개인정보에 대한 보호, 사람이라면 마땅히 가져야 하는 기본 인권으로 취급돼야

[보안뉴스= 고기혁 KAIST 사이버보안연구센터 AI보안팀장] 오늘날 AI 비서에게 날씨나 뉴스를 물어보고, 점심 메뉴와 저녁에 볼만한 영화를 추천받는 일은 일상이 되고 있습니다. 바야흐로 ‘인공지능 시대’가 본격적으로 열리고 있는 것입니다. 그러나 인공지능이 우리들의 삶을 풍요롭게만 만드는 것일까요? 인공지능 기술은 성별, 인종, 위치정보나 신체적 특징 등 민감한 개인정보를 사용자 모르게 수집하거나 유추해 사용할 가능성이 있습니다. 모든 일에는 양면성이 있듯이 인공지능으로 인해 마땅히 보호되어야 할 개인정보가 노출되어 피해를 입는 사례도 적지 않게 나타납니다. 인공지능 시대에 개인정보는 어떻게 보호해야 하며, 그 기준이 되는 프라이버시 모델에는 어떤 것들이 있을까요?


[이미지=utoimage]

인공지능 기술이 널리 활용되기 이전의 개인정보보호는 개인정보의 유출을 막는 데 그 초점을 맞추어 왔습니다. 스마트폰 뱅킹, 신용카드 결제 등 온라인으로 가능한 사회경제활동의 폭이 넓어지면서 개인정보만 있다면 누구나 쉽게 타인 행세를 할 수 있게 되었기 때문입니다. 이에 따라 ‘악의를 가진 제3자 혹은 공격자가 민감한 개인정보를 (얼마나) 알아낼 수 있는가’라는 질문을 중심으로 다양한 개인정보보호 기법들이 제안되어 왔습니다.

이러한 기법의 대표적인 예로 비식별화(anonymization)가 있습니다. 비식별화란 민감한 개인정보가 포함된 데이터를 공개할 때 특정 개인의 정보를 식별할 수 없게끔 하는 ‘데이터 공개 메커니즘’입니다. 예를 들어 어떤 병원에서 통계적인 목적으로 환자의 진료기록을 공개한다고 했을 때, 환자의 ‘이름’, ‘주민등록번호’나 ‘주소’ 등의 개인정보를 ‘병명’ 등의 민감한 개인정보와 같이 공개한다면 개인의 정보를 쉽게 알아낼 수 있게 됩니다. 따라서 ‘이름’, ‘주민등록번호’ 등 개인을 특정할 수 있는 정보들을 제외하고 공개해 개인을 식별하기 어렵게 할 수 있습니다.

이처럼 개인정보의 유출을 막고자 하는 비식별화는 전 세계에서 사실상의 개인정보보호 기준으로서 활용되고 있는데, 한국에서는 ‘개인정보 비식별 조치 가이드라인’을 세워 비식별 조치를 권고하고 있습니다. 미국의 기업 애플(Apple) 또한 2016년 비식별화 모델 중 하나인 디퍼렌셜 프라이버시(Differential Privacy)를 적용, 고객의 데이터를 안전하게 관리하겠다고 공표한 바 있습니다. 그렇다면 개인정보의 식별을 막는 비식별화 기법은 인공지능 시대에도 효과적인 개인정보보호 기준으로서 충분할까요?

지난 2012년, 미국의 유명 대형마트 Target에 한 남성이 거센 항의와 함께 사과를 요구한 사건이 있었습니다. 바로 Target에서 고등학생인 자신의 딸에게 아기 옷, 침대 등의 유아용품 할인 쿠폰을 제공했기 때문입니다. 그는 Target의 이와 같은 추천이 ‘미성년자에게 임신을 권장’하는 것과 같다고 주장하면서 사과를 요구했고, Target 측은 ‘다른 고객에게 가야 할 쿠폰이 잘못 전달된 것 같다’며 사과했습니다.

하지만 이 사건에는 놀랄 만한 반전이 있습니다. 사과를 요구했던 남성의 딸이 실제로 임신 중이었다는 점입니다. Target 측에서는 해당 학생이 영양제와 로션을 구매한 내역을 통해 임신 사실을 유추했는데, 이는 임신 초기에는 영양제, 중기에는 로션을 주로 사용한다는 점에 착안해 설계된 간단한 인공지능에 의해 내려진 결론이었습니다. 이 정보를 활용해 인공지능은 영양제와 로션을 구매한 고객들이 임신 말기에 이르렀다 판단, 곧 태어날 아이가 사용할 유아용품 할인 쿠폰을 제공했던 것입니다.

