제도·정책2026년 8월 6일읽는 데 약 10분

개인정보위 생성형 AI 안내서, 우리가 읽어야 할 건 따로 있다

개인정보위가 낸 생성형 AI 문서는 사업자용 안내서와 이용자 가이드 두 종류이며, 사회복지 현장이 실제로 읽어야 할 문서와 그 안에서 우리 업무에 걸리는 대목을 정리했습니다.

공문에 붙어 온 개인정보위 안내서를 열어봤는데, 모델과 학습데이터 이야기만 가득해서 우리 업무 이야기 같지 않았습니다. 확인해보니 개인정보보호위원회가 낸 생성형 AI 문서는 하나가 아니라 둘이었고, 그중 사회복지 현장이 실제로 읽어야 할 쪽은 따로 있었습니다. 이 글은 두 문서가 각각 누구를 위한 것인지, 실무자가 읽어야 할 문서에서 어떤 대목이 우리 업무에 걸리는지를 원문 인용과 함께 정리합니다.

문서가 안 읽힌 이유 — 애초에 다른 문서였다

개인정보보호위원회가 생성형 AI와 관련해 낸 문서는 아래 두 가지입니다.

문서	발간	대상
① 생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서	2025년 8월	사업자 — AI 모델을 개발하거나, API를 붙여 AI 서비스를 만드는 쪽
② 생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드	2026년 5월	모든 이용자 — 업무에 AI를 쓰는 직장인 포함

①의 성격은 안내서 본문(p.7)에 이렇게 적혀 있습니다.

본 안내서는 생성형 AI를 개발·활용하면서 개인정보를 처리하는 기업·기관 등이 참고할 수 있도록 마련되었습니다.

같은 쪽에서 대상을 더 구체적으로 밝힙니다.

예를 들어, ▲LLM을 개발하고 제공하는 모델 개발자 및 ▲모델을 이용해 AI 서비스를 개발·제공하는 모델 이용자 등이 …

붙임(p.46)은 여기서 말하는 “모델이용자”를 다음과 같이 정의합니다.

①외부 상용 모델을 API 연계하거나 ②공개 모델을 다운로드하고 개발해 AI 서비스 제공하는 기업·기관 등

즉 ①은 “챗GPT 화면에 질문을 넣는 개인”을 겨냥한 문서가 아닙니다. AI를 만들거나, API로 연결해 새로운 서비스를 내놓는 쪽이 읽는 문서입니다. 대부분의 사회복지기관은 여기에 해당하지 않습니다. 우리는 이미 만들어진 AI 서비스(ChatGPT, 클로드 등)의 화면에 업무 내용을 입력해 쓰는 쪽이고, 그 쪽을 겨냥한 문서는 ②입니다.

개인정보위 생성형 AI 문서 갈림 구조도. AI를 만들거나 API로 서비스에 붙이는 경우는 2025년 8월 안내서로, AI를 업무에 쓰기만 하는 경우는 2026년 5월 이용자 가이드로 이어지며 이용자 가이드 쪽이 검정 강조 박스로 표시되어 대부분의 복지기관이 여기 해당함을 보여준다. — AI를 만드는가, 업무에 쓰기만 하는가 — 대부분의 복지기관은 이용자 가이드 쪽입니다

① 안내서에서 그래도 우리에게 걸리는 대목

①은 사업자용 문서이지만, 사업자가 AI 서비스를 만들 때 개인정보를 어떻게 다뤘는지 보여주는 대목 중에는 사회복지 현장에도 참고가 되는 내용이 있습니다.

민감정보 처리 기준(p.18)입니다.

AI 서비스 개발에 민감정보, 고유식별정보 등의 처리가 수반되는 경우에는 별도의 동의 또는 법적근거가 있는 경우에 한하여 처리할 수 있습니다.

그리고 의료기관 사례(p.23)입니다. 상담 기록을 다루는 사회복지 업무와 구조가 가장 비슷한 실제 사례입니다.

