개인정보보호위원회가 메타·네이버 등 대규모 언어모델(LLM) 개발사에 대해 개인정보 처리를 강화해 달라며 개선을 권고했다.
개인정보위는 27일 전체회의를 열고 오픈AI·구글·MS·메타·네이버·뤼튼 등 6개 사업자에 대해 개인정보 보호의 취약점을 보완하도록 개선 권고를 의결했다고 28일 밝혔다.
개인정보위는 초거대‧생성형 AI 서비스의 확산으로 프라이버시 침해 우려가 커지자 지난해 11월부터 한국인터넷진흥원과 주요 AI 서비스를 대상으로 사전 실태점검을 진행했다. 점검 결과 사업자들은 개인정보 처리방침 공개나 데이터 전처리, 정보주체의 통제권 보장 등 개인정보 보호법상 기본 요건 등을 대체로 충족했다. 다만 △공개된 데이터에 포함된 개인정보 처리 △이용자 입력 데이터 등의 처리 △개인정보 침해 예방‧대응 조치 및 투명성 등 관련해 일부 미흡한 사항이 발견됐다고 개인정보위는 설명했다.
AI 서비스 제공 사업자는 인터넷에 공개된 데이터를 수집해 AI 모델 학습 데이터로 사용하는데, 이 과정에서 주민등록번호와 신용카드번호 등 한국 정보주체의 주요 개인정보가 포함될 수 있는 것으로 점검 결과 파악됐다. 개인정보위에 따르면 지난해 기준 2만 999개 페이지에서 주민번호와 여권번호 등이 노출됐다. 오픈AI·구글·메타는 개인정보 집적 사이트를 AI 모델 학습에서 배제하고, 학습데이터 내 중복 및 유해 콘텐츠를 제거했으며 AI 모델이 개인정보를 답변하지 않도록 했다. 다만 학습데이터에서 주민등록번호 등 주요 식별정보를 사전 제거하는 조치가 충분하지 않은 것으로 확인돼 개인정보위는 AI 서비스 제공 단계별로 보호조치를 강화해 달라고 요청했다. 개인정보위는 “최소한 사전 학습단계(pre-training)에서 주요 개인식별정보 등이 제거될 수 있도록 인터넷에 우리 국민의 개인정보가 노출된 것을 탐지한 데이터(URL)를 AI 서비스 제공사업자에게 제공할 계획”이라고 말했다.
LLM 기반 AI 서비스 제공사업자는 AI 모델이 정확한 답변을 하도록 다수의 검토 인력을 투입해 이용자 질문 및 이에 대한 AI 모델의 답변 내용을 직접 열람‧검토해 수정하는 방식으로 데이터셋을 만들고 있으며, 이를 AI 모델 학습 및 프롬프트 등 서비스 개선에 활용하고 있다. 하지만 이용자 관점에서는 ‘인적 검토’ 과정 자체를 알기 어려우며 개인정보 및 이메일 등 민감한 내용을 입력하거나, AI 서비스 제공자가 개인정보 제거 등 조치 없이 해당 정보를 데이터베이스(DB)화하면 사생활을 침해할 수 있다고 개인정보위는 판단했다. 개인정보위는 AI 모델 등 개선 목적으로 이용자 입력 데이터에 대한 인적 검토과정을 거치는 경우 이용자에게 관련 사실을 명확하게 고지해야 하며, 이용자가 입력 데이터를 손쉽게 제거‧삭제할 수 있도록 해당 기능에 대한 접근성을 제고하도록 권고했다.
이밖에도 LLM 복제 모델 또는 오픈 소스 형태로 배포되는 경우 LLM에 취약점이 발견돼도 후속 조치가 즉시 개선되기 어려운 사례가 점검 결과 포착됐다. 동일 LLM 기반의 AI 서비스라도 사업자에 따라 개인정보 및 아동‧민감정보에 대한 답변 등 침해 예방 조치의 정도 달랐다. 개인정보위는 개인정보 처리방침 등과 관련해 구체적으로 안내하고 부적절한 답변에 대한 신고 기능을 반드시 포함해야 하며 AI 서비스 및 LLM 취약점 발견 시 신속히 조치할 수 있는 프로세스를 갖출 것을 권고했다. 만 14세 미만 연령에게 확인절차 없이 AI 서비스를 운영한 사례도 발견됐으나 점검 과정에서 모두 개선됐다.
개인정보위는 “AI 서비스에 대한 사전 실태점검을 조속히 마무리할 것”이라며 “AI 기술·산업 변화에 맞춰 정보주체의 개인정보를 안전하게 보호할 수 있도록 지속적인 모니터링과 AI 관련 6대 가이드라인 등의 정책방향 마련, 개인정보 강화 기술(PET) 개발‧보급 등의 후속 조치도 추진할 계획”이라고 말했다.
