[스포츠서울 | 표권향 기자] 개인정보보호위원회(이하 개인정보위)가 이미지, 영상, 음성, 텍스트 등 인공지능(AI) 시대 기술개발의 핵심 재료인 비정형데이터에 대한 가명 처리 기준을 새롭게 마련했다고 4일 밝혔다.

글로벌 시장조사업체 IDC에 따르면 최근 AI 기술과 컴퓨팅 자원의 발달로 전 세계 데이터 중 비정형데이터가 최대 90%를 차지하는 등 활용수요가 폭발적으로 증가했다. 하지만 기존 ‘가명 정보 처리 가이드라인(이하 가이드라인)’은 정형데이터에 대한 처리기준만 제시하고 있어 기업, 연구기관 등이 적합한 가명 처리 방법이나 수준을 알지 못하는 등 현장의 불확실성이 커진 것으로 나타났다.

이에 개인정보위는 정책연구용역, 각 분야 전문가로 구성된 T/F 운영, 산업계·학계·법조계·시민사회 및 관계부처 의견수렴 등 1년여 기간 동안 준비 작업을 거쳐 가이드라인을 대폭 개정했다.

개정된 가이드라인에는 비정형데이터를 가명 처리하고 활용하는 과정에서 특수하게 나타날 수 있는 개인정보 위험을 사전에 확인하고, 통제 원칙과 함께 의료·교통·챗봇 등 각 분야 사례 및 시나리오를 제공함으로써 현장에서 손쉽게 활용할 수 있도록 했다.

비정형데이터는 개인식별 가능 정보에 대한 판단이 상황에 따라 달라질 수 있다. 이를 위해 데이터 처리목적 및 환경, 민감도 등을 종합적으로 고려해 개인식별 위험을 판단하고 합리적인 처리 방법과 수준을 정하도록 했다.

예를 들어, 눈·코·입을 알아볼 수 없는 거리·각도에서 찍힌 CCTV 영상·사진에서 머리 스타일·흉터·문신 등 특이한 신체적 특징 때문에 식별위험이 있을 수 있다. 흉부 CT 촬영 사진은 자체 식별위험이 크지 않지만, 3차원 재건 기술 악용과 특이한 흉터 등은 위험 요소가 될 수 있다.

개인정보위는 가이드라인에서 제시한 △데이터의 식별성 △특이정보 △재식별 시 영향도 △처리환경의 안전성 등을 점검하기 위한 개인식별 위험성 검토 체크리스트를 통해 식별위험을 사전에 진단하고, 위험을 낮추기 위한 관리적·환경적 통제방안을 마련해 활용하도록 했다.

연구목적 달성에 필수 정보 항목을 남기는 경우에는 △그 외 정보에 대한 가명 처리 수준을 높이거나 △접근권한 통제 △식별에 악용될 수 있는 소프트웨어(SW) 반입 제한 등 조치를 시행한다.

개인정보위는 비정형데이터에 내재된 개인식별 위험 요인을 완벽하게 탐지해 처리 가능한 기술이 아직 없어, 기술적 한계 등을 보완하기 위한 조치들을 이행할 것을 권고했다.

가명 처리 기술의 적절성·신뢰성을 확인할 수 있는 근거를 작성·보관하고, 그 결과에 대해 자체 추가 검수를 수행하도록 지시했다. 또한 처리기술의 적절성·신뢰성을 확인할 수 있는 근거와 추가 검수 등에 대해서는 외부 전문가가 참여한 위원회의 적정성 검토를 받도록 했다.

또한 가명 정보 활용 기관의 내부통제를 강화하고, 개인정보 침해 방지를 위해 처리 목적이 달성된 가명 정보는 신속히 파기할 것을 강조했다.

비정형데이터는 AI 및 데이터 복원 기술의 발달에 따라 다른 정보와의 연계·결합 없이도 개인을 재식별해낼 수 있는 위험이 있다. 개인정보위 관계자는 “가명 처리된 비정형데이터 활용 시 △관련 시스템 △SW의 접근 △사용 제한 등 통제방안을 마련해야 한다”라고 말했다.

다만, 인공지능 개발·활용 과정에서 발생할 수 있는 다양한 위험을 사전에 완벽하게 제거하는 것이 불가능해, AI 서비스 제공 과정에서도 개인식별 위험 등 정보 주체 권익 침해 가능성을 지속 모니터링하는 것을 권장했다.

이 밖에도 기업 및 연구자가 △사전 준비 △위험성 검토 △가명 처리 △적정성 검토 △안전한 관리 등 가명 처리 단계별로 고려해야 하는 사항을 안내하고, 현재 개발 중인 가명 처리 기술도 소개해 관련 경험이 부족한 스타트업 등이 참고할 수 있도록 마련했다.

개인정보위 관계자는 “비정형데이터 영역은 데이터 유형, 활용 분야마다 가명 처리 기준·방법이 다양하고 관련 기술도 빠르게 발전하고 있어 다양한 활용사례를 축적하는 것이 중요하다”라며 “앞으로 개인정보위는 신청받은 사례를 전문가들과 함께 신속히 검토하여 회신하는 한편, 관련 사례를 가이드라인에 지속 추가하여 모범사례를 확산시켜 나갈 계획”이라고 전했다.

기업이나 연구기관은 가이드라인에 포함된 사례 외에도 새로운 기술이나 서비스를 개발하는 과정에서 데이터의 개인식별 위험성을 낮추기 위한 가명 처리 절차 및 방법, 관리적·환경적 통제방안 등이 ‘개인정보 보호법’을 준수하는 것인지에 대해 ‘사전적정성 검토’를 신청할 수 있다.

고학수 개인정보위 위원장은 “AI 등 많은 신기술 영역은 현장의 불확실성을 해소할 수 있는 세밀한 데이터 처리정책이 중요하다”라면서 “이번 가이드라인을 시작으로 대규모 언어모형 등 생성형 AI와 관련한 ‘공개된 개인정보 처리 가이드라인’ 등 현장의 어려움을 해소할 수 있는 기준을 올해 중에 순차적으로 발표하겠다”라고 전했다. gioia@sportsseoul.com