개인정보위, ‘생성형 AI 이용자 위한 개인정보 보호 가이드’ 발간

개인정보보호위원회(이하 개인정보위)는 생성형 인공지능(AI) 서비스 이용자가 개인정보 처리 방식을 이해하고 스스로 정보를 관리할 수 있도록 ‘생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드’를 발간했다고 19일 밝혔다.

이번 가이드는 생성형 AI 이용 과정에서 국민이 자주 제기한 민원과 정책 제안, 상담 사례를 토대로 마련됐다. 개인정보위는 이 가운데 체감도가 높은 8대 핵심 이슈를 선정하고 학계, 법조계, 산업계, 시민사회 전문가가 참여한 ‘AI 프라이버시 민·관 정책협의회’ 정보주체 권리 분과 논의를 거쳐 가이드를 완성했다.

생성형 AI는 문서 작성, 정보 검색, 일정 관리 등 일상과 업무 전반으로 확산되고 있다. 동시에 이용자가 입력한 정보가 어떻게 처리되는지, AI 학습에 쓰이는지, 해외로 이전되는지에 대한 우려도 커지고 있다. 개인정보위는 생성형 AI를 알고 있는 20~60대 성인 가운데 약 89%가 개인정보 침해 위험을 우려하는 것으로 나타났다고 설명했다.

이번 가이드는 사업자 책임보다 이용자 관점에 초점을 맞췄다. 이용자가 AI 서비스 구조 안에서 자신의 정보가 어떻게 활용되는지 이해하고 필요한 설정을 직접 선택할 수 있도록 돕는 데 목적이 있다.

입력 정보의 학습 활용 여부 먼저 확인

가이드는 생성형 AI 서비스 이용 과정에서 개인정보가 처리되는 지점을 데이터 수집, AI 학습, 서비스 이용, 외부 서비스 연동 단계로 나눠 설명했다. 이용자가 직접 확인할 수 있는 기능으로는 옵트아웃(opt-out·학습 활용 거부), 대화 기록 저장·삭제 설정, 외부 서비스 연동 권한 관리 등이 제시됐다.

개인정보위는 AI에 입력한 질문, 파일, 이미지, 음성 등이 서비스에 따라 AI 모델 개선에 활용될 수 있다고 설명했다. 같은 서비스라도 설정에 따라 처리 방식이 달라질 수 있다. 이용자는 서비스 이용 전 입력 데이터가 학습에 활용되는지 확인하고 원하지 않을 경우 학습 활용을 제한해야 한다.

주민등록번호, 여권번호, 계좌번호, 비밀번호, 인증코드 등 중요한 정보는 처음부터 입력하지 않는 것이 원칙이다. 업무 자료나 조직 내부 정보를 넣을 때도 소속 조직의 AI 이용 지침과 승인된 도구 여부를 먼저 확인해야 한다.

삭제해도 즉시 완전 삭제 아닐 수 있어

대화 기록 삭제에 대한 설명도 담겼다. 이용자가 대화를 삭제하면 화면의 대화 목록에서는 사라지지만 서비스 운영, 보안 대응, 오류 점검, 법적 의무 이행 등을 위해 일정 기간 서버나 백업 시스템에 보관될 수 있다.

삭제 이전 입력 내용이 모델 개선이나 품질 향상 목적으로 활용됐거나 통계 처리, 비식별 형태로 별도 관리됐을 가능성도 있다. 개인정보위는 삭제 기능의 의미와 한계를 이해하고 데이터 보관 기간, 활용 범위, 관련 설정을 개인정보처리방침과 이용약관에서 확인해야 한다고 안내했다.

국외 이전 가능성도 점검 대상이다. 국내에서 글로벌 AI 서비스를 이용하더라도 데이터를 저장하거나 처리하는 서버가 해외에 있으면 대화 내용, 업로드 파일, 접속 기록이 해외로 전송될 수 있다. 이용자는 개인정보처리방침에서 국외 이전 항목, 이전 국가, 이전 목적, 보유 기간, 이전받는 자를 확인한 뒤 민감한 자료 입력 여부를 결정해야 한다.

외부 연동은 필요한 권한만 허용

가이드는 AI 챗봇에 입력한 대화 내용도 개인정보가 될 수 있다고 설명했다. 이름, 연락처, 주소, 계좌번호처럼 개인을 직접 식별하는 정보뿐 아니라 학교, 병원 진료 결과, 직장 정보처럼 여러 단서가 결합돼 특정 개인을 드러낼 수 있는 정보도 개인정보에 해당할 수 있다.

AI 서비스가 메일, 일정, 결제, 문서 도구 등 외부 서비스와 연결되는 경우에는 권한 범위를 별도로 확인해야 한다. 최근 에이전틱 AI는 이용자를 대신해 일정 관리, 회의록 정리, 상품 추천 같은 작업을 수행한다. 이 과정에서 AI에 입력한 정보가 외부 서비스로 전달될 수 있다.

개인정보위는 기능별·권한별 선택이 가능하면 필요한 범위에서만 연결해야 한다고 안내했다. 권한 범위가 과도하다고 판단되면 해당 연동이 꼭 필요한지 다시 확인해야 한다.

AI 답변에 본인이나 가족 등 제3자의 개인정보가 포함된 경우에는 해당 결과를 전송하거나 게시하지 않아야 한다. 서비스 내 신고 기능을 활용하고 화면 캡처 등 증빙을 확보한 뒤 삭제를 요청하는 방식도 제시됐다. 필요 없는 드라이브, 메일 등 외부 연동 권한은 회수하는 것이 바람직하다.

공개 정보도 무제한 학습 불가

가이드는 기사나 블로그처럼 공개된 정보라도 무제한으로 AI 학습에 사용할 수는 없다고 설명했다. 공개된 내용에 이름, 사진, 연락처 등 특정 개인을 알아볼 수 있는 정보가 포함돼 있다면 개인정보에 해당할 수 있기 때문이다.

개인정보위는 공개된 개인정보가 AI 학습에 활용되는 경우에도 법적 요건과 안전조치가 전제돼야 한다고 밝혔다. 이용자는 게시물 공개 범위를 조정하거나 삭제·비공개 설정을 활용할 수 있다. 본인이 운영하는 웹사이트나 블로그는 AI 크롤러 접근 제한 설정도 고려할 수 있다. 크롤러는 웹페이지 정보를 자동으로 수집하는 프로그램이다.

윤혜선 한양대 교수는 “생성형 AI가 일상화되었으나 이용자가 개인정보 처리 과정을 명확히 파악하기는 어려운 실정”이라며 “이번 가이드가 학습 활용 여부, 기록 삭제 등 주요 궁금증을 해소하고 이용자가 직접 자신의 개인정보를 점검하고 관리하는 첫걸음이 되기를 바란다”고 말했다.

송경희 개인정보위 위원장은 “생성형 AI 서비스의 복잡한 작동 방식 뒤에 가려져 있던 개인정보 처리 구조를 국민이 보다 쉽고 정확하게 이해할 수 있도록 하는 것이 이번 가이드의 핵심”이라며 “앞으로 이용자가 AI의 편의성을 누리면서도 옵트아웃 등 권리 행사를 통해 자신의 정보에 대한 통제권을 실질적으로 행사할 수 있도록 지원하겠다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network