복지 센터의 이중 규제 부담
복지·재활 센터는 아동의 건강 정보, 장애 정보, 가족 정보 등 민감한 개인정보를 다룹니다. 여기에 AI 기반 서비스를 도입하면, AI기본법과 개인정보보호법 두 가지 규제를 동시에 준수해야 합니다.
문제는 두 법이 겹치는 영역이 있으면서도, 요구사항이 미묘하게 다르다는 점입니다. AI기본법은 "AI가 무엇을 했는지 기록하라"고 요구하고, 개인정보보호법은 "개인정보를 최소한만 수집하고 보관하라"고 요구합니다. 기록을 많이 남기라는 법과, 데이터를 최소화하라는 법 사이에서 실무자가 혼란을 느끼는 것은 당연합니다.
이 글에서는 두 법의 교차 영역을 정리하고, 실무에서 어떻게 동시에 충족할 수 있는지 안내합니다.
두 법의 핵심 차이
| 항목 | AI기본법 | 개인정보보호법 |
|---|---|---|
| 목적 | AI의 투명성과 안전성 확보 | 개인정보의 보호와 적정한 이용 |
| 핵심 원칙 | 기록하고 증명하라 | 최소 수집, 목적 내 이용 |
| 보관 기간 | 5년 이상 보관 권장 | 목적 달성 시 즉시 파기 |
| 고지 의무 | AI 사용 사실 고지 | 개인정보 수집/이용 동의 |
| 관할 | 과기정통부 | 개인정보보호위원회 |
교차 영역 1: AI에 입력되는 개인정보
AI가 치료 추천, 스케줄 배정, 발달 분석 등을 수행하려면 아동의 개인정보가 입력됩니다.
개인정보보호법 요구
- 수집 전 동의 획득 (법정대리인 동의 포함)
- 수집 목적을 명시하고, 그 목적 내에서만 이용
- 필요 최소한의 정보만 수집
AI기본법 요구
- AI에 어떤 데이터가 입력되었는지 기록
- 이용자(보호자)에게 AI 사용 사실 고지
실무 대응
| 해야 할 것 | 구체적 방법 |
|---|---|
| 동의서 업데이트 | 기존 개인정보 동의서에 AI 활용 목적 추가 |
| AI 입력 데이터 최소화 | AI에 전달하는 정보를 필요 최소한으로 제한 |
| 입력 기록 보관 | AI에 입력된 데이터 항목과 시점을 기록 |
| 이중 고지 | 개인정보 동의 + AI 사용 고지를 한 번에 처리 |
교차 영역 2: AI 결과물의 보관
AI가 생성한 추천, 분석 결과는 기록으로 보관해야 합니다(AI기본법). 하지만 그 결과물에 개인정보가 포함되어 있으면 보관 기간 제한이 적용됩니다(개인정보보호법).
충돌 지점
- AI기본법: AI 실행 기록을 5년 이상 보관 권장
- 개인정보보호법: 보유 목적 달성 시 즉시 파기
해결 방법: 분리 보관
AI 실행 기록 (보관) 개인정보 (파기 대상)
├── AI 모델 버전 ├── 아동 이름
├── 입력 데이터 항목 (카테고리) ├── 생년월일
├── 출력 결과 요약 ├── 장애 유형 상세
├── 사람의 검토 이력 ├── 보호자 연락처
├── 시점 (타임스탬프) └── 주소
└── 해시값
핵심 원칙: AI 실행 기록에서 개인을 식별할 수 있는 정보를 분리합니다. AI가 무엇을 했는지(기록)와 누구에 대해 했는지(개인정보)를 분리 보관하면, AI기본법의 기록 보관 요구와 개인정보보호법의 파기 요구를 동시에 충족할 수 있습니다.
교차 영역 3: 보호자 권리
개인정보보호법상 권리
- 개인정보 열람/정정/삭제 요청권
- 처리 정지 요청권
- 자동화된 의사결정에 대한 거부권 (제37조의2)
AI기본법상 권리
- AI 사용 사실을 알 권리
- AI 판단에 대한 이의 신청 권리
- 사람의 판단을 요청할 권리
통합 대응
| 보호자 요청 | 대응 방법 |
|---|---|
| "AI가 우리 아이에 대해 어떤 판단을 했나요?" | AI 실행 기록 열람 제공 (개인정보 포함 부분) |
| "AI 판단에 동의하지 않습니다" | 사람의 재검토 절차 안내, AI 판단 대신 전문가 판단 적용 |
| "AI에 우리 아이 정보를 넣지 마세요" | AI 처리 중지, 수동 방식으로 전환 |
| "모든 데이터를 삭제해 주세요" | 개인정보 삭제 + AI 기록에서 식별 정보 분리/비식별화 |
센터 운영자를 위한 통합 체크리스트
동의 및 고지
- 개인정보 수집/이용 동의서에 AI 활용 목적을 포함했는가
- 보호자에게 AI 사용 사실을 별도로 고지하고 있는가
- 민감정보(건강, 장애) 처리에 대한 별도 동의를 받고 있는가
- 법정대리인 동의 절차가 있는가 (만 14세 미만)
데이터 관리
- AI에 입력되는 개인정보를 필요 최소한으로 제한하고 있는가
- AI 실행 기록과 개인정보를 분리 보관하는 체계가 있는가
- 개인정보 보유 기간 만료 시 파기 절차가 있는가
- AI 기록은 비식별화하여 장기 보관하는 방법이 있는가
권리 보장
- 보호자가 AI 실행 기록을 열람할 수 있는 절차가 있는가
- AI 판단에 대한 이의 신청 절차가 마련되어 있는가
- AI 처리 거부 시 수동 대안 절차가 있는가
- 개인정보 삭제 요청에 대응할 수 있는 프로세스가 있는가
보안
- AI에 전달되는 데이터가 암호화되어 전송되는가
- AI 서비스 제공자(외부 API)와 데이터 처리 계약이 체결되어 있는가
- AI 시스템에 대한 접근 권한이 최소 인원으로 제한되어 있는가
크로노젠의 이중 규제 대응
크로노젠은 AI기본법과 개인정보보호법의 교차 요구사항을 설계 수준에서 해결합니다.
- DPU 비식별 기록: AI 실행 기록에서 개인 식별 정보를 자동으로 분리하여 보관합니다. AI가 무엇을 했는지의 기록은 유지하면서, 개인정보는 별도로 관리/파기할 수 있습니다.
- 통합 동의 관리: 개인정보 동의와 AI 활용 동의를 하나의 전자서명 프로세스로 처리합니다.
- 보호자 권리 포털: 보호자가 AI 실행 기록 열람, 이의 신청, 처리 중지 요청을 앱에서 직접 할 수 있습니다.
- 자동 파기: 보유 기간이 만료된 개인정보를 자동으로 파기하면서, AI 기록의 무결성은 유지합니다.
두 법을 동시에 준수하는 것은 어렵지만, 시스템이 자동으로 처리하면 실무자의 부담은 크게 줄어듭니다.
AI기본법 전체 가이드 → AI기본법 FAQ 20선
개인정보 관리 → 개인정보보호법 준수하면서 센터 데이터 관리하는 법
복지 센터 고영향 AI → 복지·재활 분야 고영향 AI 판단 가이드