유럽 AI 법안에 있어 데이터 위험관리^*:

2021년 4월 21일 유럽집행위원회(European Commission)는 유럽의회(European Parliament)에 ｢인공지능에 대한 조화규범(AI 법)의 제정 및 일부 연합제정법들의 개정을 위한 법안(Proposal for a Regulation laying down harmonized rules on articial intelligence (Articial Intelligence Act) and amending certain Union Legislative Acts)｣을 발의했으며 이를 통해 EU가 준비해 온 인공지능백서⁴⁾에 관한 수많은 토론의 결과물과 인공지능 윤리 원칙에 관해 유럽 의회가 제안해 온 내용들을 구체화 하였으며 특히 2020년 10월 21일 유럽 이사회가 제출한 제안서⁵⁾ 및 인공지능에 관한 고등전문가그룹의 제안서 내용⁶⁾까지 모두 반영하여 입법화 과정을 거쳤던 것이다.

유럽연합 집행위원회(European Commission)는 AI 산업 규제라는 주제에 관해 윤리적인 방향과 법을 통한 규제의 방향이라는 두 가지 측면에 중점을 두고 있었으며 또한 이러한 두 가지 방향을 현실화 시키기 위해서 일반인의 이해와 신뢰를 바탕으로 실현하려는 의도를 가지고 구체적인 제도적 장치를 마련하려 노력하였던 것이다. 구체적으로, 인공지능 고등전문가그룹에 의한 ‘윤리 가이드라인(The Ehics Guidelines for Trustworthy Artificial Intelligence)’이 제정되고 개정되었으며 2019년 6월에는 제1차 유럽 인공지능 연합 총회에서 인공지능을 위한 평가목록(Assessment List for Trustworthy Artificial Intelligence)이 만들어지고 개정되었으며 그 결과 2020년 7월에는 기존 가이드라인에서 정하고 있는 7가지 요건⁷⁾을 확인하기 위한 최종 상세안이 공표되었다. 또한 유럽연합 집행위원회는 이러한 과정에서 2020년 2월 인공지능의 활용을 위한 환경 조성의 방안으로 인공지능 알고리즘에 대한 법적 규제의 필요성을 배경으로 백서⁸⁾를 발간하였으며 특히 당해 백서의 내용에 관해서 EU 회원국 및 시민들의 적극적인 참여를 이끌어 내기 위해서 설문조사 과정을 적극적으로 활용하였던 것이다.

이러한 배경에서 2020년 10월 EU 의회는 인공지능 관련 기술의 윤리 구축, 민사 책임 그리고 지적재산권에 관하여 각각의 보고서⁹⁾를 채택하여 구체적인 원칙들을 제시했다. 또한 그 이 후 더 다양한 분야들 즉 인공지능의 활용 부분, 교육, 문화 및 시청각 부문에 대한 인공지능 등을 대상으로 한 규제 연구가 진행 되었으며 이러한 모든 보고서들의 내용을 감안하여 EU AI 법안이 제출되었던 것이다.

특히 당해 법안의 제정 배경에 대하여 미국과 중국의 방식과 다른 새로운 대안으로서의 입법화를 목표로 하는 것 보다는 현재 경쟁에서 우위를 차지하지 못하고 있는 EU의 산업적 상황을 개선시키려는 의도를 가진 보호 무역적 규제 체계로서의 의미가 강한 것으로 보여진다.¹⁰⁾

당해 법안이 적용되는 대상인 인공지능 시스템의 범주는 구체적으로 첫째, 인간이 스스로 정의해 놓은 특정한 목적을 위한 용도인 경우 둘째, 기계학습, 논리・지식 기반 접근, 통계적 접근 등의 방식 중 하나 또는 복수의 기술 내지 기법을 활용하여 개발된 것인 경우 셋째, 해당 시스템들이 서로 작용할 수 있도록 해주는 일종의 소프트웨어들로 명시되어 있다(AI 법안 제3(1)조, 부속서Ⅰ).

