[법무법인 화우 이근우 파트너변호사] 인공지능을 포함해서 어떠한 시스템이 자동적으로 결정을 내리는 상황에서 그 결정이 개인에게 중대한 영향을 미친다면 권리자인 개인은 이에 대해 어떤 대응을 할 수 있을까.

이와 관련해서 권리자인 개인은 2가지 방법으로 대응할 수 있다. 먼저 해당 시스템이 완전히 자동화된 상태인지 또는 개인정보를 처리하는지 여부를 떠나 인공지능을 사용하고 그 사용 결과 인간의 기본적인 권리에 중대한 영향을 미친다면 이러한 경우에는 인공지능에 대한 대응으로 접근할 수 있다. 

다만 현재로서는 아직 인공지능법안이 국내에 없어 그 대응은 향후 입법이 이뤄져야 하겠지만, 21대 국회에서 제안된 법안들의 내용을 기초로 인공지능이 개인의 권리나 의무에 중대한 영향을 미칠 수 있다면 그러한 인공지능은 고위험 인공지능으로 평가돼 인공지능 제작자 또는 인공지능을 이용해 사업을 수행하는 자는 데이터나 평가의 기준 등 주요한 사항을 정보주체가 이해할 수 있도록 공개하고, 정보주체 역시 그러한 제작자 또는 사업자에게 인공지능의 의사결정 과정에 대한 설명을 요구하거나 인공지능의 의사결정에 대해 이의를 제기할 수 있는 권리를 행사할 수 있다. 

참고로 2023년 8월 8일 안철수의원 대표발의인 ‘인공지능 책임 및 규제법안’도 고위험 인공지능을 규정하고 더 나아가 금지되는 인공지능도 규정하면서 인공지능개발사업자 및 인공지능이용사업자(개발된 인공지능을 이용해 제품 또는 서비스를 제공하는 민간 사업자)에게 명확하고 적절한 정보 제공, 사람에 의한 인공지능의 관리감독, 인공지능 결과물이 어떻게 만들어졌는지 이용자가 이해하고 사용할 수 있도록 설계 및 개발, 투명성과 책임성 확보 방안 수립 등의 의무를 부담시키고 있다. 더불어 인공지능 이용자(end-user)에게는 설명요구권과 이의제기권을 부여하고 있다. 

다음으로 해당 시스템이 완전히 자동화된 상태에서 개인정보를 처리하며 결정을 내린다면, 개인정보 보호법 제37조의2에 기초해 정보주체인 개인은 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함)으로 개인정보를 처리해 이뤄지는 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우에 한해 개인정보처리자에 대해 해당 결정을 거부할 수 있는 권리 및 해당 결정에 대해 설명 등을 요구할 수 있는 권리를 행사할 수 있다. 

그 권리의 구체적인 행사 방법을 위해 개인정보보호위원회는 ‘자동화된 결정에 대한 개인정보처리자 조치 기준’(이하 조치 기준) 제정안을 마련해 정보주체의 거부권, 설명요구권, 검토요구권 등 권리 유형별로 개인정보처리자가 취할 수 있는 조치사항을 상세히 마련했다. 참고로 해당 조치 기준은 행정예고의 상태로서 아직 확정된 것은 아니다.

우선 조치 기준은 조치의 대상이 되는 ‘자동화된 결정’을 판단하는 구체적인 기준을 제시하고 있다(조치 기준 제3조). 이에 따르면, 완전히 자동화된 시스템으로 이뤄지는 결정이 자동화된 결정에 해당하는지 여부를 판단할 때에는 정당한 권한을 가진 사람의 실질적이고 의미 있는 개입 없이 완전히 자동화된 시스템에 의해 결정이 이뤄졌는지 여부(개인정보처리자에 의해 ‘정보주체의 권리 또는 의무’에 영향을 미치는 최종적인 결정을 의미), 개인정보를 분석·가공하는 등 개별적인 처리 과정을 거쳐 의미 있는 정보를 추출하는지 여부, 개인정보처리자가 내린 결정으로서 정보주체의 권리 또는 의무에 영향을 미치는 결정인지 여부 등을 충분히 고려해 ‘자동화된 결정’을 판단한다. 

다음으로 정보주체의 권리 또는 의무에 중대한 영향을 미치는 자동화된 결정에 대해 정보주체가 그 결정을 거부할 수 있는데, 그 경우 개인정보처리자는 해당 결정의 적용을 정지해 정보주체에게 중대한 영향(생명·신체의 안전과 관련 여부, 권리의 박탈 여부, 지속적인 제한 발생 여부, 회복가능성 여부 고려)이 미치지 않도록 조치하고 그 결과를 정보주체에 알려야 한다(조치 기준 제4조). 다만 개인정보처리 실무 현실을 고려해, 사람의 개입을 통해 재처리를 하고 그 결과를 알린 경우에는 해당 결정의 적용을 정지하는 조치는 하지 않을 수 있다.

그리고 정보주체가 자신의 권리 또는 의무에 중대한 영향을 미치는 자동화된 결정에 대해 개인정보처리자에게 설명을 요구하는 경우, 개인정보처리자는 정보주체에게 개별적으로 간결하고 의미 있는 설명(중대한 영향을 미치는 경우가 아닌 때에는 공개된 사항 등을 활용해 설명)을 제공해야 한다(조치 기준 제5조). 이러한 설명은 정보주체가 이해하기 쉬운 방식으로 이뤄져야 한다.

개인정보처리자는 정보주체가 검토를 요구한 경우, 이를 반영할지 여부를 검토하고 그 결과를 정보주체에게 알려야 한다. 또한 개인정보처리자는 자동화된 결정 과정에서 처리되는 개인정보를 추가하거나 정정한 후 재처리하며, 정보주체에게 영향을 미치는 고려사항을 재검토해야 한다(조치 기준 제6조).

개인정보처리자는 정보주체의 요구에 따른 조치를 거절할 정당한 사유가 있는 경우, 해당 조치를 하지 않을 수 있는데, 이때 정당한 사유가 있는지 여부는 정보주체의 요구로 인해 발생하는 불이익과 개인정보처리자 또는 제3자의 이익을 비교해 판단한다(조치 기준 제7조).

조치 기준은 개인정보주체의 권리 보장을 위해 개인정보처리자가 구체적으로 준수해야 할 사항을 상세히 규정하고 있다. 조치 기준 외에도 개인정보보호위원회는 '자동화된 결정에 대한 정보주체의 권리 안내서' 초안을 공개하였는데, 이는 개인정보처리 실무자들이 조치 기준에 따라 정보주체의 권리를 실질적으로 보장하는데 필요한 안내서다 

아무쪼록 AI 등 신기술 활용 시 기능의 편리성 외에도 궁극적으로는 해당 신기술은 사람을 위한 것이라는 점에서 개인의 권리 보호라는 점을 항상 고려해 권리를 보호할 수 있는 제도적 장치가 마련돼야 한다. 그런 점에서 인공지능의 경우 인공지능법안의 내용으로, 개인정보와 관련된 사항은 개인정보 보호법령에 따라 개인정보자기결정권이 보장되는 방식으로 법적 제도가 구비돼야 한다. 

<이근우 변호사 약력>

(현)법무법인(유) 화우 파트너변호사

(현)개인정보보호위원회 자문변호사

(현)대한변호사협회 ESG 특별위원회 위원

(현)산업통상자원부 산업기술분쟁조정위원회 위원

(현)한국정보법학회 회원

(현)산업기술보호협회 영업비밀보호 전문위원(강사)

(현)법무부 해외진출 중소기업 법률자문단 자문위원