“금융 결합데이터 재사용 허용”…보안사고 위험은 어쩌나

금융위, AI 기술 활성화 위한 ‘데이터 라이브러리 구축안’ 발표

통계·연구 목적이면 제한없이 사용
성별·생년월일 포함된 가명정보
AI 학습 누적 땐 식별 가능성 높아
정보 유출 시 책임 소재도 불명확
“관리·보호대책 정확히 규정해야”

금융위원회가 금융 분야의 인공지능(AI) 기술을 활성화하기 위해 결합데이터 재사용을 허용하기로 했다. 금융산업의 외연을 확장하고 소비자 편익을 높이겠다는 취지인데 일각에서는 애초 ‘사용 후 즉시 폐기’했던 결합데이터를 다시 쓸 수 있게 하면서 보안사고 발생 가능성이 커질 수 있다는 우려가 나온다.

김소영 금융위 부위원장은 4일 서울 마포 프론트원에서 업계 및 전문가와 간담회를 열고 금융 분야 AI 활용 활성화 및 신뢰 확보 방안을 발표했다. 핵심은 가명정보 재사용을 허용하는 ‘금융 AI 데이터 라이브러리’ 구축이다. 올 3분기 중 한국신용정보원을 중심으로 컨소시엄을 구성해 가명정보 결합데이터(데이터세트)를 재사용할 수 있게 하려는 것이다. 또 다른 데이터전문기관(금융보안원, 금융결제원, 국세청)으로 라이브러리 운영기관을 확대하거나 신용정보법을 개정해 법적 근거를 마련할지도 검토하기로 했다.

금융위는 2020년 신용정보법 법률 및 시행령이 개정된 후 익명정보와 가명정보 개념을 도입하고 데이터전문기관을 통한 데이터 결합을 허용했다. 단, 보안사고를 막기 위해 결합데이터는 데이터전문기관이 의뢰기관에 제공한 후 즉시 파기했다.

2년 만에 나온 이번 활성화 방안에서는 제한적이기는 하지만 결합데이터의 재사용을 허용한 것이다.

전문가들은 결합데이터 재사용이 가능해지고 보존 기간도 사실상 제한이 없어지면서 데이터 사용기관이 가명정보를 식별하는 정보유출 사고를 우려한다. 신용정보법상 가명정보는 추가정보를 사용하지 않으면 특정 개인을 알아볼 수 없게 조치한 정보, 익명정보는 개인을 알아볼 수 없게 조치한 정보이다.

예컨대 ‘이름, 전화번호, 성별, 생년월일, 보험가입건수’가 기록된 원본 정보에서 이름과 전화번호 등 식별자(특정 개인을 고유하게 식별할 수 있는 정보)는 삭제하고 ‘1974년생 여성’만 남겨두면 가명정보, ‘20대 성별 A’로 변환하면 익명정보로 볼 수 있다.

가명정보는 상업적 이용을 포함한 통계 작성, 연구 등의 목적이라면 개인 동의 없이 사용할 수 있다. 익명정보는 제한 없이 자유롭게 사용할 수 있다. 전성인 홍익대 경제학부 교수는 “데이터 사용기관의 데이터가 축적되고 AI 기술도 발전하면 기존에 학습한 결합데이터(가명정보)를 식별할 가능성도 높아진다”며 “이용기관의 가명정보 식별 가능성을 철저히 통제해야 한다”고 말했다.

이에 대해 신용정보원 관계자는 “결합데이터를 사용기관에 제공할 때마다 적정성 평가를 하는 게 바람직하지만 구체적 방법은 정해지지 않았다”고 말했다. 금융위도 이날 “결합데이터 보관에 따른 사고 가능성이 높아질 수 있고 재사용을 위해 결합데이터 비식별처리가 최소한에 그칠 수 있다”면서도 “정보유출 등이 발생하지 않도록 철저한 망분리 등 고도의 데이터 보호체계를 구축하겠다”고 밝혔다. 정보유출 사고 발생 시 책임 소재가 명확하지 않다는 점도 문제로 지적된다.

윤민섭 한국금융소비자보호재단 연구위원은 “결합데이터 이용을 활성화한다는 정부 계획의 방향은 맞다”면서도 “익명·가명처리 정보의 적정성 평가에 실패했을 때 책임은 누가 어느 정도까지 지는지 규정을 만들어야 한다”고 말했다.

금융위 관계자는 “데이터 결합은 비금융 데이터는 개인정보보호법이, 금융 데이터는 신용정보법이 규율하고 있는데 비금융 결합데이터는 이미 재사용이 가능하고 별다른 규제도 없다”면서 “신용정보원이 개인정보 유출 문제 가능성 등을 점검하고 법령도 당장 바꾸는 대신 규제샌드박스를 통해 성과나 안전성 등을 점검하려 한다”고 밝혔다.

규제혁신