당해 법안이 구체적으로 제안하는 내용들은 대체적으로 신기술 개발을 저해하거나 비용을 증가시키지 않으면서도 인공지능과 관련된 위험과 문제를 해결하기 위한 균형감 있는 일종의 ‘위험 기반 규제 방식(risk-based regulatory approach)’을 제시하고 있다. 이러한 위험 기반 규제 방식의 특징은 인공지능 시스템이 EU 기본권을 해할 위험성의 정도를 기준으로 하여 그 규제의 강도를 나누어 정해 놓는 것으로 특히 고위험 인공지능 시스템을 대상으로만 강제적인 의무를 부과하면서 다른 인공지능 시스템에 관해서는 수정된 의무와 행동강령을 정해두는 식의 방식을 이용하고 있다. 특히 법안의 내용 중 고위험 인공지능 시스템이 가장 핵심적인 규제의 대상이 되며 이를 금지 시키지 않기 위해 다양한 요구사항을 상정해 놓고 이에 대한 사용을 허용하는 방식을 취하고 있는 것이다.¹¹⁾

이러한 배경에서 EU AI 법안은 특정 AI 시스템을 EU 내에서 출시(Placing on the market) 또는 서비스를 제공(Putting into service)하는 자(Providers) 혹은 EU 내에 위치한 인공지능 시스템의 영업 목적의 활용자(Users)를 당해 법안을 통한 규제의 대상으로 규정하고 있을뿐만 아니라(AI 법안 제2(1)(a)조, 제2(1)(b)조, 제3(4)조) EU 밖에 위치한 인공지능 시스템의 경우에도 그 시스템의 결과물이 EU 내에서 활용될 경우 해당 시스템의 제공자와 영업 목적의 활용자에게도 적용되도록 규정하고 있다(AI 법안 제2(1)(c)조, 제3(4)조).

규제 기관과 관련하여서도 회원국과 유럽연합 집행위원회의 대표들로 구성된 ‘유럽 인공지능위원회(European Artificial Intelligence Board)’를 설립하도록 하여 이를 통해 회원국 내 감독기구 및 유럽연합 집행위원회와 효율적으로 협력할 것을 정하고 있다. 또한 유럽연합 집행위원회에 조언과 전문지식을 제공하며 회원국 사이의 모범사례를 수집하고 공유하도록 정하고 있다(AI법안 제56조-제58조).

규제를 통한 산업의 위축과 위험성을 고려하여 특히 당해 법안은 기술 혁신의 필요성이 있는 소규모 기업과 스타트업을 지원하도록 여러 가지 장치를 마련하고 있으며 대표적으로 인공지능 규제 샌드박스 제도를 들 수 있다(AI 법안 제53조-제55조).

AI 법안은 EU 기본권 가치에 반하는 특정 목적을 지닌 AI 시스템에 대하여 그 사용을 원칙적으로 불허하는 태도를 보인다. 즉 잠재의식에 영향을 미치는 기술을 통해 사람들의 행동을 조작하려는 목적을 가진 AI 시스템의 경우, 특정 취약 계층에 대한 약취를 목적으로 한 AI 시스템의 경우, 셋째, 공공기관이 인공지능 기반 사회적 평점 시스템을 통해 자연인의 신뢰도를 평가 및 분류 하려는 목적을 가진 경우, 넷째, 법집행을 위한 목적으로 공개적으로 ‘실시간’원격 생체인식 시스템을 사용한 경우를 의미하며¹³⁾ 이러한 범주에 해당하는 경우에 당해 시스템의 사용을 금지시키는 것을 원칙으로 한다.

위험성을 근거로 특정 인공지능 시스템에 관한 여러 규제 방안을 마련하고 있는 AI 법안은 산업에 대한 지나친 규제라는 우려에 완화책을 마련해 두고 있으며¹⁸⁾ 소상공인과 스타트업을 지원하기 위한 인공지능 규제 샌드박스 및 기타 수단을 사용할 수 있도록 허용하고 있는 점을 예로 들 수 있다(AI 법안 제53조-제55조).

