"챗GPT 부작용 막고 '데이터'로 AI강국 뒷받침하겠다"

[머투초대석] 고학수 개인정보보호위원회 위원장 /사진=홍봉진기자 honggga@

마이데이터 전분야 확산의 근거법령인 '개인정보 보호법' 개정안이 지난 16일 국회 법사위를 통과해 본회의 처리를 앞두고 있다.
개정법은 '개인정보 전송요구권'을 규정했는데, 향후 개인정보 보호 중심의 수동적 패러다임에서 벗어나 디지털대전환에 걸맞는 자기주도적 데이터 활용시대가 본격화된다. 그동안 금융과 행정 분야에서 부분적으로 활용되던 마이데이터가 다양한 분야로 확산되며 맞춤형 서비스를 만들어내는 계기가 마련된 것이다. 소관부처인 개인정보보호위원회의 역할과 범위도 크게 확대될 전망이다.

2020년 8월 중앙행정부처로 승격된 개인정보위는 AI(인공지능)를 비롯한 기술 경쟁이 격화되는 상황에서 '철저한 보호'의 대상이자 '안전한 활용'의 객체인 개인정보를 다루는 국가 통합 컨트롤타워다. 고학수 개인정보보호위원장은 최근 머니투데이와의 인터뷰에서 "인공지능·생체인식 등 신기술 등장에 따른 데이터 산업의 역동성을 저해하지 않으면서 새로운 개인정보 침해 위험을 선제적으로 대응하고 예방할 수 있도록 구체적·실용적 가이드라인을 마련할 것"이라고 강조했다. 다음은 고 위원장과의 일문일답.


"전분야 마이데이터 임박, 혁신 스몰테크 기업 태동 기회"- 개인정보법 개정안이 국회 본회의 통과를 앞두고 있다. 가장 기대하는 점은?
▶제일 크게 보는 부분은 전분야 마이데이터, 즉 데이터 전송권이다. 전통적 의미에서 개인정보 영역은 개인정보 처리자(공공기관, 법인, 단체, 개인 등)가 정보주체인 개인의 동의를 얻어 개인정보를 처리(수집·이용 등)하도록 하는 수동적 패러다임이 적용됐다. 개정안은 '동의를 통한 개인정보 처리여부'에 그치지 않고 정보주체에 적극적인 통제권(전송요구권)을 부여한다는 점에서 패러다임을 바꾸는 데 주력했다.

- 이미 금융·공공 등 분야에서 마이데이터는 시행되고 있는데?
▶현재 금융·공공 등 개별 분야에서 정형화된 데이터 위주의 제한된 마이데이터만 가능했으나 개정안은 분야간 경계를 뛰어 넘어 국민 일상의 다양한 영역에서 마이데이터가 보편적으로 보장되도록 했다. 국민은 적극적으로 개인정보 통제권을 행사해 다양한 맞춤형 서비스를 향유하게 된다. 자기주도적으로 데이터를 활용해 디지털 대전환 시대에 걸맞는 신뢰 기반 개인정보 활용체계가 구축될 것이다. 전분야 마이데이터 도입은 일부 빅테크 중심의 데이터 집중 구조에 균열을 일으켜 혁신 아이디어로 무장한 데이터 기반의 다양한 스몰테크 기업이 다수 등장하는 계기가 될 것이다.

- 개정 개인정보법이 통과되면 위원회 역할도 많이 바뀔텐데.
▶마이데이터는 굉장히 다양한 영역에서 다양한 데이터를 다루게 된다. 위원회도 여러 정부기관 뿐 아니라 이해관계가 복잡하게 엇갈릴 수 있는 기업들 사이에 코디네이터 역할을 할 것이다. 기술적 기준을 정하는 역할도 그중 하나다. 정보주체인 개인 등에게는 적극적인 통제권을 부여하고 기업들은 이를 바탕으로 편안하게 새로운 서비스를 창출할 수 있도록 하는 등 회색지대를 줄이는 것, 정부의 역할 중 큰 부분이 여기에 있다고 본다.

[머투초대석] 고학수 개인정보보호위원회 위원장 /사진=홍봉진기자 honggga@

'챗GPT 등 부작용 예방'과 '기술촉진 뒷받침' 동시 추구- 마이데이터 외에도 가명정보 활용에도 많은 관심을 기울여왔다. 여기에 주목한 이유는?
▶예컨대 AI만 하더라도 기술개발과 상용화 과정에서의 핵심은 AI 학습에 필요한 양질의 데이터를 어떻게 확보할 것인지 여부다. 마이데이터는 정보주체의 동의 하에 AI 개발을 위한 양질의 데이터를 확보하는 좋은 수단이 될 것이다. 가명정보 역시 과학적 연구 등 목적을 명확히 설정한 경우 개인정보를 보다 폭넓게 활용해 AI를 개발할 수단으로 유용하다. 가령 암환자 사망률 예측을 위한 AI 개발이나 전기차 충전소 최적 입지선정을 위한 AI 개발 등이 가능해질 것이다.


