AI를 안전하게 사용하려면

안녕하세요, 모두를 위한 스마트워크 신용우입니다.

지난 시리즈에서는 온톨로지를 여섯 편에 걸쳐 다뤘습니다. 흩어진 기록을 관계로 잇고, AI도 읽을 수 있는 구조로 만들자는 이야기였습니다. 그런데 그 구조에 정보를 채워 넣기 전에 먼저 짚고 갈 것이 있습니다. 그 정보를 AI에게 맡겨도 되는지, 맡긴다면 어떻게 해야 안전한지입니다. 이번 시리즈는 여기서 시작합니다.

붙여넣는 순간

상담을 마치고 기록할 것이 많이 밀린 저녁입니다. 낮에 만난 분의 이야기를 정리해야 하는데 손이 무겁습니다. 그래서 상담 내용을 챗지피티 입력창에 그대로 붙여넣습니다. 이름이며 사는 곳, 병명, 가족 관계까지 한 줄도 빼지 않고 넣습니다. 잠시 뒤 깔끔하게 정리된 문장이 나옵니다.

이 짧은 순간, 세 가지 일이 한꺼번에 벌어집니다.

먼저 그 정보가 국외로 나갑니다. 우리가 쓰는 챗지피티나 제미나이의 서버는 대부분 해외에 있습니다. 개인정보가 해외 서버로 건너가는 것을 개인정보보호법 제28조의8은 국외이전이라고 부르고, 국외이전은 당사자에게 따로 동의를 받아야 하는 사안입니다.

다음으로 입력한 내용이 AI를 학습시키는 데 쓰일 수 있습니다. 무료 개인용 서비스에 넣은 내용은 모델 학습에 활용됩니다. 또한 개인정보를 어떻게 처리할지에 대한 방침이나 계약도 없습니다. 그래서 결론은 분명합니다. 무료 개인용 AI에 사례기록 원본을 그대로 붙여넣는 일만큼은 하지 말아야 합니다. 현장에서 가장 자주 일어나는 사고가 바로 이것입니다.

마지막으로 그 내용은 대부분 민감정보입니다. 개인정보보호법 제23조는 건강 상태와 질환명, 장애유형, 정신건강, 가족력 같은 정보를 따로 정해 더 높은 보호를 요구합니다. 상담 기록은 한 줄만 떼어 봐도 이 가운데 하나가 들어 있습니다.

저장 동의와 분석 동의는 다릅니다

앞의 세 가지는 결국 이런 결론에 이르게 됩니다. 당사자에게 동의를 받아야 한다는 것이죠. 그것도 하나가 아닙니다. 정보를 모아서 보관하겠다는 동의가 기본이고, 민감정보가 들어가면 별도 동의를, 해외 서버에 보관하면 국외이전 동의를 더 받습니다.

그런데 이 동의들은 모두 정보를 모으고 보관하는 일에 대한 것입니다. AI로 분석하는 일은 목적이 다릅니다. 그래서 처음부터 짚어 둘 것이 하나 있습니다. 저장에 동의를 받았다고 해서 AI 분석에도 그대로 쓸 수 있다고 보기는 어렵다는 점입니다.

개인정보는 수집할 때 동의받은 목적 안에서 쓰는 것이 원칙입니다. 저장 목적으로 받은 동의로 AI 분석에 넣으면, 처음 약속한 목적을 벗어납니다. 개인정보보호법 제18조가 제한하는 목적 외 이용입니다. 그래서 AI로 분석할 생각이라면 분석을 목적으로 동의를 따로 받아 두는 편이 안전합니다. 클라우드를 쓰고 있다는 사실과 AI가 그 정보를 분석해도 좋다는 허락은 같은 말이 아닙니다.

한 가지 더 구분할 것이 있습니다. 구글이나 AI 회사에 정보 처리를 맡기는 것은 법으로 보면 위탁입니다. 위탁은 당사자에게 동의를 받는 일이 아니라 처리방침에 그 사실을 공개하면 되는 일입니다. 반면 지자체나 사회보장정보원에 실적을 보고하며 정보를 넘기는 것은 제3자 제공이라 동의가 필요합니다. 둘은 절차가 다르므로 구분해야 합니다.

넣기 전에 확인할 것

상담기록을 무료 개인용 AI에 그대로 넣으면 정보가 국외로 나가고, 학습에 쓰일 수 있고, 그 내용은 대부분 민감정보입니다. 민감정보는 모으는 단계에서 별도 동의가 필요하고, 저장에 받은 동의가 AI 분석까지 포함하지는 않습니다. 분석에 쓰려면 그 목적으로 동의를 따로 받아 두는 편이 안전합니다.

앞으로 시리즈에서는 구체적인 동의 문구, 학습에 쓰지 않는 AI를 고르는 법 등을 하나씩 다루도록 하겠습니다.

감사합니다.