AI를 안전하게 사용하려면 · 2편

AI를 안전하게 사용하려면

안녕하세요, 모두를 위한 스마트워크 신용우입니다.

지난 편에서는 상담기록을 AI에 그대로 붙여넣으면 왜 안 되는지 살펴봤습니다. 보관하겠다고 받은 동의가 AI 분석까지 허락한 것은 아니라는 이야기였습니다.

그럼 어떻게 하면 쓸 수 있을까요.

학습에 쓰여도 괜찮은 것이 무엇인지 구분합니다

1편에서 말씀드린 대로 무료 개인 계정으로 쓰는 챗지피티나 제미나이에 넣은 내용은 모델 학습에 쓰입니다. 그러니 개인정보가 있는지만 볼 일이 아닙니다. 입력창에 붙여넣는 내용이 외부에 나가도 괜찮은지를 봐야 합니다.

법령이나 통계를 찾고 이미 공개된 자료를 정리하는 일은 지금 쓰는 무료 개인 계정으로 하셔도 됩니다. 어차피 공개된 내용이니까요. 이런 업무에는 AI 분석 동의나 위탁 문서도 필요하지 않습니다.

그런데 같은 문장 다듬기라도 그 재료가 기관 정보면 달라집니다. 사업계획과 예산안, 회의 내용 같은 내부 자료는 공개할 글이 아니고 개인정보를 담기도 합니다. 무료 개인 계정에 넣으면 AI가 학습하고, AI가 누군가에게 알려줄 수도 있습니다.

AI 분석 동의는 별도 항목으로 받습니다

쓰던 동의서 맨 끝에 "AI 활용에 동의합니다" 한 줄을 붙이는 것으로는 부족합니다. 어떤 정보를 어떤 목적으로 처리하는지 당사자가 알 수 있어야 합니다.

사실 법이 AI 분석을 별도 동의 항목으로 정해둔 것은 아닙니다. 처음 받는 동의서라면 수집·이용 목적에 AI 분석 보조를 넣어 함께 받아도 됩니다. 문제는 이미 받아둔 동의입니다. 당사자에게 처음 받았던 프로그램 신청서와 동의서에 AI 분석 내용이 없었다면, 저장하겠다고 받은 동의로 분석까지 하는 것은 목적 외 이용입니다. 그 부분은 새로 받아야 합니다.

그런데 새로 받든 처음부터 받든 AI 분석은 항목을 따로 세우는 편이 맞습니다. 이유는 거부권입니다. 수집·이용은 거부하면 서비스 자체가 어려운 필수 항목입니다. AI 분석은 거부해도 담당 사회복지사가 직접 검토하면 되는 보조 처리입니다. 필수 항목에 묶으면 당사자가 AI 분석만 골라서 거부할 수 없게 되고, 사실상 강제한 동의가 됩니다.

AI 분석 항목에 들어갈 내용은 이렇습니다.

예시로 드린 항목을 참고하여 작성합니다. AI 분석 항목은 새 영역이라 배포 전에 개인정보 업무를 아는 분께 검토를 받습니다.

거부 시 대체 방법을 안내합니다

AI 분석 동의는 거부할 수 있어야 합니다. 거부하면 담당 사회복지사가 직접 검토하도록 절차를 정하고 동의서에 적습니다.

선택 항목이나 AI 분석 항목에 "동의하지 않으면 서비스를 이용할 수 없다"는 문구를 일괄 적용하면 사실상 동의를 강요하는 것으로 해석될 수 있습니다. 실제로 제한되는 서비스가 있다면 제한 내용과 대체 방법을 사실대로 안내합니다.

그런데 AI가 서비스 그 자체인 사업도 있습니다. AI가 전화를 걸어 안부를 확인하는 AI 안부콜 같은 것입니다. 여기서 AI 처리를 거부하면 그 서비스는 성립하지 않습니다. 이때는 불이익이 없다고 적으면 오히려 거짓 안내가 됩니다. 그 사업에 한해 AI 처리를 필수 동의로 받고, 동의하지 않으면 해당 서비스 이용이 어렵다고 사실대로 적습니다.

대신 사람이 직접 거는 안부전화나 방문 확인처럼 대체할 서비스가 있다면 함께 안내합니다. 그리고 거부의 효력은 그 사업까지만입니다. AI 안부콜을 거부했다고 기관의 다른 서비스까지 막을 수 없습니다.

한 가지 더 생각해 둘 것이 있습니다. 지금은 과도기라 AI를 거부할 수 있습니다. 그런데 앞으로 AI 기반의 사업이 늘어나면 언젠가 AI가 기본값이 되는 때가 올 수 있습니다. 은행 점포가 줄어든 뒤 창구를 찾는 어르신이 겪는 일을 우리는 이미 봅니다. 거부한 당사자에게 남는 서비스가 더 느리고 더 좁아진다면 거부권은 서류의 형식으로만 남습니다. AI 없이도 서비스의 본질이 유지되는 선을 어디에 둘지, 그 대체 절차를 지키는 비용을 누가 감당할지는 그때 가서 정할 일이 아니라 동의서를 만드는 지금 함께 고민할 일이라고 생각합니다.

기록물은 기관 계정에 저장합니다

당사자 기록은 담당자 개인 계정의 드라이브나 메일에 저장하면 안 됩니다. 기관이 소유하고 관리하는 계정에 있어야 접근권한을 제한하고 담당자가 바뀔 때 권한을 거둘 수 있습니다.

AI가 만든 사례 요약과 분석 결과도 당사자 정보가 담긴 기록물입니다. 원본 기록과 같은 기준으로 기관 계정에 두고 접근권한과 보유기간을 관리합니다.

정리하면 이렇습니다. 학습에 쓰여도 괜찮은 업무는 바로 시작합니다. 기관 정보를 다루려면 기관 계정의 기업용 서비스를 씁니다. 당사자 기록을 입력할 때는 처리 목적과 법적 근거를 확인하고, 동의를 근거로 삼는다면 AI 분석 항목을 따로 받습니다. 거부 시 대체 방법을 안내하고 기록물은 기관 계정에 저장합니다.

감사합니다.