의료기관이 진료 대화를 기반으로 의료기록 작성업무를 자동화하는 과정에서 개인용 무료 라이선스로 서비스형 LLM을 사용하면 입력 데이터가 LLM 서비스 제공자의 자체 목적(예: LLM 학습)으로 활용될 우려가 있음

이 사례에서는 개선 방향으로 “기업용 라이선스(Enterprise API)로 … 의료기관의 목적으로만 데이터가 처리되도록 조치”했다고 적혀 있습니다. 진료 대화를 상담 기록으로 바꿔 읽으면, 개인 계정으로 무료 AI 서비스에 상담 내용을 입력할 때 같은 우려가 그대로 적용될 수 있습니다.

② 이용자 가이드 — 실무자가 실제로 읽어야 할 문서

②는 업무에 AI를 쓰는 모든 이용자를 대상으로 합니다. 사회복지 현장에 직접 걸리는 대목이 여기 있습니다.

업무 자료를 입력할 때(Q&A 5, p.12~13)입니다.

우선, 소속 조직에 AI 서비스 이용과 관련한 내부 지침이 있거나 별도로 승인된 도구가 있는지 확인하는 것이 중요합니다.

아울러, 고객·거래처 정보, 인사 정보 등 제3자의 개인정보가 포함된 자료를 입력할 때는 사전 동의나 법적 근거 없이 외부로 전달될 위험이 있다는 점에 특히 유의해야 합니다.

… 입력한 내용이 모델 학습이나 다른 목적으로 활용되지 않도록 계약·정책상 통제되는 기업용 라이선스 사용을 고려하는 것이 바람직합니다.

정보가 결합되면 개인정보가 된다는 대목(Q&A 4, p.11)입니다. 사회복지 기록에 그대로 걸리는 내용입니다.

… “○○초 3학년 2반 담임”, “지난주 수요일 OO병원 진료결과”처럼 여러 단서가 결합되어 특정 개인이 쉽게 드러날 수 있는 정보도 개인정보로 볼 수 있습니다.

한 번의 입력으로는 식별이 어려워 보여도, 이처럼 누적된 정보들이 결합되면 특정 개인이 식별될 수 있으므로 주의해야 합니다.

아예 입력하지 않기(Q&A 1, p.7)와 처음부터 최소화하기(Q&A 2, p.9)입니다.

주민등록번호, 여권번호, 계좌번호, 비밀번호, 인증코드 등 중요한 정보는 아예 입력하지 않기

민감한 정보의 경우에는 사후 삭제에만 의존하기보다 처음부터 입력을 최소화하는 것이 보다 안전합니다.

원문 문장 → 복지 현장에서는 이런 뜻

원문 (문서·쪽수)	복지 현장에서는 이런 뜻
“소속 조직에… 내부 지침이 있거나 별도로 승인된 도구가 있는지 확인”(②Q&A5, p.12)	AI에 상담 기록을 넣기 전, 기관에 AI 사용 지침이 있는지부터 확인
“고객·거래처 정보, 인사 정보 등 제3자의 개인정보가 포함된 자료를 입력할 때는… 유의”(②Q&A5, p.13)	이용자·보호자·동료 직원 정보가 담긴 상담 기록·슈퍼비전 메모도 여기 해당
“○○초 3학년 2반 담임”…“결합되어 특정 개인이… 드러날 수 있는”(②Q&A4, p.11)	이름을 지워도 학교·나이·진단명·거주지를 같이 적으면 특정될 수 있음
“주민등록번호… 아예 입력하지 않기”(②Q&A1, p.7)	사례관리시스템 계정번호·주민등록번호는 처음부터 AI에 넣지 않기
“사후 삭제에만 의존하기보다 처음부터 입력을 최소화”(②Q&A2, p.9)	요약 다 만든 뒤 이름을 지우기보다, 처음부터 대괄호로 바꿔 넣기
“개인용 무료 라이선스로… 사용하면… LLM 학습으로 활용될 우려”(①의료기관 사례, p.23)	개인 무료 계정으로 상담 기록을 요약시키면 같은 우려가 적용됨

안내서는 제재 근거가 아니다 — 그러나 법 조항 자체는 별개

①과 ②는 모두 개인정보보호법을 근거로 만든 문서이지만, 문서 자체가 처벌 조항을 새로 만드는 것은 아닙니다. ① 안내서 붙임(p.46)은 스스로 이렇게 구분합니다.

