안녕하십니까? 개인정보보호위원회는 3월 12일, 어제 전체회의에서 카카오의 인공지능 비서 서비스인 '카나나'에 대한 사전적정성 검토 결과를 심의·의결하였습니다.

사전적정성 검토제란 신청인이 인공지능을 비롯한 신기술·신서비스 기획·개발 단계에서 기존 법해석·집행 선례만으로는 명확한 개인정보 보호법 준수방안을 찾기 어려운 경우에 저희 위원회와 협력해서 신청 대상 신기술·신서비스 환경에 적합한 법 적용방안을 마련하고, 이를 신청인이 이행하면 사후에 불이익한 처분을 부과하지 않는 제도입니다.

카나나 서비스에 대해서 말씀드리면, 이 서비스는 대화 맥락을 파악해서 답변을 제시하는 인공지능 친구 서비스로, 카카오톡과는 별도 앱으로 출시될 예정입니다. 여러 이용자가 참여하는 카나나 내 단체방 대화를 기반으로 이용자 질문에 답하는 '카나' 그리고 이용자와 단둘이 주고받은 일대일 대화를 기반으로 이용자 질문에 대답하는 '나나'라는 두 AI 메이트로 구성되어 있습니다.

카나나 서비스는 카카오가 자체 개발한 언어모델을 주로 활용하지만 오픈AI사의 챗GPT 모델 또한 보완적으로 활용할 예정입니다.

카카오는 새로 출시될 카나나 서비스가 개인정보 보호법을 충실히 준수하며 프라이버시 친화적으로 설계·운영될 수 있도록 2024년 12월 10일 저희 위원회에 사전적정성 검토를 신청하였습니다.

특히 카카오는 안전장치 역할의 인공지능 모델이 탑재되어서 악의적인 이용자가 타인의 개인정보를 캐내기 위해 유도 질문을 하면 차단을 하거나, 또는 언어모델이 생성하는 답변을 통해서 타인의 개인정보, 특히 전화번호나 이메일 등 식별성이 높은 정보가 노출되는 일이 없도록 자동 검수할 계획이라고 설명을 하였습니다.

저희 위원회와 사전적정성 검토 과정을 통해서 추가적으로 다음과 같은 안전조치 방안을 확충하기로 하였습니다.

첫째로, 카나와 나나는 하나의 대화방에서 알게 된 참여자의 개인정보를 다른 대화방에서 타인에게 발설하지 않도록 기술적 안전장치를 강화하기로 하였습니다.

대화방 내 데이터는 카카오 내 별도 데이터베이스에 보관되며 오픈AI 측에는 저장되지 않도록 하고, 대화 데이터 중 고유식별정보나 계좌번호·카드번호 등 식별성 강한 개인정보가 포함된 경우 카카오의 자사 언어모델에서 처리하거나 또는 외부 모델 활용 시에 오픈AI가 알아볼 수 없도록 해당 부분을 암호화 처리하기로 하였습니다.

가상의 사례를 통해서 조금 더 구체적으로 설명을 드리겠습니다.

가령 어느 단체방 이용자들이 모임을 준비하면서 일시나 장소, 회비 등을 자유롭게 대화하던 중 어느 이용자가 카나한테 '이 방 모임 회비는 어떻게 내지?'라고 질문을 할 수가 있습니다. 그러면 카나는 이 대화방에서 이야기됐던 회비 금액과 총무의 계좌번호 등을 답변하는 형태로 서비스가 이루어질 수가 있습니다.

여기서 서비스 특징이 드러나는데요. 오픈AI나 코파일럿 같은 일반적인 다른 LLM 서비스는 일반적인 정보를 답변하는 반면에, 카나나는 그런 일반적인 정보에 더해서 각 대화방별 맞춤형 답변을 한다는 것이 특징입니다. 이때 각 대화방에 지난 대화가 인용이 될 수가 있습니다.

여기서 제약조건이 도출되는데, 이 모임방에 들어와 있는 카나는 이 방에서 이야기된 총무의 계좌번호를 답변할 수 있어야 합니다. 반면에 다른 대화방의 카나는 이 계좌번호를 답변하면 안 됩니다. 그러면 계좌번호라는 개인정보가 타인에게 누설되는 셈이 되기 때문입니다. 이런 제약조건을 구현하기 위해서 앞서 말씀드린 안전장치들이 탑재되었다고 이해하시면 되겠습니다.

둘째로, 외부 모델인 오픈AI에서 처리되는 데이터에 대해 보호를 강화하기 위해서 오픈AI와 위수탁 계약에 관련 조건을 명확하게 담기로 하였습니다.