- 챗GPT 등 생성AI에 의한 개인정보 침해는 이미 자행되고 있다고 봐야한다. 어떻게 대응할 예정인가?
▶위원회는 AI기술개발과 서비스 활용 등 다양한 이슈에 대해 전문가 의견 수렴 후 제도개선 방안을 검토 중이다. 국내 기업들이 AI모델을 개발할 때 개인정보 침해 없이 데이터를 어떻게 다루도록 할지에 대한 부분과 침해사고 등 부작용이 발생할 때 어떻게 할지에 대한 것이다.

예컨대 개인이 작성한 블로그 게시물이나 댓글 등이 (보호받아야 할) 개인정보인지, 또 이들 게시물 등을 AI학습에 활용할 수 있는지 등이 문제가 될 수 있다. 국민이 신뢰할 수 있는 AI기술 개발과 서비스 환경 조성을 위해 데이터 수집·학습 및 서비스화 등 전 과정에 걸쳐 회색지대를 해소할 것이다. 실제 규제완화보다는 회색지대의 해소에 국민들의 욕구가 더 크지 않나 싶다. 아울러 AI 관련 대책은 꼭 법 형태를 염두에 둔 것은 아니다. 당장 만든다고 한다면 가이드라인 형태가 될 가능성이 높다.

"개인정보법제는 선진국 수준, 민관 자율규제로 모범사례 구축"

21일 고학수 개인정보보호위원장 머투초대석 인터뷰 /사진=홍봉진기자 honggga@

- 지난해 구글·메타에 대한 처분으로 주목받았다. 한국의 개인정보법제에 대한 주요국 평가는 어떠한가?
▶개인정보 보호법제는 어지간한 나라는 다 갖추고 있지만 빅테크 기업 대상 법을 적용하고 조사처분 하는 나라는 미국·유럽 외에 한국이 거의 유일하다. 전통적으로 아시아에서는 일본이 최강국으로 간주돼 왔지만 데이터 영역에서는 그렇지 않다. 한국은 IT 영역이 굉장히 강한 나라, 개인정보 보호에 대한 관심도 높은 나라, 에너지가 많고 역동적인 나라라는 점에서 외국의 관심이 많다. 최근 프랑스 개인정보 감독기관이 '청소년을 위한 10가지 개인정보 수칙'을 프랑스어·영어 외에 한국어 버전으로 만들어서 같이 캠페인하자고 제안했다. 프랑스는 문화강국으로서 자긍심이 강한 나라인데 이같은 제안이 온 것은 자랑할 만하다.

- 각종 개인정보 유출사고에서 기업들은 "충분한 대비를 했음에도 해킹 피해를 입었다"며 당국 제재에 불만을 제기하기도 한다.
▶'충분한 보호조치'를 했는지 여부가 위원회 판단의 중요 기준이기는 하지만 딜레마가 있다. 기업에 따라 '충분한 보호조치'를 했는지를 판단하는 기준은 경우에 따라 5개, 10개, 20개가 될 수도 있다. 정말 방지를 잘 했음에도 뚫렸다면 페널티를 줄 이유가 없지만 노력을 안해서, 덜해서 뚫렸다면 제재해야 한다. 정책이 가야 하는 방향은 의무자가 최선을 다하도록 유인을 제공해야 한다는 것이다. 자칫 최소한의 법적 기준만 충족하려고 하는 '미니멀 컴플라이언스'에 머물지 않고 최대한의 노력을 기울이도록 유도할 것인지가 관건이다.

- 개인정보위의 민관협력 자율규제는 바람직한 모델로 보인다.
▶ 온라인 시장이 커지고 서비스 유형도 다양해지면서 개인정보 처리와 관련한 사업자별 이해관계가 복잡해지고 있다. 오픈마켓에서는 다양한 사업자들이 개인정보를 공유하거나 공동으로 처리하기도 한다. 이에 유연하게 대응하고 분야별 특성에 맞는 보호방안을 마련하려면 정부 단독 추진보다 해당 분야 기업과 같이 고민해야 한다. 민관협력 자율규제를 착안한 이유다. 올 상반기 오픈마켓 자율규제 참여사의 이행점검이 진행된다. 우수 사업자에게는 최대 40%까지 과태료·과징금 감경 혜택이 주어지고 미흡한 사업자에는 개선 필요사항이 권고된다. 오픈마켓 외 배달앱 부문에서도 자율규제가 시행된다. 이외에 모빌리티, 구인·구직, 병의원 예약접수, 숙박 등 국민 생활과 밀접한 온라인 플랫폼 7대 업종에 대해 민관 자율규제가 추진되고 있다.

[머투초대석] 고학수 개인정보보호위원회 위원장 /사진=홍봉진기자 honggga@