구체적으로, 우선, 하나 이상의 회원권 관할 기관 또는 유럽 데이터 보호 감독관에 의해 특정된 인공지능 시스템 규제 샌드박스란 혁신적인 AI 시스템의 출시를 전・후로 하여 제한된 기간 동안 검증할 수 있는 자유로운 환경을 제공하는 방식을 의미하며(AI 법안 제53(1)조) 이러한 과정에서 건강과 안전 및 기본권에 대한 중대한 위험이 확인되면 완화 조치 및 일시 정지 조치가 이루어지도록 정하고 있다(AI 법안 제53(3)조).

두 번째로, 제3자에게 피해가 발생한 경우 해당 유럽 연합 및 회원국 법에 따라 책임을 부담해야 하며(AI 법안 제53(4)조) 또한 인공지능 규제 샌드박스를 설립한 회원국의 관할 기관은 유럽 인공지능 위원회의 프레임워크 내에서 활동을 조율하고 협력해야 한다. 이에 더하여 당해 기관은 샌드박스의 결과가 포함된 연례 보고서를 위원회와 유럽연합 집행위원회에 제출할 의무를 부담하며 이에는 모범 사례 및 샌드박스 내에서 감독을 받는 기타 EU 법의 적용에 대한 권고사항이 포함되어야 한다(AI 법안 제53(5)조).

세 번째로, 공익 목적의 특정 인공지능 시스템의 경우에는 이를 위한 개인 데이터 처리와 보관 방식 등에 관해 여러 가지 규칙을 미리 정해 놓고 있다(AI 법안 제54조).

마지막으로, 특히 소규모 제공자 및 사용자를 위하여 당해 법안은 이들이 자격 요건을 갖춘 경우 인공지능 규제 샌드박스에 우선적으로 접근할 수 있도록 정하고 있으며 제43조에 따른 적합성 평가의 수수료를 책정하는 과정에서도 이들의 규모와 시장 규모에 비례하도록 수수료를 경감토록 정하고 있다(AI 법안 제55조).

당해 법안의 내용을 실제로 적용함에 있어 국가 관할 기관과 인증 기관에게 획득한 정보들 즉 지적재산권이나 영업비밀 등에 관해 비밀유지 의무를 부과하고 있으며 이에 더하여 공공의 이해 관계 그리고 사법 또는 행정 절차의 무결성 등을 보호할 의무를 부과하고 있다(AI 법안 제70(1)조).

AI 법안은 당해 법안의 내용을 따르지 않는 인공지능 시스템의 사용 등에 관하여 높은 수위의 벌칙을 정하고 있다. 즉 수인불가 위험성을 가진 인공지능 시스템 관련 내용(AI 법안 제5조)을 위반한 경우 및 고위험 인공지능 시스템의 데이터와 데이터 거버넌스 요건(AI 법안 제10조)을 위반한 경우 3천만 유로의 과징금을 부과하고 있으며 특히 그 대상이 기업인 경우에는 직전사업연도 전세계 총매출액 6% 중 높은 액수 이하의 과징금을 부과하고 있다(AI 법안 제71(3)조). 또한 그 이외의 법안 내용 위반의 경우에도 2천만 유로를 부과하면서 이 경우에도 그 대상이 기업인 경우에는 직전 사업연도 전세계 총매출액 4% 중 높은 액수 이하의 과징금을 부과하고 있다(AI 법안 제71(3)조)).

이러한 처벌 규정의 적용과 관련하여 각 회원국에게 당해 벌칙 규정들의 효율성을 보장할 의무를 부과하고 있으며 특히 각 개별 사례를 처리함에 있어 법 위반과 그 결과의 성격과 중대성 및 지속기간, 누범 여부 및 행위자의 규모와 시장 점유율 등을 고려토록 정하고 있다(AI 법안 제71(6)조).

GDPR은 제35조에서 특히 새로운 기술을 사용하는 처리에 있어 자연인의 권리와 자유에 대한 높은 위험을 초래할 가능성이 있는 경우에 한해 정보보호 영향평가(Data Protection Impact Assessment)를 거치도록 명시하고 있다(GDPR 제35조 제1항)²²⁾.

