규제 샌드박스

▲ ‘크롤링’ 정보는 가명 처리해야... 첫 AI 개인정보 가이드라인 나와 ▲

방대한 데이터를 학습한 뒤 문장·이미지 등을 만들어 내는 생성형 인공지능(AI)이 등장하면서 AI기업 간 개인정보 확보 경쟁이 치열하다. 이 과정에서 온라인에 유통되는 정보를 크롤링하거나, 과거에 수집한 정보를 AI 학습에 활용하는 등 무분별하게 개인정보가 활용되는 경우가 적잖다. 그렇다고 개인정보 수집을 막자니 AI 생태계가 조성되지 못해 경쟁에서 뒤처질 수 있다는 우려도 나온다. 이에 정부가 개인정보 활용에 대한 첫 가이드라인을 놨다.

개인정보보호위원회(이하 보호위)는 8월 3일 정부서울청사에서 브리핑을 열고 ‘AI 시대 안전한 개인정보 활용 정책방향’을 발표했다. 보호위가 현행 개인정보보호법하에서 그간의 판례와 의결·해석 사례 등을 종합해 만든 일종의 가이드라인이다. 기업들이 AI 개발·서비스 단계별로 어떤 원칙과 기준에 따라 개인정보를 처리해야 하는지, 어떤 정부 지원을 받을 수 있는지 등을 구체화했다.

정책 방향을 보면, 기업들은 AI 기획·설계 단계부터 보호위로부터 개인정보 처리 관련 컨설팅을 지원받게 된다. 보호위는 10월 중 ‘AI 프라이버시팀’을 신설해 AI 기업을 대상으로 개인정보 처리의 적법성·안전성 등에 관한 법령 해석을 지원키로 했다. 제도 미비로 시행이 어려운 AI 서비스에 대해서는 특정 제약조건(시간·장소·규모)하에서 규제를 유예해 주는 규제 샌드박스 적용을 검토키로 했다.

또 AI가 학습할 데이터를 수집할 때도 개인정보의 성격에 따라서 사전 동의, 익명·가명 처리 등을 달리 적용키로 했다. 예컨대 크롤링 방식으로 수집한 공개 정보의 경우, 가명 처리 후 이용할 수 있도록 했다. 생체 정보를 사용할 때는 정보 주체로부터 별도 동의를 받아야 한다.

폐쇄회로(CC)TV 등 고정형 영상 장치의 영상 데이터를 사용할 때는 범죄예방·시설 안전 등 CCTV 설치 목적과 관련된 AI 개발의 경우 별도의 처리나 동의 없이 활용할 수 있도록 했다.

반면 설치 목적과 관련 없는 AI 개발에 활용할 때는 특정인을 식별할 수 없도록 익명·가명 처리를 하도록 했다. 또 CCTV 영상을 통해 특정 개인의 특징을 추출하는 AI 개발은 데이터 활용 전에 정보 주체로부터 사전 동의 등을 받아야 한다.

자율주행차 등 이동형 장치의 영상 데이터를 활용할 때는 영상에 찍힌 불특정 다수를 식별할 수 없도록 조치해야 한다. 다만 규제 샌드박스를 통해 제한된 범위 내에서 원본 영상을 활용할 수 있는 방안도 검토키로 했다.

또 기업들이 수집한 데이터를 AI에 학습시킬 때는 가명 처리된 정보들이 결합해 특정인이 재식별될 위험이 없는지를 검토하고 사전·사후적 예방조치를 취하도록 했다. 원본 데이터와 유사한 결과를 얻을 수 있도록 가상으로 재현한 정보인 ‘합성데이터’ 활용도 권장키로 했다.

기업들이 AI 서비스를 제공할 때는 학습 데이터 내용, 수집 방법을 알리는 등 투명성을 확보해야 한다. AI 서비스 중 개인정보가 드러날 때는 정보 주체가 AI 기업에 정보 열람·정정·처리 정지를 요구할 수 있도록 했다. 보호위는 AI 투명성 제고 방안, 이용자 권리 보장 방안 등을 구체화해 추후 발표할 계획이다.

■ 크롤링(crawling)

크롤링은 프로그램을 통해 웹 공간을 돌아다니며 데이터를 긁어와 수집·가공하는 것을 말한다. 데이터가 어디에 저장돼 있는지 위치를 분류하는 것이 주요 목적이며 구글, 네이버 등 검색 엔진의 핵심적인 기술이다. 검색엔진 이외에도 쇼핑몰의 최저가 비교라든지 인공지능(AI) 데이터 학습 등 웹 데이터가 필요한 분야에서 광범위하게 활용된다.

■ 규제 샌드박스

규제 샌드박스(sand box)란 신산업, 신기술 분야에서 새로운 제품이나 서비스가 출시될 때 일정 기간 동안 기존 규제를 면제·유예시켜 주는 제도다. 모래 놀이터(샌드박스)처럼 제한된 범위에서는 규제하지 않고 산업이 더 발전할 수 있도록 한다는 취지다. 2016년 영국에서 핀테크 산업을 육성하면서 처음 등장했다. 국내에도 2019년 문재인 정부 시절 규제개혁 방안 중 하나로 채택했다. 기업은 일정 조건하에 시장에 미리 출시해 실증 테스트를 할 수 있고, 정부는 그 결과에 따라 안정성과 유효성을 입증해 규제를 개선해 줄 수 있다.