최근 공공부문에서는 인공지능(AI)을 활용한 디지털 전환이 빠르게 확산되고 있다. 행정업무 자동화부터 민원서비스, 복지행정, 공공의료, 공공금융, 시설관리, 보안관제에 이르기까지 AI는 공공서비스 혁신의 핵심 기술로 자리 잡고 있으며, 정부 역시 공공부문의 AI 활용을 적극 추진하고 있다.
그러나 AI 기술 발전과는 별개로 공공기관의 개인정보 유출은 오히려 증가하는 추세를 보이고 있다. 더욱 주목해야 할 점은 유출의 상당수가 첨단 해킹보다 업무과실과 내부 관리체계의 미흡에서 비롯되고 있다는 사실이다. 이는 AI 시대에도 개인정보 보호의 핵심은 기술 자체보다 거버넌스와 내부통제에 있음을 시사한다.
개인정보보호위원회에 따르면, 공공부문 개인정보 유출 신고는 2022년 23건에서 2023년 41건, 2024년 104건, 2025년에는 128건으로 크게 증가했으며, 이는 전체 개인정보 유출 신고의 약 28.6%를 차지한다.
특히 유출 원인을 살펴보면 업무과실이 64%로 가장 높은 비중을 차지했고, 해킹은 32%로 나타났다. 위반 유형 역시 안전조치 의무 위반이 64%로 가장 많았으며, 주민등록번호 등 고유식별정보 수집 제한 위반도 지속적으로 확인되고 있다.
이러한 통계는 중요한 시사점을 던진다. 공공부문 개인정보 유출의 상당수는 첨단 해킹기술보다 △개인정보 처리 절차 미준수 △과도한 접근권한 부여 △위탁업체 관리 미흡 △시스템 설정 오류 등 내부 관리체계의 허점에서 발생하고 있다.
다시 말해 개인정보 보호 수준은 새로운 보안기술의 도입 여부보다 조직의 거버넌스와 내부통제 수준에 의해 좌우되는 경우가 많다. 이러한 이유로 개인정보위도 공공부문을 중심으로 사후 대응 중심에서 사전 예방 중심의 개인정보 보호체계로의 전환을 추진하고 있다.
물론 AI는 개인정보 보호 수준을 높이는 데 중요한 역할을 할 수 있다. AI는 방대한 로그와 개인정보 처리 이력을 실시간으로 분석해 이상행위를 탐지하고 잠재적 위험을 예측하는 데 효과적이며, 기존의 수작업 중심 보안관리 체계를 예방 중심으로 전환하는 데 기여할 수 있다. 실제로 많은 공공기관이 AI 기반 보안관제, 이상행위 탐지, 접근통제, 개인정보 모니터링 시스템을 도입하고 있다.
그러나 AI 기술을 도입한다고 개인정보 보호 수준이 자동으로 향상되는 것은 아니다. 생성형 AI에 민감한 정보가 입력되거나 AI 학습 과정에서 개인정보가 과도하게 활용될 가능성, AI 모델의 오탐·미탐으로 인한 잘못된 의사결정, 알고리즘 편향, AI 공급망을 통한 새로운 보안위협 등 기존 보안체계에서는 경험하지 못했던 새로운 위험도 함께 증가하고 있기 때문이다.
결국 AI는 개인정보 보호를 위한 하나의 수단일 뿐이며, 개인정보 보호 수준을 결정하는 것은 AI 기술 자체가 아니라 이를 운영하는 조직의 책임체계와 내부통제, 데이터 거버넌스이다.
무엇보다 공공기관은 개인정보를 기관의 핵심 자산으로 인식해야 한다. 중앙행정기관, 지방자치단체, 공기업, 준정부기관, 공공의료기관, 공공금융기관 등은 주민등록번호와 같은 고유식별정보뿐 아니라 금융정보, 건강정보, 복지정보, 위치정보, 교육정보, 민원기록 등 국민의 삶 전반과 연결되는 개인정보를 대규모로 처리한다.
이러한 정보는 개별적으로도 민감하지만 여러 데이터가 결합되는 순간 개인의 경제적 상황, 건강상태, 생활패턴, 사회적 관계까지 추론할 수 있어 유출 시 피해가 광범위하게 확산될 수 있다.
더욱이 공공기관은 민간기업과 달리 법령에 근거해 국민의 개인정보를 처리하는 경우가 많으며, 국민은 행정서비스 이용을 위해 개인정보 제공을 사실상 선택하기 어려운 경우도 적지 않다. 따라서 공공기관에는 민간보다 높은 수준의 책임성과 투명성, 설명가능성이 요구되며, AI 활용 역시 이러한 공공성의 원칙 위에서 추진돼야 한다.
