[머투초대석]송경희 개인정보보호위원회 위원장
AI 학습 개인정보 삭제권은 보장하되, '언러닝' 일률 의무화 안해…필터링·미세조정 우선 조치
예방투자 기업 과징금 최대 40% 감경…중대·반복 사고엔 매출 10% 부과
AI 챗봇 답변에 내 이름과 전화번호가 그대로 나온 경우 지워달라고 요구하면 AI 개발 기업은 어디까지 해야 할까. 데이터만 빼면 되는지, 모델을 다시 학습시켜야 하는지 기준이 명확하지 않았다.
송경희 개인정보보호위원회 위원장은 개인정보 삭제권은 보장하되 특정 기술을 의무화하기보다 기술적 특성과 제약, 비례성을 고려해 충분한 노력을 기울였는지 살펴봐야 한다는 입장을 밝혔다.
송 위원장은 "개인정보가 학습에 사용됐는지 인지할 수 있도록 처리방침을 안내하고 권리행사를 위한 창구를 마련해야 한다"며 “요청이 접수되면 우선 해당 정보가 답변에 나오지 않도록 걸러내고 모델을 부분적으로 손본 뒤 필요하면 재학습을 검토해야 한다"고 설명했다.
오는 9월11일부터 개인정보 보호에 사전 예방투자를 많이 한 기업은 사고가 발생하더라도 과징금을 최대 40% 감경한다. 반대로 중대·반복 사고에는 매출액의 최대 10%까지 징벌적 과징금을 부과한다. 공익적·사회적 필요성이 인정되는 경우 AI 개발에 원본 개인정보를 활용할 수 있는 특례도 추진한다.
다음은 송 위원장과의 일문일답.
-생성형 AI가 학습한 개인정보도 지워달라고 하면 '머신 언러닝'까지 해야 합니까.
▶AI 환경에서도 정정·삭제 같은 권리는 보장돼야 합니다. 다만 AI 학습데이터와 모델은 전통적 데이터베이스와 다릅니다. 데이터가 정형화돼 있지 않아 특정 항목을 식별·추출하기 어렵고, 모델에서 특정 데이터의 영향을 정확히 평가·제거하는 게 현 기술 수준상 어렵습니다. 특정 방식을 의무화하기보다 기술적 특성과 제약, 비례성을 고려해 현실적 대응책을 마련할 필요가 있습니다.
-AI학습에 쓰인 개인정보 삭제 요구에 기업은 어떻게 해야 합니까.
▶정보주체 요청이 있으면 신속하게 출력 필터링, 미세조정 등 안전조치를 취하고 이후 모델 재학습을 고려하도록 안내하고 있습니다. 머신 언러닝은 유용한 수단이 될 수 있지만 아직 발전 중인 기술입니다. 프랑스 CNIL과 캐나다 개인정보보호청도 유사한 입장입니다. 데이터셋을 빼고 재학습하려면 큰 모델은 비용이 너무 많이 들고, 근사 언러닝은 정말 다 지워졌는지 검증 자체가 완벽하지 않습니다.
-개인정보 유출 사고가 계속 터지는 이유는 무엇입니까.
▶우리 IT 인프라는 짧은 기간 집중 투자해 비약적으로 발전했고 AI로 연결됐습니다. 그에 비해 보호·보안 투자는 미흡했다는 게 수치로 드러납니다. 미국은 IT 전체 투자액의 13%를 보호·보안에 투자하는 반면 우리나라는 절반에도 못미치는 6%대입니다. 법제와 인식은 세계적 수준인데 기업·기관 현장이 못 따라오고, 이 간극에서 사고 가능성이 나옵니다. 사고가 한번 나면 처분 비용에 인프라 개선 비용까지 듭니다. 국민이 겪은 정신적 피해까지 더하면 사회적 비용이 너무 큽니다. 결국 일어나기 전에 예방 투자를 늘려 관리체계로 가는 게 중요합니다.
독자들의 PICK!
-9월부터 과징금 제도가 달라집니다.
▶사전 예방투자를 많이 한 기업은 사고가 나더라도 과징금을 40%까지 감경하는 규정을 9월 11일 시행합니다. 판단 기준은 공시된 여러 투자액과 업계 표준을 상회하는 정도입니다. 법이 요구하는 건 최소한의 안전조치인데 그걸 훨씬 상회하는 투자를 했다면 확실히 반영하겠다는 겁니다. 동시에 중대·반복 사고에는 매출액의 최대 10%까지 징벌적 과징금을 물립니다. 제재 강화가 최종 목적이 될 순 없습니다. 투자 유도를 통해 사고를 막겠다는 게 최종 목적입니다.
-조사 전에 증거를 지워버리는 경우는 어떻게 합니까.
▶조사 이후 발견되면 형사벌·과태료 수단이 있지만 조사 시작 전에 지워버리면 현행법에 한계가 있는 게 사실입니다. 미리 삭제하고 숨겨서 이득을 보는 구조라면 성실히 신고한 기업이 오히려 손해를 보기 때문에 이번 KT(54,300원 ▲900 +1.69%) 건도 고발을 의뢰했습니다. 조사 전이라도 과징금을 최대 3%까지 부과할 수 있는 구조를 만들고 있습니다. 은닉·폐기는 내부에서 이뤄져 조사에 한계가 있는 만큼 신고포상금도 검토하고 있습니다.
-사건 처리가 늦다는 지적도 있습니다.
▶조사관 30여명이 그 많은 사건을 다 처리해야 합니다. 티빙 사건은 중요하게 보고 한국인터넷진흥원과 함께 5~6명이 붙었습니다. 최대한 인원을 투입하려고 합니다. 소송도 부담입니다. 정부기관이 쓰는 소송 비용은 매우 소액인데 통상 3심까지 가기 때문입니다. 공정거래위원회는 법리가 판례로 정해져 있는 데 비해 우리는 유형이 다양해 대응 논리도 건건이 새로 만들어야 합니다.
-AI 개발에 원본 개인정보를 쓰는 특례를 추진 중입니다.
▶가명·익명처리로는 AI 개발이 곤란하고 공익적·사회적 필요성이 인정되는 경우에 한해 강화된 안전조치와 위원회 심의·의결을 전제로 원본을 활용하는 별도 절차입니다. 무조건적인 동의 면제는 아닙니다.
-민간의 상업적 AI 서비스나 의료·생체정보도 특례 대상이 됩니까.
▶민간기업이나 상업적 AI 서비스도 대상이 될 수 있습니다. 의료·생체정보도 다른 법률에서 특별히 다르게 규정한 경우를 제외하면 특례 대상에서 배제되지 않습니다. 정보주체의 권리나 이익에 미치는 영향이 큰 경우에는 별도의 위험요인평가를 실시해 면밀히 검토할 예정입니다. 결국 AI가 만드는 공익적 편익과 정보주체에게 발생할 위험을 비교·형량해 판단하게 됩니다.
-임기 중 꼭 이루고 싶은 것은 무엇입니까.
▶개인정보보호법 제1조에 개인의 존엄과 가치를 실현한다는 내용이 있습니다. 취임하면서 그 조항을 선서처럼 자주 읽었습니다. 이 법은 개인정보를 절대 쓰지 말게 하려는 게 아닙니다. 그러는 게 존엄과 가치 구현에 반드시 도움이 되는 건 아니니까요. AI 시대에 개인정보는 안전하고 활발하게 잘 써야 하고, 기업이 혁신할 수 있어야 개인에게 편익이 돌아갑니다. 사후 제재는 예방체계로 가기 위한 수단이지 목적이 아닙니다.