AI 법안과 마찬가지로 이러한 부분은 EU GDPR의 방식 또한 정보처리자의 의무를 데이터 처리와 관련된 위험 노출과의 연관성을 근거로 데이터 보호에 대한 위험 기반 접근 방식을 강화하고 있는 것으로 해석할 수 있다. 즉 GDPR의 제35조 제1항은 처리 작업이‘중대한 위험’을 초래할 가능성이 있는 경우에만 개인정보보호 영향평가 요구사항을 적용하도록 정하고 있으므로 그 위험의 정도에 대한 고려가 필요하다고 해석된다.

GDPR은 정보보호 영향평가와 관련하여 당해 정보처리자에게 당해 데이터 처리에 대한 예비 평가를 수행하도록 정하고 있으며 이를 위해 GDPR 제35조 제3항²³⁾은 그 구체적인 조건들을 명시하고 있다. 구체적으로, 우선, 자동화된 처리를 통해서 개인에 관한 프라이버시 측면을 체계적이고 광범위하게 평가하는 시스템으로 당해 평가를 통한 결정 내용이 특정 개인에게 법적 효력을 미치게 하거나 이와 유사하게 개인에게 중대한 영향을 미치는 경우를 들 수 있으며 둘째로, 제9조 제1항에 규정된 특별 범주의 개인정보 즉 인종 또는 민족, 정치적 견해, 종교적 또는 철학적 신념, 노동조합의 가입여부를 나타내는 개인정보의 처리와 유전자 정보, 자연인을 고유하게 식별할 목적의 생체정보, 건강정보, 성생활 또는 성적 취향에 관한 정보에 대한 대규모 처리나 제10조에 규정된 범죄경력 및 범죄 행위에 관련된 개인정보에 대한 처리의 경우를 들 수 있다. 그리고 셋째로, 공개적으로 접근 가능한 장소에 대한 대규모의 체계적 모니터링의 경우를 들 수 있다.

그러나 이러한 규정상의 내용들이 모든 경우를 포섭할 수 없어 GDPR은 감독 당국을 통해 개인정보보호 영향평가가 필요한 처리 작업 목록(Blacklist)과 이러한 요구 사항에서 면제되는 작업(Whitelist)을 구분하여 미리 공표할 수 있도록 하고 있다. 구체적으로, GDPR은 감독 당국이 정보보호 영향평가의 요건이 적용되는 처리 작업의 종류의 목록을 작성 및 공개하도록 정하고 있으며 감독기관은 제68조에 규정된 유럽 데이터보호 이사회에 해당 목록을 통보하도록 정하고 있다(GDPR 제56조 제4항)²⁴⁾. 이에 더하여 GDPR은 감독 당국에게 개인정보보호 영향평가가 요구되지 않는 처리 작업의 종류의 목록 또한 작성하여 공개할 수 있으며 이러한 경우 감독기관은 유럽 데이터보호 이사회에 해당 목록을 통보토록 정하고 있어(GDPR 제56조 제5항) 결과적으로 허용되지 않는 작업 목록(Blacklist)의 경우와 달리 허용된 작업 목록(Whitelist)에 있어서는 그 목록 작성과 공개를 강제하지 않는 태도를 보여준다.

허용된 작업 목록(Whitelist)은 허용되지 않는 작업 목록(Blacklist)과 달리 강제적인 성격을 가진 것은 아니지만 특정 작업 처리의 위험성의 정도 그 중에서도 고위험에 해당하는지의 여부는 예비 평가시 발생할 수 있는 소모적인 과정을 피할 수 있게 해준다는 측면에서 중요성을 가진다.