※ ▲개인정보 보호법령에 따른 의무사항과 ▲의무사항은 아니나 개인정보 보호 원칙 등에 따른 자율적 책무로 구분

즉 “안내서에 이렇게 적혀 있다”는 이유만으로 과태료나 제재가 붙지는 않습니다. 다만 안내서·가이드가 근거로 인용하는 개인정보 보호법 조항 자체는 안내서와 별개로 법입니다. 예를 들어 위에 인용한 민감정보 처리 기준(p.18)은 개인정보 보호법상 의무를 안내서 언어로 풀어 쓴 것이고, 그 밑바탕의 법 조항은 문서 유무와 상관없이 적용됩니다. “안내서를 어겼다”가 아니라 “그 밑에 있는 법 조항을 어겼는지”가 실제 쟁점이라는 뜻입니다.

사회복지라는 단어는 문서 어디에도 없다

안내서 52쪽 전체를 확인해도 “사회복지”·“상담”·“복지”·“돌봄”이라는 단어는 한 번도 나오지 않습니다. 사회복지 현장을 직접 언급한 사례나 문구는 없습니다.

그래서 이 글에서 정리한 대조표는 개인정보위가 만든 공식 번역이 아니라, 원문을 사회복지 업무 상황에 대입해 현장이 직접 옮긴 것입니다. 원문에 없는 확정된 정답이 아니라, 참고할 방향으로 읽어주세요. 구체적인 판단이 필요한 상황이라면 소속 기관의 정보보호 담당자에게 확인하는 것이 가장 확실합니다.

원문은 아래에서 직접 확인할 수 있습니다.

① 안내서 게시물: https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=11439
② 이용자 가이드 보도자료: https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12084

다음 단계

두 문서 중 어느 쪽을 읽어야 하는지 정리했다면, 실제로 AI에 무엇을 넣고 무엇을 빼야 하는지는 AI에 이용자 정보 넣어도 될까 에서 실무 절차로 이어집니다. 기관 차원의 AI 사용 지침이 아직 없다면 기관 AI 사용 규정 만들기 를, AI 기본법과의 관계가 궁금하면 AI 기본법, 우리 기관도 해당될까 를 참고하세요.

자주 묻는 질문

안내서를 지키지 않으면 과태료를 내나요?

안내서 자체는 새 처벌 조항을 만드는 문서가 아닙니다. 안내서 붙임(p.46)도 내용을 “의무사항”과 “의무사항은 아닌 자율적 책무”로 스스로 나눕니다. 다만 안내서가 근거로 인용하는 개인정보 보호법 조항은 문서와 별개로 법이므로, 그 법 조항 위반 여부는 사안마다 따로 확인이 필요합니다.

안내서에 AI에 넣어도 되는 개인정보 목록표가 있나요?

그런 목록표나 판단 기준표는 원문에 없습니다. 안내서는 사업자가 AI 서비스를 개발·운영할 때 고려할 사항을 사례 중심으로 안내한 문서이고, “이건 넣어도 된다”는 식의 체크리스트는 실려 있지 않습니다.

사회복지 현장 사례가 문서에 나오나요?

나오지 않습니다. “사회복지”·“상담”·“복지”·“돌봄” 어느 단어도 안내서 52쪽 전체에 없습니다. 구조가 가장 비슷한 실사례는 의료기관의 진료 대화 자동화 사례(p.23)이며, 이 글의 대조표도 그 사례와 이용자 가이드의 Q&A를 사회복지 업무에 대입해 정리한 것입니다.