개인정보 보호위원회

ㅇ 영국 개인정보 감독기관(ICO)은 ChatGPT와 같은 생성형 AI 및 대규모 언어모델(LLM) 사용에 따른 개인정보의 보호를 위해 생성형 AI 개발자 및 사용자가 고려해야 하는 8가지 고려사항을 규정

• 생성형 AI와 LLM 보급 확산에 따른 개인정보 침해 위험이 증가하고 있는 가운데 최근 약 2천 명의 학계 및 기술 전문가들이 6개월간 AI 개발을 유예할 것을 요구하는 서한에 서명

• 생성형 AI를 개발하거나 사용하는 기업은 처음부터 개인정보보호 의무를 고려하여 모델을 설계하고 기본 접근 방식을 설정해야 하는 법적 책임을 수반

• 공개적으로 접근 가능한 출처에서 수집한 개인정보를 처리할 경우에도 개인정보보호법은 적용되며, 개인정보를 처리하는 생성형 AI를 개발하거나 사용하는 대상은 다음 질문을 통해 스스로 검열이 필요

- (① 개인정보 처리의 법적 근거는 무엇인가?) 개인정보를 처리하는 경우, 동의(consent) 또는 정당한 이익(legitimate interests)* 등 개인정보 처리에 대한 적절한 법적 근거를 식별해야 함
* 컨트롤러 또는 제3자의 정당한 이익은 정보주체의 이익이나 기본권 및 자유가 열위인(not overriden) 경우에 한하여 개인정보 처리의 법적 근거로 인정

- (② 컨트롤러, 공동 컨트롤러 또는 프로세서인가?) 생성형 AI 개발 시 개인정보를 활용하는 경우 컨트롤러의 의무를 수반하며 타인이 개발한 AI 모델을 사용하거나 채택하는 경우 컨트롤러, 공동 컨트롤러, 또는 프로세서로 간주할 수 있음

- (③ 개인정보 영향평가(DPIA)를 준비했는가?) 개인정보를 처리하기 전 DPIA 프로세스를 통해 개인정보보호에 대한 모든 위험성을 평가하고 완화해야 함

- (④ 투명성을 어떻게 확보할 것인가?) 면제조항이 적용되는 경우를 제외하고 개인정보 처리 관련 정보에 공개적으로 접근할 수 있도록 허용해야 함

- (⑤ 보안 위험을 어떻게 완화할 것인가?) 개인정보 유출 위험 외에도 모델 전도*, 멤버십 추론**, 데이터 포이즈닝*** 등 다양한 형태의 적대적 공격에 대한 위험성을 고려하고 완화해야 함
* (model inversion) AI 모델의 작동 방식에 대한 투명한 설명으로 인해 제3자가 모델을 무단으로 도용하거나 AI 모델의 학습 데이터 세트를 부분적으로 또는 전체적으로 재구성하는 행위
** (membership inference) 제3자가 AI 모델의 학습 데이터 세트에서 특정 정보가 포함되어 있는지 무단 확인하는 행위
*** (data poisoning) AI 모델이 잘못된 결과를 도출하도록 제어하기 위해 학습 데이터 세트에 악의적이거나 오염된 데이터를 투입하여 데이터 세트를 조작하는 행위

- (⑥ 불필요한 개인정보 처리를 어떻게 제한할 것인가?) 명시된 목적에 부합한 정보만 수집해야 함

- (⑦ 정보 주체의 권리 요청에 어떻게 대응할 것인가?) 개인정보의 열람·정정·삭제 또는 기타 권리에 대한 정보 주체의 요청에 응답할 수 있어야 함

- (⑧ 생성형 AI를 사용하여 전적으로 자동화된 의사결정을 내리겠는가?) 자동화된 의사결정을 내릴 경우, 정보 주체는 영국 GDPR 제22조에 따라 추가 권리를 확보할 수 있음

[출처]
• ICO, “Generative AI: eight questions that developers and users need to ask”, 2023.4.3.


※ 본 번역 요약본의 저작권은 개인정보보호위원회 및 한국인터넷진흥원에 있으며, 본 요약본을 활용하실 경우에는 출처를 반드시 밝혀주시기 바랍니다.