선도하고 있는 생성형 AI가 기술적 발전을 거듭하고 그 적용 영역이 증가하면 새로운 유형의 리스크가 발생할 것으로 예측된다. 만약 제로 리스크가 AI 정책의 목표가 된다면 기업들은 새로운 리스크가 수반될 새로운 기술 개발에 소극적 태도를 보일 가능성이 높다. 결국 AI 상품 시장 자체가 축소되어 장기적으로는 시장의 소멸이라는 결과에 이를 수 있다.
－“AI 제품의 경쟁력과 프라이버시 문제” 중에서

AI라는 새로운 기술을 규율하는 법률을 제정했지만 실질적으로 AI의 리스크를 효과적으로 관리하면서 AI 기술 발전을 저해하지 않는 방향으로 법이 적용될 수 있도록 하는 구체적 운용의 중요성이 커지고 있다. AI가 다양한 영역에 적용되면 개별 영역의 특징에 따라 AI 리스크의 특징과 형태 또한 다양해질 것이다. 이미 개별 영역에 적용되는 법률 시스템이 있는 상황에서 기존 법률과 AI기본법의 관계 설정이 문제가 된다. AI기본법과 개별 법이 충돌할 때 어떻게 법 적용의 정합성을 효과적으로 해결할 수 있을지가 문제가 된다. 또한 AI기본법과 개별 법들 사이 중복 규제의 문제도 있다. 특히 프라이버시 리스크를 관리하는 개인정보 보호법과 AI 리스크 측면에서 프라이버시 리스크에도 적용될 AI기본법이 중복된다. 가령 개인정보 보호법에서 부과되는 다양한 의무를 위반할 때 발생하는 프라이버시 리스크가 일률적으로 AI기본법에서 정하는 고영향 AI로 간주될 수 있을지는 불명확하다. 민감정보의 유형에 따라 프라이버시 리스크의 크기가 다를 수 있는데, AI기본법에서 이 데이터의 서로 다른 특징을 어떻게 반영할지에 대한 문제도 있다. AI기본법이 “말의 법(Law of Horse)”이 되지 않게끔 기존 법률들과의 조화로운 관계로 운용될 수 있는 균형점을 찾는 것이 앞으로의 과제가 될 것이다.
－01_“AI 거버넌스의 현황 및 전망” 중에서

개인정보를 효과적으로 보호하기 위해서는 정보가 위치하는 데이터 환경에 따라 개인정보에 해당할 수도 있고 해당하지 않을 수도 있다는 사실을 인지할 필요가 있다. 개인정보의 일반적 판단 기준인 식별 가능성에는 ‘어떤 데이터 환경에서는’ 식별이 가능하다는 전제가 숨어 있다. 그래서 동일한 데이터라도 어떤 데이터 환경에서는 개인정보가 되면서 다른 데이터 환경에서는 개인정보가 되지 않을 수 있다. 특히 개인정보를 지닌 주체가 데이터 환경에 포함되기 때문에 개인정보를 현재 누가 보유하고 있는지에 따라 개인정보에 해당하는지 여부가 달라진다. 가령 해시(hash) 함수를 통해 가명처리된 데이터는 이 해시 함수의 키(key) 값을 지닌 데이터 관리자에게는 개인정보다. 하지만 이 키 값을 갖고 있지 않은 데이터의 사용자에게는 개인정보가 아닐 가능성이 높다.
－04_“개인정보 보호 규제 체제에서의 리스크 관리” 중에서

데이터에 대한 프라이버시 리스크는 기본적으로 개인정보의 보호와 데이터의 보안과 관련된다. 정보주체가 자신의 개인정보를 자율적으로 관리할 수 있어야 한다는 개인정보자기결정권 침해의 리스크와 데이터가 안전하게 관리되지 못해서 개인정보의 기밀성이 침해되는 리스크다. 한국의 개인정보 보호법은 위 두 가지 리스크 모두를 규율하기 때문에 프라이버시 규제 영역에서의 전통적인 리스크 개념이 AI 기술 맥락에서의 리스크에 어떻게 적용될 수 있을지가 문제가 된다. 즉 개인정보 영역에서 규정된 프라이버시 리스크가 AI 규범 체제하에서 규정되는 AI 리스크에서 어떻게 개념화될 수 있을지가 문제가 된다. 가령 높은 리스크를 중심으로 규율하려는 AI 규제에서 개인정보에 대한 프라이버시 리스크를 어떤 리스크로 간주하고 어떻게 처리해야 할지에 대해서는 지속적인 논의가 필요하다.
－09_“데이터 거버넌스와 AI 거버넌스” 중에서