개인정보보호위원회가 지난해 11월 입법예고한 개인정보보호법 시행령 개정안이 지난 6일 국무회의에서 의결되면서 인공지능(AI) 시대에 대비해 마련한 개인정보 안전장치들이 시행될 예정이다. 법조계에서는 개정안이 정보주체의 권리를 강화하고 AI 사업자들이 부담해야 할 의무를 강화한 만큼 이를 숙지하고 미리 법적 리스크에 대비할 필요가 있다고 당부했다.

14일 법조계에 따르면 내일부터 AI의 자동화된 결정에 대해 정보주체인 국민의 권리를 구체화 하는 내용을 담은 '개인정보보호법 시행령' 개정안이 시행된다. 

이번 개정안에는 AI의 확산에 따른 자동화된 결정 영역에서 국민의 권리를 신설하는 내용이 담겼다. 사람 개입 없이 이뤄지는 AI의 '완전히 자동화된 결정' 과정에서 정보주체인 국민이 이 결정에 대한 설명이나 검토 요구를 할 수 있게 된다. 국민의 권리나 의무에 중대한 영향을 미치는 경우에는 거부도 할 수 있다.

예를 들어 AI 면접에서 AI가 응시자 개인정보를 분석해 합격 여부를 결정하는 경우 이는 '완전히 자동화된 결정'에 해당하며, AI 면접 결과에 대해 응시자가 설명·검토 등 이의제기를 할 수 있게 되는 셈이다. 

대량 또는 민감한 개인정보를 처리하는 기업·공공기관의 개인정보 보호책임자(CPO)의 전문성·독립성을 위해 자격 요건을 강화하는 내용도 포함됐다. CPO는 개인정보보호·정보보호·정보기술 등 관련 경력 4년 이상을 갖춘 사람만 지정할 수 있도록 하고 CPO 협의회 구성으로 상호 협력 활동이 가능하도록 했다.

공공분야 개인정보 보호수준 평가에 대한 법적 근거도 신설했다. 매년 개인정보위원회에서 실시하는 공공기관 개인정보 관리수준 진단의 법적 근거가 명확하지 않아 결과에 대한 신뢰성 확보에 한계가 있다는 지적이 있었는데, 이를 개선한 것이다. 

법조계는 AI 기술을 활용하는 기업이나 사업자들이 개정안을 숙지해 '완전히 자동화된 결정'에 해당하는 것과 그렇지 않은 것을 구별하는 등 미리 대비할 것을 당부했다. 또 개인정보위원회가 CPO 자격 요건 인정에 대한 세부적인 절차 및 기준 등에 관한 별도 안내서를 오는 6월까지 마련할 계획이라고 밝힌 만큼, 이를 모니터링 하고 CPO 자격 요건을 갖출 수 있도록 조치할 필요가 있다고 강조했다.

강신욱 법무법인 세종 변호사는 "'완전히 자동화된 결정'은 개인정보처리자가 최종적인 결정을 하는 것으로, 정보주체의 권리 또는 의무에 직접 영향을 미치는 것이어야 한다"며 "맞춤형 광고·뉴스 추천과 같이 개인정보처리자가 단순히 추천만 하고 그 추천에 따른 최종적인 선택·결정은 정보주체가 하는 경우 등은 자동화된 결정에 해당하지 않는다"고 설명했다. 

이광욱 법무법인 화우 변호사는 "이번 개정안은 AI의 자동화된 결정에 대한 규제를 강조하고 있는데 AI의 개인정보 처리에 대해 정보주체가 그 과정을 열람하고 설명을 듣거나, 거부할 권리를 보장하는 것은 분명 중요한 일"이라고 하면서도 "AI의 자동화된 결정에 대해 기준과 처리 과정, 절차를 모두 설명하도록 해 사업자들이 부담해야 할 의무가 지나치다는 평가가 제기될 수 있다"고 지적했다.

그러면서 "사업자들은 설명의무 준수를 위해 AI의 개인정보 처리에 대해 어디까지 살펴보고 어떤 방식으로 정보주체에게 관련 사항을 전달할지 등 법적 리스크를 최소화 할 방법을 고심할 필요성이 있다"고 말했다.