이처럼 인공지능 기술의 활용은 개인정보에 대한 잘못된 사용이 개인정보의 침해로 이어질 수 있다는 것을 여실히 보여줍니다. 자신의 부모에게도 알리지 않을 만큼 은밀하게 감추었던 임신 사실을 몇 가지 물품 구매 내역으로만 유추하듯, 비식별화 정도에 상관없이 개인정보를 어떻게 사용하느냐에 따라 프라이버시 침해가 발생할 수 있는 것입니다. 이에 따라 인공지능 시대에는 ‘개인정보의 적합한 사용’을 위해 새로운 차원의 프라이버시 기준이 필요합니다.

이러한 필요에 의해 제안된 직접사용 프라이버시(Use-based Privacy; Direct-use privacy)와 간접사용 프라이버시(Use Privacy; Proxy-use privacy)는 각각 개인정보의 직/간접적인 사용을 제한합니다. ‘개인정보처리방침’ 등에서도 찾아볼 수 있는 직접사용 프라이버시는 개인 정보의 사용을 ‘특정한 용도, 시간, 범위에서만 사용’할 수 있게끔 제한해 사용자의 개인정보를 나쁜 목적으로 사용하는 것을 미연에 방지합니다. 또한, 간접사용 프라이버시는 Target의 예와 같이 인공지능이 사용자의 민감한 개인정보를 유추하려고 하는지 파악하고, 그렇게 유추한 민감한 개인정보를 사용하는 것을 제한함으로써 사용자의 개인정보를 보호합니다.

개인정보가 유출되지 않게 안전하게 지키는 것도 중요하지만, 어떻게 사용되는지를 올바로 제어하는 것도 프라이버시의 중요한 한 축입니다. 직접사용 프라이버시와 간접사용 프라이버시는 제한적인 정보사용을 통한 프라이버시를 논하고 있습니다. 특히, 개인정보의 적절한 활용으로 다양한 서비스를 누릴 수 있는 인공지능 시대에서는 개인정보의 사용을 원천봉쇄해 유출을 막기보다는 올바른 사용을 유도하는 것이 보다 합리적이라고 할 수 있습니다.


▲고기혁 카이스트 사이버보안연구센터 AI보안팀장[사진=보안뉴스]
2016년 유럽연합에서 제정한 GDPR(General Data Privacy Regulation)에는 ‘개인의 정보를 사용하는 자동 의사결정(Automated Decision-Making) 프로세스에 대해 설명을 요구하고 이의를 제기할 권리가 있다’는 조항이 포함되어 있습니다. 이는 인공지능이 개인정보를 오남용하는 상황을 우려했기 때문에 포함된 조항으로, 인공지능 시대에 새로이 나타난 ‘정보사용 제한의 프라이버시’를 반영하고 있다고 할 수 있습니다.

한국 또한 2020년 8월 시행을 앞둔 데이터3법 제정으로 유럽연합의 GDPR 모델을 따라가는 중이지만, 자동 의사결정 프로세스에 관한 조항은 포함되지 않았습니다. 한국도 인공지능 시대에 알맞은 개인정보 보호정책을 실현하기 위해서는 이 조항을 포함시킬 필요가 있다고 생각됩니다.

개인정보와 프라이버시의 개념은 시대에 맞게 변해 왔고, 실질적인 뒷받침이 되는 제도 또한 그에 따라 변해왔습니다. 오늘날 개인정보보호의 모델로 삼고 있는 정보유출 방지와 정보사용 제한의 프라이버시 또한 추후 사회의 필요와 개인정보/프라이버시에 대한 이해에 따라 얼마든지 바뀔 수 있습니다. 이처럼 변화하는 시대를 통틀어 중요한 원칙은, 개인정보에 대한 보호가 사람이라면 마땅히 가져야 하는 기본 인권으로써 취급되어야 한다는 점일 것입니다.
[글_ 고기혁 KAIST 사이버보안연구센터 AI보안팀장]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>