AI 윤리원칙 (개인정보, 프라이버시, AI 행위자)

어느 날 갑자기 중국어로 욕을 퍼붓는 전화를 받은 적이 있습니다. 저는 중국어를 한 마디도 못 하지만, 상대가 화가 났다는 건 목소리 톤만으로도 충분히 알 수 있었습니다. 알고 보니 제 개인정보가 어딘가에서 새어 나가 중국 구인 사이트에 올라가 있었던 겁니다. 이 경험이 있고 나서, 저는 AI에 아무 생각 없이 정보를 입력하는 제 습관부터 돌아보게 됐습니다. 정부가 새로 확정한 대한민국 인공지능 윤리원칙은 바로 그 지점을 건드립니다.

개인정보 유출, 남의 일이 아니었습니다

쿠팡 고객정보 유출 사태가 터졌을 때 많은 분들이 분노했습니다. 카드사, 언론사, 유튜브 관련 서비스까지 줄줄이 터지면서 "도대체 내 정보가 어디까지 퍼진 건가" 싶은 느낌이 들었던 시기이기도 합니다. 저도 그때 꽤 예민하게 반응했던 기억이 납니다.

그런데 제가 직접 겪은 건 더 황당했습니다. 중국어로 된 메일이 한 통 왔는데, 번역기로 돌려보니 "귀사의 구인 공고를 보고 면접 일정을 문의한다"는 내용이었습니다. 저는 중국에 어떤 사업 근거지도 없고, 중국어로 된 공고를 낸 적도 없습니다. 누군가 제 개인정보를 도용해 구인 사이트에 올렸다는 뜻이었습니다.

그날 바로 비밀번호를 전부 바꾸고, 2단계 인증과 차단 설정을 했습니다. 사실 이런 경험을 하기 전까지는 개인정보 보호를 "기업이 잘 하면 되는 문제"로만 여겼는데, 막상 당하고 나면 생각이 달라집니다. 정보 유출의 피해는 결국 개인에게 돌아오기 때문입니다.

여기서 개인정보(Personal Data)란 이름, 전화번호, 주소처럼 특정 개인을 식별할 수 있는 모든 정보를 의미합니다. 쉽게 말해 "이 정보만 있으면 나를 찾아낼 수 있는 것들"이 전부 포함됩니다. 문제는 이 정보가 이미 여러 경로로 대량 유통되고 있다는 점이고, AI 서비스의 확산이 그 경로를 한 가지 더 추가하고 있다는 점입니다.

요약: 개인정보 유출은 기업만의 문제가 아니라 내 일상에 직접 피해를 주는 현실이며, AI 확산은 그 위험 경로를 하나 더 늘리고 있습니다.

 

AI 행위자, 이용자도 책임 주체가 됐습니다

2025년 확정된 대한민국 인공지능 윤리원칙에서 가장 눈에 띄는 변화는 'AI 행위자(AI Actor)'라는 개념을 명시적으로 정의했다는 점입니다. AI 행위자란 AI와 관련해 실질적 역할을 수행하거나 직간접적으로 관여하는 모든 개인과 조직을 가리킵니다. 쉽게 말해 AI를 만드는 기업뿐 아니라, AI를 일상에서 쓰는 우리 모두가 이 개념에 포함된다는 뜻입니다.

2020년에 처음 마련된 AI 윤리기준도 이용자를 완전히 배제하진 않았지만, 사실상 공급자 중심의 원칙으로 읽히는 경향이 있었습니다. "기업이 알아서 잘 만들면 되는 것"이라는 분위기였다고 하면 과장일까요. 이번에는 그 구조가 달라졌습니다. 이용자도 책임 있게 사용해야 한다는 원칙이 공식 문서에 명시된 겁니다(출처: 과학기술정보통신부).

AI 윤리원칙은 3대 핵심 가치로 인간의 존엄성, 사회의 공공선, 인류의 지속가능성을 제시합니다. 이를 실현하기 위한 7대 원칙은 아래와 같습니다.