이러한 개인정보를 안전하게 관리하기 위해서는 개별 보안기술보다 데이터를 어떻게 관리하고 통제할 것인지에 대한 체계적인 데이터 거버넌스가 우선 구축돼야 한다. 개인정보의 수집, 이용, 제공, 보관, 파기에 이르는 전 생애주기를 관리하고, 개인정보 처리 현황을 실시간으로 파악할 수 있는 데이터맵과 데이터 흐름 관리체계를 마련해야 한다. 데이터가 어디에서 생성되고 누구에게 제공되며 언제 삭제되는지를 기관 스스로 설명할 수 있어야 비로소 책임 있는 개인정보 보호가 가능하다.
이러한 데이터 거버넌스가 실제로 작동하기 위해서는 내부자 위험에 대한 지능형 내부통제 체계도 함께 구축돼야 한다. 최근 개인정보 유출사고를 살펴보면 외부 해킹뿐 아니라 △내부자의 권한 오남용 △계정관리 미흡 △위탁업체 관리 소홀 등이 주요 원인으로 지적되고 있다.
특히 업무과실이 가장 높은 유출 원인으로 나타난 것은 개인정보 보호의 핵심이 기술이 아니라 사람과 절차, 조직의 관리체계에 있음을 보여준다. 따라서 △최소권한 원칙 △접근통제 △권한 자동 회수 △장기 미사용 계정 관리와 함께 △AI 기반 이상행위 탐지 △관리자 행위 모니터링 등 지능형 내부통제 체계를 구축해야 한다.
이러한 내부통제 체계를 지속적으로 운영하기 위해서는 조직 차원의 책임체계 역시 명확해야 한다. 여기서 말하는 거버넌스는 단순히 조직도를 만드는 것이 아니라 기관장, 개인정보 보호책임자(CPO), 정보보호최고책임자(CISO), 최고인공지능책임자(CAIO), 정보화부서와 현업부서가 AI의 기획, 개발, 운영, 폐기에 이르는 전 과정에서 개인정보 보호와 AI 위험을 함께 검토하고 공동으로 의사결정하는 관리체계를 의미한다. 개인정보 보호를 특정 부서만의 책임으로 인식하는 조직으로는 AI 시대의 복합적인 위험에 효과적으로 대응하기 어렵다.
조직 차원의 거버넌스는 실제 AI 사업과 시스템 개발 과정에서도 구현돼야 한다. 이를 위해 AI를 활용하는 모든 사업과 서비스는 기획 단계부터 개인정보 보호 원칙을 반영하는 'Privacy by Design'을 적용하고, 개인정보 영향평가와 AI 위험관리, 안전조치 의무를 유기적으로 연계해 운영할 필요가 있다. AI를 도입한 이후 개인정보 보호를 검토하는 방식으로는 빠르게 변화하는 기술 환경에 효과적으로 대응하기 어렵다.
이러한 관리체계가 형식적인 제도에 그치지 않기 위해서는 공공기관에 대한 평가방식 역시 변화해야 한다. 앞으로 공공기관의 개인정보 보호 수준은 보안장비의 숫자나 AI 시스템의 도입 규모가 아니라 얼마나 성숙한 데이터 거버넌스와 내부통제 체계를 갖추고 있는지에 의해 평가되어야 한다.
공공기관 경영평가 역시 규정 보유 여부나 서류 중심 평가를 넘어 사고 예방 활동, 개인정보 영향평가의 실효성, 내부통제 수준, 취약점 개선률, 모의훈련 결과, 개인정보 보호 문화 정착 등 실제 운영성과를 중심으로 발전할 필요가 있다.
AI와 개인정보 보호는 상충하는 가치가 아니라 함께 달성해야 할 정책 목표다. 개인정보 보호를 이유로 AI 활용을 제한해서도 안 되고, AI 혁신을 이유로 개인정보 보호를 소홀히 해서도 안 된다. 공공기관의 경쟁력은 AI를 얼마나 많이 도입했는 지가 아니라 국민의 신뢰를 얼마나 확보했는지에 달려 있다.
그리고 이러한 신뢰는 개인정보 보호를 기반으로 한 AI 거버넌스와 책임 있는 내부통제 체계가 구축될 때 비로소 확보될 수 있다. 결국 공공부문의 지속가능한 디지털 혁신은 기술이 아니라 신뢰에서 시작되며, 개인정보 보호를 기반으로 한 AI 거버넌스 구축이 그 출발점이 되어야 한다.
홍준호 성신여대 융합보안공학과 교수
〈필자〉성신여대 융합보안공학과 교수로 재직하고 있으며, 정보보호, 개인정보보호, 산업보안, 지식재산권 법정책 등 융합연구를 진행하고 있다. 현재 AI 프라이버시 민·관 정책협의회 위원, 개인정보 처리방침 평가위원회 위원, CBPR인증위원회 위원, 저작권보호심의위원회 위원, 산업기술안보포럼 위원, 소프트웨어 기술자 경력관리 심의위원회 위원, 한국법이론실무학회 부회장, 개인정보보호법학회 상임이사, 한국정보보호학회 상임이사, 한국데이터인공지능법정책학회 기획이사 등으로 활동하고 있다.