개인정보위 "전문가 의견 불일치 부분 많아…개인정보 기준 어려워"
IT 업계 "AI 학습용 데이터 수집에 차질…가명정보 범위 어디까지?"
IT 전문가 "AI 딥러닝, 개인정보 관련성 커…현장 가이드라인 필요"
[시사오늘·시사ON·시사온= 한설희 기자]
AI 챗봇 ‘이루다’ 개발사 스캐터랩이 총 1억 330만 원에 이르는 과징금·과태료 행정 처분을 받았다. 국내에서 AI 기업이 개인정보보호법 위반으로 제재를 받는 것은 이번이 처음이다.
30일 업계에선 이번 행정 조치가 미칠 파장을 주목하고 있다. 법으로부터 보호받는 개인정보의 범위가 아직 모호하기 때문이다.
스캐터랩은 자사 앱 서비스 ‘텍스트앳’과 ‘연애의 과학’에서 수집한 60만 명의 카카오톡 대화(문장 94억 건)를 AI 알고리즘 학습 과정에 활용했다. 개인정보위에 따르면 스캐터랩은 이 과정에서 이름·전화번호·주소 등의 개인정보를 삭제하거나 암호화하는 등의 조치를 취하지 않았고, 개인정보의 일부를 코드공유·협업 사이트에 게시한 것이 문제가 됐다.
이용자 동의를 받고 수집한 정보를 명시된 목적 외 이용한 부분도 쟁점이 됐다.
스캐터랩 측은 개인정보처리방침 동의 항목에 ‘신규 서비스 개발’이라는 문구를 넣어 사전 동의를 받았다고 주장했지만, 개인정보위는 해당 문구로 이용자들이 이루다 같은 챗봇 서비스에 본인 정보가 이용될 것으로 예측하기 어렵다고 봤다. AI 서비스나 IoT 서비스 등 최대한 구체적인 이용 목적을 표기해야 한다는 판단이다.
개인정보위 관계자는 “이루다 사건은 전문가들 간 의견이 일치하지 않아 그 어느 때보다도 격렬한 논쟁이 있었다”며 “기업이 특정 서비스에서 수집한 정보를 다른 서비스에 무분별하게 이용하는 것이 허용되지 않고, 개인정보 처리에 대해 정보주체가 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다는 것이 이번 판단의 요지”라고 설명했다.
업계에서는 이번 판단을 기점으로 AI가 학습용 데이터를 확보하는 데 차질이 빚어질 수 있다는 지적이 나온다. 정부가 엄격하게 유출을 금지하고 있는 개인정보의 범위가 아직 모호하기 때문이다. 어느 범위까지 가명처리를 해야 AI 소스로 활용 가능한 ‘가명정보’가 될 수 있는지 가이드라인이 부족하다는 것.
익명을 요구한 업계 관계자는 “대중의 관심은 AI의 성희롱 발언, 혐오 차별 발언 등과 관련한 AI 윤리성에 대해 집중하고 있지만, 업계의 시각은 조금 다르다”면서 “개인을 식별 가능한 정보가 조금이라도 있으면 안 된다는 것이 (이번 판단에서 밝혀진) 원칙인데, 식별 기준이 무엇인지, 또 가명처리는 어디까지 해야 법망을 통과할 수 있는 것인지 연구가 필요한 상황”이라고 분석했다.
개인정보위 관계자도 “어느 범위까지 가명처리를 해야 제대로 된 가명정보로 볼 수 있느냐 하는 부분은 획일적으로 기준을 정하기 어렵다”며 “개별 사안별로 해당 여건 등을 고려해 판단할 수 밖에 없다”고 시인했다.
업계 전문가들은 이루다 사태를 계기로 AI와 관련된 개인정보보호법 기준을 재정립할 필요가 있다고 분석한다. 현재의 딥러닝 관련 개인정보 문제가 다분히 추상적이고 선언적 수준에 그치고 있어, 실제 현장에선 적용할 내용이 부족하다는 평가다.
한국전자통신연구원 지능화정책연구실은 최근 보고서를 통해 "현재의 AI 서비스가 채택하고 있는 딥러닝 방식은 데이터 의존성을 갖고 있고, 이 문제는 학습데이터 확보와 개인정보보호가 끊임없이 상충하게 되는 문제임을 상기시킨다"며 "AI 서비스의 위법성 논란으로 기업 활동이 위축되는 것을 방지하기 위해서는 실질적 AI 개발수칙과 개발자의 윤리교육 등 사전적 대응이 중요하다"고 내다봤다.
참여연대 관계자도 "이루다 사건은 이번 개보위의 조사결과와 시정조치로 일단락돼서는 안 될 것"이라며 "앞으로 더 다양한 AI활용 상품이나 서비스가 사용, 운영되면 될수록 이용자의 개인정보 자기결정권 등 다양한 기본권을 침해할 가능성은 더 높아질 수 있어, 정보주체의 기본권 보호를 위한 법적 규제가 반드시 필요하다"고 덧붙였다.
좌우명 : 사랑에 의해 고무되고 지식에 의해 인도되는 삶