위탁 계약에는 해당 데이터를 카카오의 위탁업무를 위해서만 활용해야 하고 오픈 AI의 사업목적으로 쓰이지 않도록 해야 한다는 조건을 명시하는 한편, 챗GPT의 응답 후 오픈 AI에 별도로 저장되지 않도록 기술적 제약도 두기로 하였습니다.

셋째로, 카카오는 이용자 대화 데이터를 자사 언어모델의 학습 데이터로 활용하려면 카나나 이용자로부터 별도의 동의를 받도록 하였습니다. 이를 원하지 않은 이용자는 동의하지 않고도 서비스를 이용할 수 있습니다.

또한, 카카오는 이용자의 대화 속 개인정보가 언어모델에 의해 그대로 암기되어 향후 노출될 위험에 대응하기 위해서 자동 필터링과 인적 검토 절차를 마련하고 이를 정책을 공개하고요. 피드백을 받아서 반영하는 프로세스 구축 등의 방안을 마련하기로 하였습니다.

마지막으로, 카나나 서비스의 지속적인 개인정보 보호수준 제고를 위해 카카오의 개인정보 보호책임자(CPO)가 상시 리스크 관리체계를 구축·운영하며 중대한 리스크 관리계획 및 대응 내역을 정기적으로 그 회사의 최고 의사결정기구인 이사회에 보고를 하기로 하였습니다.

카나나 서비스가 출시되면 저희 위원회는 이러한 사항을 카카오가 실제 이행하고 있는지를 점검할 예정입니다. 저희 위원회는 사전적정성 검토제를 더욱 활성화하여 데이터 경제 시대의 급변하는 현장과 긴밀히 소통함으로써 인공지능을 비롯한 신기술·신서비스의 법적 불확실성이 해소될 수 있도록, 나아가 정보주체의 권익도 보호될 수 있도록 계속 노력을 경주해 나갈 예정입니다.

이상입니다.


[질문·답변]
※마이크 미사용으로 확인되지 않는 내용은 별표(***)로 표기하였으니 양해 바랍니다.

<질문> 안녕하세요? 두 가지 질문 있는데요. 앞서서 한 차례 검토가 있었는데 그때 의결되지 못했던 부분에서 어떤 부분이 추가됐는지 궁금하고요.

그리고 이게 지금 안전조치 방안을 제한하게 된 거는 기존에 없었기 때문에 위원회에서 제안을 해서 하기로 한 것이죠? 그러면 이게 출시 이후에 점검을 한다고 돼 있는데 출시 이전에 점검이 돼야 되는 게 아닌지 궁금합니다.

<답변> 먼저, 절차적인 답변을 해드리면 이 안건이 한 번 상정이 됐다가 차회 회의에서 이어서 논의하기로 속개가 되었고요. 그 차회 회의에서 카카오에서 직접 담당자들이 출석을 해서 저희 위원들의 질의·답변에 대응하는 절차가 있었습니다. 그것을 위해서 절차적으로 한 번 미뤄졌던 거고요, 한 번 회의를 더 했던 것이고요.

그리고 안전조치 방안은 저희가 말씀드렸던 이 네 가지 방안이 저희 검토 과정에서 저희와 협의됐던 사항들이고, 그런데 이거를 처음부터 저희가 다 제안한 것은 아니고 카카오가 구상하고 있던 안전조치들을 저희와 협의하면서 조금 더 구체화한 부분이라고 생각을 하시면 되겠습니다.

이 안전장치들은 모두 출시 전에 구현이 된 상태로 출시가 되어야 하고, 저희가 이행점검을 두 번 이상 할 예정인데 첫 번째 이행점검을 출시 직전에, 이 안전장치들이 확충되었는지 여부를 출시 직전에 첫 이행점검을 통해서 확인할 예정이고, 한동안 운영한 후에 아까 말씀드렸던 이사회 보고체계라든가 피드백체계 같은 것이 잘 작동하고 있는지를 수개월 후에 2차 이행점검을 할 예정입니다.

<질문> 개인정보위가 그동안 사전적정성 검토제 관련해서 브리핑한 거는 이번이 처음으로 기억하고 있는데 그동안 기업들이 기술 유출 이런 이유 때문에 검토 결과 같은 발표를 꺼렸었는데 이번에 이 결과를 공유하게 된 이유가 궁금합니다.