• 인간 중심성: AI가 사람의 자율성과 판단을 대체하지 않도록 한다
• 프라이버시 보호: 개인의 사적 정보를 AI에 무단 입력·공유하지 않는다
• 공정성·포용성: AI의 혜택이 특정 집단에 편중되지 않도록 한다
• 책임성: AI 관련 결정과 그 결과에 대해 책임 주체를 명확히 한다
• 안전성: AI가 예측 불가능한 피해를 일으키지 않도록 한다
• 신뢰성: AI 시스템이 일관되고 예측 가능하게 작동하도록 한다
• 투명성: AI의 작동 방식과 판단 근거를 이해할 수 있게 한다

법적 구속력은 없는 자율규범(Voluntary Norm)입니다. 여기서 자율규범이란 법 조항처럼 위반 시 처벌이 따르는 것이 아니라, 업계와 개인이 스스로 지키도록 권고하는 기준을 의미합니다. "법이 아니니 안 지켜도 되는 것 아니냐"고 생각하실 수 있는데, 저는 오히려 이 부분이 더 중요하다고 봅니다. 강제되지 않을 때 어떻게 행동하느냐가 진짜 태도를 드러내기 때문입니다.

요약: 이번 AI 윤리원칙은 이용자도 'AI 행위자'로 명시해 책임 주체로 규정했으며, 7대 원칙은 법적 강제 없이 자율 실천을 요구합니다.

 

프라이버시, 우리가 스스로 넘기고 있지는 않습니까

쿠팡이나 카드사 유출 때는 "기업이 잘못했다"고 분노할 수 있었습니다. 그런데 생성형 AI(Generative AI)를 쓸 때는 다릅니다. 생성형 AI란 텍스트, 이미지, 음성 등을 스스로 만들어내는 AI 시스템을 말하는데, 챗GPT나 클로드 같은 서비스가 대표적입니다. 문제는 우리가 이 서비스에 대화를 입력할 때 별 생각 없이 꽤 민감한 정보를 포함시킨다는 점입니다.

"이 계약서 검토해줘"라며 거래처 이름과 금액을 통째로 붙여넣거나, "이 환자 상태를 분석해줘"라며 실명이 담긴 진료 기록을 올리는 경우도 있다고 합니다. 저도 솔직히 이건 예상 밖이었습니다. 처음 AI를 쓰기 시작했을 때 계약 관련 문서를 그냥 복사해서 붙여넣은 적이 있었거든요. 나중에 생각해보니 그게 얼마나 위험한 행동이었는지 아찔했습니다.

이번 윤리원칙은 그 지점을 명확하게 짚습니다. 다른 사람의 사적인 대화, 사진, 음성, 위치 정보를 프라이버시(Privacy)를 침해하는 방식으로 AI에 입력하거나 공유하지 않는 것이 이용자의 역할이라고 명시했습니다. 프라이버시란 개인이 자신의 정보를 스스로 통제할 수 있는 권리를 의미합니다. 다른 사람의 정보를 내가 AI에게 넘기는 것은, 그 사람의 통제권을 내가 가로채는 행위와 다름없습니다.

기업이 유출했을 때는 목소리를 높이면서, 정작 본인이 자발적으로 정보를 제공할 때는 아무 생각이 없다면 그건 앞뒤가 맞지 않는 태도입니다. 저는 그 점을 스스로 먼저 인정하는 것이 출발점이라고 생각합니다.

요약: 생성형 AI에 타인의 정보를 무심코 입력하는 행위 자체가 프라이버시 침해이며, 이용자 스스로의 경각심이 먼저 필요합니다.

 

원칙이 현장에 닿으려면 무엇이 더 필요할까

과학기술정보통신부는 이번 윤리원칙이 현장에서 실제로 작동하도록 일반인 대상 해설서, 윤리교육 교재, 분야별 자율점검표(Self-Assessment Checklist)를 별도로 마련할 계획이라고 밝혔습니다. 자율점검표란 기업이나 개인이 스스로 원칙 준수 여부를 확인할 수 있도록 항목화된 점검 도구를 말합니다. 제도적으로는 꽤 체계적인 접근이라고 생각합니다(출처: 동아일보).

"AI 혁신을 가속화하는 것과 안전하고 신뢰할 수 있는 AI 환경을 조성하는 것은 서로 대립하는 과제가 아니다"라는 배경훈 부총리의 발언은 방향성 면에서 맞는 말이라고 봅니다. 혁신과 안전이 충돌한다는 시각도 있는데, 저는 신뢰가 없는 혁신은 결국 이용자에게 외면받는다고 생각하기 때문입니다.

