개인정보보호위원회(이하 개인정보위)가 3월 27 제6회 전체회의에서 대규모언어모델(LLM)을 개발 및 배포하거나 이를 기반으로 인공지능(AI) 서비스를 제공하는 6개 사업자에 대하여 개인정보 보호의 취약점을 보완하도록 개선 권고를 의결했다. 이번에 개선 권고 대상이 된 6개 LLM 사업자는 오픈AI, 구글, 마이크로소프트, 메타, 네이버, 뤼튼이다.

개인정보위는 초거대 생성형 AI 서비스의 급속 확산으로 개인정보 침해 우려가 증대됨에 따라 국민 불안의 조기 해소와 안전한 서비스 활성화를 위해 지난해 11월부터 한국인터넷진흥원(KISA)과 함께 주요 AI 서비스를 대상으로 사전 실태 점검을 진행했다.

AI 단계별 개인정보 보호의 취약점 점검 결과 전반적으로 개인정보 처리 방침 공개, 데이터 전처리, 정보 주체의 통제권 보장 등 보호법상 기본적 요건을 대체로 충족했으나 세부적으로 ▲공개된 데이터에 포함된 개인정보 처리 ▲이용자 입력 데이터 등의 처리 ▲개인정보 침해 예방·대응 조치 및 투명성 등 관련하여 일부 미흡한 사항이 발견됐다. 개인정보위는 이에 대한 개선 조치를 다음과 같이 권고했다.

공개된 데이터에 포함된 개인정보의 처리 관련

AI 서비스 제공 사업자는 인터넷에 공개된 데이터를 수집하여 AI 모델 학습 데이터로 사용하는데 이 과정에서 주민등록번호, 신용카드 번호 등 한국 정보 주체의 중요한 개인정보가 포함될 수 있는 것으로 밝혀졌다.

오픈AI, 구글, 메타는 개인정보 집적 사이트를 AI 모델 학습에서 배제하고 학습 데이터 내 중복 및 유해 콘텐츠 제거 조치와 AI 모델이 개인정보를 답변하지 않도록 하는 조치는 적용하고 있으나 학습 데이터에서 주민등록번호 등 주요 식별 정보를 사전 제거하는 조치가 충분하지 않은 것으로 확인됐다.

이에 대해 개인정보위는 AI 서비스 제공 단계별 보호 조치 강화를 요구하고 최소한 사전 학습 단계(pre-training)에서 주요 개인 식별 정보 등이 제거될 수 있도록 인터넷에 우리 국민의 개인정보가 노출된 것을 탐지한 데이터(URL)를 AI 서비스 사업자에게 제공할 계획이다.

이용자 입력 데이터 등의 처리 관련

LLM 기반 AI 서비스 제공 사업자는 AI 모델이 정확한 답변을 하도록 다수의 검토 인력을 투입하여 이용자 질문 및 이에 대한 AI 모델의 답변 내용을 직접 열람 및 검토하여 수정하는 방법으로 데이터세트를 만들고 있으며 이를 AI 모델 학습 및 프롬프트 등 서비스 개선에 활용하고 있는 것으로 확인됐다.

그러나 이용자 관점에서는 본인이 입력한 데이터를 검토 인력이 투입되는 ‘인적 검토(processed by human reviewer)’ 과정 자체를 알기 어렵고 중요 개인정보 및 이메일 등 민감한 내용을 입력하거나 AI 서비스 제공자가 식별자 및 개인정보 제거 등 조치 없이 해당 정보를 DB화할 경우 사생활 침해로 이어질 위험이 있다.

개인정보위는 AI 모델 등 개선 목적으로 이용자 입력 데이터에 대한 인적 검토 과정을 거치는 경우 이용자에게 관련 사실을 명확하게 고지하고 이용자가 입력 데이터를 손쉽게 제거, 삭제 및 사용 중단할 수 있도록 해당 기능에 대한 접근성을 제고하도록 권고했다.

개인정보 침해 예방·대응 조치 포함 서비스 전반 관련

AI 서비스는 종전의 서비스와 비교해 처리하는 개인정보의 항목, 처리 방법 및 목적, 보유 및 이용 기간 등에 있어 현격한 차이가 존재한다. 또한 LLM 복제 모델이나 오픈소스 형태로 배포되는 경우 LLM에 취약점이 발견되어도 후속 조치가 즉시 개선되기 어려운 사례가 확인됐다. 아울러 동일 LLM 기반의 AI 서비스라도 사업자에 따라 개인정보 및 아동·민감 정보에 대한 답변 등 침해 예방 조치의 정도가 다른 것으로 확인됐다.

개인정보위는 AI 서비스와 관련된 내용을 종합하여 개인정보 처리방침 등에 보다 구체적으로 안내하고 부적절한 답변에 대한 신고 기능을 반드시 포함하는 것은 물론, AI 서비스 및 LLM의 취약점 발견 시 신속히 조치할 수 있는 프로세스도 갖추도록 개선 권고했다. 참고로 AI 서비스를 만 14세 미만 연령 확인 절차 없이 운영하는 사례도 발견됐으나 이번 점검 과정에서 모두 개선됐다.

이번 AI 점검은 개인정보 보호법 개정으로 개인정보 보호의 취약점을 선제적으로 해소하기 위해 도입된 사전 실태 점검 제도를 민간 부분에 첫 적용한 사례로 급변하는 AI 기술 변화에 맞춰 초기 단계인 AI 산업의 활성화를 고려하면서 개인정보 보호를 위해 개선이 시급한 취약점을 확인 및 보완하도록 유도했다는 데 의의가 있다.

개인정보위는 진행 중인 AI 서비스에 대한 사전 실태 점검을 조속히 마무리하고 향후 AI 모델의 고도화 오픈소스 모델의 확산 등 새로운 AI 기술과 산업 변화에 맞춰 정보 주체의 개인정보를 안전하게 보호할 수 있도록 지속적인 모니터링과 함께 AI 관련 6대 가이드라인 등의 정책 방향 마련, 개인정보 강화 기술(PET: Privacy Enhancing Technologies) 개발과 보급 등의 후속 조치도 차질없이 추진할 계획이다.

석주원 기자 다른기사 보기