<답변> 기자님께서 잘 이해하고 계시다시피 사전적정성 검토제는 출시 전의 서비스를 대상으로 신청을 받기 때문에 출시 전에 공개가 되거나 보도가 되면 그 기업의 영업비밀이 노출될 우려가 있습니다. 그렇기 때문에 지금까지는 소수 보도자료를 낸 건이 있기는 하지만 브리핑은 이 건이 처음이고요.

이 건은 브리핑을 하게 된 계기 중의 하나가 일단은 카카오 쪽에서 카나나 서비스의 출시 일정이라든가 대략의 개요 같은 거를 어느 정도 미리 언론에 알려뒀던 부분이 있어서 저희도 그 정도 선에서 어떤 안전장치들이 개인정보 보호 맥락에서 들어가면 국민들이, 이용자들이 안심하고 쓸 수 있겠다, 그걸 위해서 저희와 어떻게 협의를 했다는 게, 밝히는 게 의미가 있을 것 같아서 이 브리핑을 하게 되었습니다.

<질문> (온라인 질의 대독) KBS 기자의 질문입니다. 두 가지인데요. 1번 질문은 앞서 답변한 내용과 상충되는 부분이 있을 수도 있을 것 같습니다. '오늘 자료에 보면 카카오 측에서 기술적 보안조치 강화 등 네 가지 안전조치 방안을 추가로 마련한다고 하셨는데, 구체적으로 언제까지 마련하는 것인지, 예를 들면 카나나 출시 전까지 마련하기로 한 것인지요?'라는 질문입니다.

두 번째 질문드리겠습니다. '개인정보위에서 사전적정성 검토 결과를 의결하고 카카오 측에서 안전조치 방안을 마련했음에도 불구하고 출시 이후에 안전조치가 이루어진 부분에서 문제가 생겼을 경우에 개인정보위 차원에서 어떠한 조치가 이루어지는지요? 아예 처분이 면제될 수도 있는 건가요?'라는 질문입니다.

<답변> 답변드리겠습니다. 첫 번째 질문은 아까 답변드렸듯이 출시 전까지 마련하는 조건입니다.

두 번째 질문에 대한 답변을 드리면 문제라는 것의 유형을 크게 두 가지로 나눠볼 수가 있는데 일단 해킹 사고처럼 비즈니스 모델이 오작동해서 발생하는 사고는 면책되지 않습니다. 면책되는 부분은 이 비즈니스 모델이 저희와 협의한 대로 잘 작동했음에도 불구하고 차후에 논란이 생기는 부분에 대해서는 저희 위원회가 한 번 했던 판단을 뒤집지 않는다, 그 범위 내에서 면책 효과가 생기는 것이고요. 만약에 전제가 된 안전장치들이 제대로 이행되지 않아서 문제가 생기면 그 부분에 대해서는 처분이 될 수도 있습니다.

<질문> ***

<답변> 정확한 출시 일정은 아마 카카오에 문의를 해보셔야 될 것 같습니다. 임박이라고만 저희도 알고 있습니다.

<질문> 지금 그럼 사전적정성 관련해서 이번 카나나 건이 좀 이슈가 많이 될 것 같은데, 이슈가 되면 또 알려질 것 같은데 지금 준비 중이거나 검토 중인 이런 것 소개 좀 해주실 수 있는 내용이 있나요?

<답변> 제가 아까 답변드렸던 단체방 모임 총무 계좌번호 리마인드 기능이라든가 그런 내용 말고 추가적인 사례가... 그것도 이게 사실 출시 전의 서비스기 때문에 저희가 자세히 말씀드리기가 조금 어려운 점을 양해 부탁드리겠습니다. 사실 이 신청 자체도 비공개 신청인데 외부적인 시사점이 있는 부분만 발췌해서 저희가 간략히 말씀드린다는 거다 보니까는.

<질문> 사전적정성 검토제가 출시 전에 지금 검토를 받는 제도인데 검토를 받고 나서 사업자 측에서 특정한 사정이 있어서 출시하지 않을 수도 있습니까? 출시하지 않는 경우 불이익이 발생하는지요?

<답변> 예, 있을 수 있습니다. 검토를 받아놓고 출시가 안 되는 경우도 충분히 시장 상황에 따라서 있을 수 있습니다. 현재까지 그런 케이스는 아마 없었던 것 같습니다. 출시를 이미 했거나 아님 출시를 예정하고 있는 사례들이었습니다, 현재까지는.

<답변> (사회자) 추가 질문 더 이상 없으십니까? 질문이 더 이상 없으시면 이상으로 금일 브리핑을 마치도록 하겠습니다. 참석해 주셔서 대단히 감사드립니다.

<끝>

이전다음기사

다음기사외교부 대변인 정례브리핑