다만 자율규범이 실효성을 가지려면 몇 가지가 더 필요하다고 봅니다. 원칙을 이해하기 쉽게 풀어준 콘텐츠가 실제로 일반 이용자에게 닿아야 하고, 기업이 점검표를 형식적으로 채우는 데 그치지 않아야 합니다. 제가 직접 써봤는데 AI 서비스 내 개인정보 처리 방침은 대부분 너무 길고 어려워서 끝까지 읽는 사람이 드뭅니다. 원칙이 아무리 훌륭해도 이용자가 이해하지 못하면 공문서에 머물게 됩니다.

알고리즘 편향(Algorithm Bias)도 함께 주목해야 할 지점입니다. 알고리즘 편향이란 AI가 학습한 데이터에 내재된 편견이 결과물에 그대로 반영되는 현상을 뜻합니다. 프라이버시 침해 못지않게 공정성과 투명성을 위협하는 문제인데, 이 부분이 이용자 관점에서 얼마나 실질적으로 다루어질지는 좀 더 지켜봐야 할 것 같습니다.

요약: 자율규범이 현장에서 작동하려면 쉬운 언어로 된 이용자 교육과, 형식에 그치지 않는 실질적 점검이 뒷받침되어야 합니다.

 

자주 묻는 질문

Q. AI 윤리원칙을 어기면 실제로 처벌받나요?

A. 이번에 확정된 AI 윤리원칙은 법적 구속력이 없는 자율규범입니다. 위반해도 법적 처벌이 따르지는 않습니다. 다만 자율규범이라고 해서 가볍게 볼 수 없다는 시각도 있는데, 향후 관련 법제화의 기준으로 활용될 가능성이 있고, 기업 입장에서는 사회적 신뢰와 직결되는 문제이기 때문입니다.

 

Q. 챗GPT 같은 AI에 회사 문서를 붙여넣으면 개인정보 침해인가요?

A. 상황에 따라 다릅니다. 특정 개인을 식별할 수 있는 정보가 포함된 문서라면 개인정보 침해 소지가 있고, 회사 기밀이 포함된 경우엔 별도의 보안 문제도 생깁니다. 이번 AI 윤리원칙은 이런 행위를 이용자 스스로 자제해야 할 책임으로 명시하고 있습니다. 민감한 내용은 익명화하거나 가공한 뒤 입력하는 습관이 필요합니다.

 

Q. 2020년 AI 윤리기준과 이번 원칙은 뭐가 다른가요?

A. 가장 큰 차이는 'AI 행위자' 개념의 명시입니다. 2020년 기준은 AI를 개발·제공하는 기업 중심으로 읽히는 경향이 있었다면, 이번에는 이용자와 시민사회, 공공기관까지 책임 주체로 분명히 포함시켰습니다. 생성형 AI의 급속한 확산이라는 사회 변화를 반영한 결과라고 볼 수 있습니다.

 

Q. AI가 내 개인정보를 학습에 사용하는 걸 막을 수 있나요?

A. 서비스마다 다르지만, 대부분의 주요 AI 서비스는 설정에서 대화 기록 학습 사용 여부를 선택할 수 있습니다. 처음 가입할 때 무심코 동의한 약관이 학습 활용을 포함하고 있는 경우도 많으므로, 설정 메뉴에서 직접 확인하고 조정하는 것이 현실적인 첫걸음입니다.

 

결론

중국어 전화와 메일을 받은 그날 이후, 저는 디지털 서비스를 쓰는 방식 자체를 다시 생각하게 됐습니다. 개인정보 유출에 분노하면서 정작 AI에게 스스로 정보를 퍼주고 있다면, 그건 누구를 탓해야 할 문제가 아닙니다. 이번 AI 윤리원칙이 자율규범에 그치지 않고 실제 습관의 변화로 이어지려면 이용자 한 사람 한 사람의 경각심이 먼저 필요하다고 생각합니다.

당장 오늘부터 할 수 있는 건 간단합니다. AI 서비스 설정에서 대화 학습 옵션을 확인하고, 민감한 정보는 입력 전에 한 번 더 생각해 보는 것입니다. 원칙은 정부가 만들었지만, 실천은 결국 우리 몫입니다.

참고: https://www.donga.com/news/It/article/all/20260824/134531454/1