이와 별도로 GDPR 제35조 제10항은 데이터 처리가 개인정보보호 영향평가에서 면제될 가능성이 있는지 여부를 평가할 때도 필수적인 조건이 된다. 구체적으로, 유럽연합 또는 회원국 법률 내에 법적 근거를 두고 제6조(1)의 (c)호 또는 (e)호에 따른 처리 즉 정보처리자의 법적 의무를 준수하기 위해 개인정보 처리가 필요한 경우 혹은 공익을 위하거나 정보처리자의 법적 권한을 행사하여 이루어지는 업무 수행에 필요하여 이루어진 처리의 경우에는 당해 법률이 특정 처리 작업이나 일련의 관련 작업을 규제하고 개인정보보호 영향평가가 이미 그 법적 근거를 통해 일반적 영향평가의 일환으로 시행된 경우에는 당해 작업 처리에 관해서는 제1항에서 제7항까지의 내용은 적용되지 않도록 예외를 두고 있으면서도 다른 한편으로는 이러한 예외 규정에도 불구하고 그 판단은 회원국에 일임하는 태도를 취하고 있다(GDPR 제35조 제10항)²⁵⁾.

이러한 배경에서 결국 회원국의 필요성에 따라 일정한 요건 하에 개인정보보호 영향평가를 생략할 수 있도록 정하고 있으나 일반적으로는 특정 정보 처리 작업이 허용된 작업 목록(Whitelist)에 속하는지 아니면 허용되지 않는 작업 목록(Blacklist)에 속하는지 명확하지 않은 경우가 대부분일 것이므로 개인정보보호 영향평가를 수행하게 될 것으로 보여진다.

이에 관해 제29조 정보 보호 작업반(ARTICLE 29 DATA PROTECTION WORKING PARTY)의 의견서에는 GDPR 제35조 제3항 적용을 위한 상세한 기준을 제시하고 있으며 구체적으로 ①‘개인 정보 프로파일의 생성 또는 이용을 위한 업무 성과, 경제 상황, 건강, 개인적 선호도 또는 관심, 신뢰성 또는 행동, 위치 또는 이동 등과 관련된 측면’에 대한 프로파일링 및 예측을 통한 평가 ② 법적 영향 또는 이와 유사한 상당한 영향을 미치는 자동화된 결정 ③ 네트워크를 통해 수집된 정보와 같은 공개된 접근 가능 지역에서의 체계적인 감시 ④ 일상기록 애플리케이션과 같은 민감한 개인적인 정보 ⑤ 정보 주체의 숫자, 처리되는 정보의 양, 정보 처리 활동의 지리적 범위 등으로 특정되는 대량 처리되는 정보 ⑥ 합리적인 목적을 넘어선 방식으로 서로 다른 목적을 위해 수행된 두 가지 이상의 정보 처리 작업을 통한 정보의 조합 ⑦ 정보 주체와 정보 관리자 사이에서 확대된 힘의 불균형에 기인한 취약한 정보 주체와 관련된 정보 ⑧ 지문 인식과 안면 인식을 결합한 방식과 같은 새로운 기술적 또는 조직적 솔루션의 혁신적인 적용 ⑨ 은행이 대출 제공 여부를 위해 신용 조회를 하는 것과 같이 정보 처리 자체가 정보 주체의 서비스 이용을 막는 결과를 가져오는 경우를 예로 들 고 있다.

그리고 이러한 전제에서 당해 권고안은 대부분의 경우 두 가지 기준에 해당하는 정보 처리 작업에 관해서 정보처리자에게 정보보호 영향평가를 수행하도록 제안하고 있으며 특히 해당되는 기준이 많을수록 강제될 가능성도 높은 것으로 간주하여야 한다고 제안하고 있다.²⁶⁾ 또한 이러한 경우 감독 기관에게도 GDPR 제35조 제4항의 의무 즉 목록 공개의무와 이사회 통지의무를 다시 환기시키고 있다.

그러나 GDPR과 당해 권고안에 있어서도 나타나는 추상적인 표현들 특히 그 중에서도‘고위험’과 같은 불명확한 개념은 결국 특정 작업목록의 성격을 판단할 감독기관의 권한에 의존하게 될 것으로 보인다. 왜냐하면 이는 결국 자율 규제 방법을 일정 부분 채용하더라도 감독 기관에게 그 최종 판단을 맡기겠다는 의미로 해석 될 수 있기 때문이며 이러한 이유에서 이미 몇몇 국가들²⁷⁾은 해당목록을 미리 공표하고 있어 앞으로는 그 수가 더욱 늘어날 것으로 보인다.