[뉴스메이커] 고학수 "법 아닌 원칙 기반 판단…모르겠으면 위원회 오시라"

고 개인정보위원장 18일 미국 기업인들 만나

"기업에 최대한 자율성 보장…연내 AI 지침 발표"

고학수 개인정보위원장이 18일 서울 종로구 포시즌스호텔에서 주한미국상공회의소(암참) 주관으로 열린 정책 간담회에서 기조강연을 하고 있다. [사진=암참]

"법이 아닌 원칙에 기반해 인공지능(AI) 학습과 개인정보 보호 간 균형점 찾도록 하겠다. 정 모르겠으면 개인정보위원회로 오시라."

고학수 개인정보위원장은  18일 서울 종로구 포시즌스호텔에서 열린 정책 간담회에서 이같이 말했다. 주한미국상공회의소(암참) 주관으로 진행된 간담회엔 제임스 김 암참 회장 겸 대표이사를 비롯한 한·미 기업 대표 50여 명이 참석했다. 

지난해에 이어 올해도 암참 간담회에 참석한 고 위원장은 이날 미국 기업 대표들에게 개인정보위 정책 추진 방향을 소개하고, 한국이 국제 AI 규율을 주도하겠다는 포부를 밝혔다. 

올해 개인정보 분야에선 국제 허브로 도약할 수 있도록 국제 공조를 강화하고 있다. 그 일환으로 유엔·경제협력개발기구(OECD)·세계개인정보감독기구총회(GPA)·아태지역 개인정보감독기구협의체(APPA) 등 국제 협의체와 회의에 참여했다.

이를 통해 AI 프라이버시 규범 논의 초기 단계부터 주도적으로 참여하는 한편 AI 프라이버시 국제 콘퍼런스와 2025년 GPA 총회 등을 개최해 국제 규범 논의를 선도할 계획이다. GPA는 미국과 유럽연합(EU), 영국, 일본 등 89개국 137개 기관이 참여하고 있는 세계 최대 규모 개인정보 분야 국제 협의체다.

GPA 총회 개최는 글로벌 개인정보 규범 논의를 주도하는 계기가 될 것으로 기대된다. 고 위원장은 "(개인정보 분야는) 국제 협의 공조가 매우 중요한 영역"이라면서 "내년 GPA가 서울에서 일주일간 열리는데, 각국 감독기관은 물론 많은 기업이 참여한다"고 소개했다.

미국 기업 대표들을 향해 원칙에 기반한 개인정보보호법 적용도 강조했다. 고 위원장은 "개인정보보호법은 AI를 염두에 두지 않고 만든 법"이라며 "법이 아닌 원칙을 기준으로 개인정보 침해 여부를 판단하겠다"고 말했다.

고 위원장은 '원칙에 따른 판단'은 기업에 최대한 자율성을 부여하는 것이라고 설명했다. 그는 "가령 AI 언어모델이 학습하기 위해 데이터를 최대한 긁어모은 후 개인정보를 비식별하는 방법과 애초 개인정보를 제외한 데이터를 뽑는 방법 등 2가지가 있다"면서 "기업은 상황에 맞춰 양자택일하면 된다. 이를 법을 통해 강제하지 않겠다"고 기업인들의 관련 우려를 누그러트렸다.

그러면서 "AI 시대에 개인정보 침해 리스크를 0으로 만들겠다는 건 현실적이지 않다"며 "리스크가 미미한 수준이라면 큰 고민하지 않고 지나가도 괜찮지 않을까 싶다"고 언급했다. 

'사전 적정성 검토 제도'를 적절히 활용할 것도 당부했다. 기업이 새 기술·서비스를 만드는 과정에서 개인정보위와 함께 개인정보보호법 준수 방안을 마련하는 제도다. 이를 적절히 적용했다면 추후 법을 위반했더라도 행정처분 대상에서 제외된다. 고 위원장은 "개인정보와 관련해 불안하다고 느끼는 기업이라면 언제든지 개인정보위와 함께 방안을 논의할 수 있다"고 말했다.

고 위원장은 AI 관련 6대 가이드라인도 자세히 소개했다. 그는 "'개인정보를 보호하기 위해 어떤 정책을 수립하느냐'는 저에게 주어진 사명감"이라며 "실제 전담 조직(TF)을 만들어 지난해 8월부터 관련 정책을 제시한 데 이어 올해는 6대 가이드라인을 발표하고 있다"고 설명했다.

6대 가이드라인은 △비정형 데이터 가명 처리 △공개된 개인정보 처리 △생체인식정보 규율 체계 △합성데이터 활용 △이동형 영상기기 촬영 정보 활용 △AI 투명성 확보 등이다. 개인정보위는 지난 2월 비정형데이터 가명 처리 기준을 발표하고, 전날 공개된 개인정보 처리 기준을 공개했다. 그는 "사실 기업들이 AI 모델을 만들 때 크롤링(인터넷을 돌아다니며 정보를 수집해 오는 작업)을 통해 학습 데이터를 수집해도 되느냐는 질문이 많았다"며 공개된 개인정보 처리 기준 추진 배경을 제시했다.

고 위원장은 '개인정보 보호론자냐, 활용론자냐'는 물음에는 "질문이 틀렸다고 생각한다"고 답했다. 그러면서 "보호만 할 거면 오히려 법은 필요 없고 데이터를 수집하는 것을 금지하면 되는 것"이라며 "큰 틀에서 보면 국민이 정보 주체로서 불안감을 느끼지 않게 하는 것과 기업이 혁신하는 데 불편하지 않게 하는 것이 중요하다고 답했다.