공공데이터 개방과 생성형 AI의 개인정보 재식별 위험에 관한 연구^*:

최근 각국은 인공지능을 국가 전략산업으로 육성하고 있으며, 데이터 확보를 AI 경쟁력의 핵심 요소로 인식하고 있다. 생성형 AI의 발전은 방대한 양의 학습데이터를 필요로 하며, 데이터의 양과 질은 AI 성능을 결정하는 중요한 요인으로 작용한다. 우리나라는 ｢인공지능 발전과 신뢰 기반 조성 등에 관한 기본법｣을 제정하여 AI 산업 육성을 적극 추진하고 있으며, 국가 AI 전략과 디지털플랫폼정부 정책을 통하여 공공데이터 활용 확대를 추진하고 있다. 특히 공공데이터는 품질과 신뢰성이 높아 AI 학습데이터로서 높은 가치를 가진다.

그러나 AI 산업 발전을 위한 데이터 활용 확대는 개인정보 보호와 충돌할 가능성이 존재한다. 과거에는 데이터의 직접적인 공개 여부가 문제였다면, 오늘날에는 공개된 데이터가 생성형 AI의 학습자료로 활용되는 과정에서 새로운 개인정보 침해 가능성이 발생하고 있다.

생성형 AI(Generative AI)는 대규모 데이터를 학습하여 새로운 텍스트, 이미지, 음성, 영상 등을 생성하는 인공지능 기술을 의미한다. 대표적인 예로 ChatGPT, Gemini, Claude, Copilot 등이 있다. 전통적인 AI가 특정 문제를 분류하거나 예측하는 데 초점을 두었다면, 생성형 AI는 인간과 유사한 수준의 언어 생성과 추론을 수행할 수 있다는 점에서 차이를 가진다. 특히 생성형 AI는 대규모 언어모델(LLM)을 기반으로 작동하며, 수십억 개 이상의 문서와 데이터를 학습한다. 문제는 생성형 AI가 단순히 정보를 저장하는 것이 아니라 서로 다른 데이터 간의 관계를 학습하고 새로운 정보를 추론할 수 있다는 점이다. 이러한 특성은 AI의 활용 가능성을 확대하는 장점이 있지만, 동시에 개인정보 재식별 위험을 증가시키는 요인으로 작용한다.

개인정보보호법은 개인정보를 살아있는 개인에 관한 정보로서 해당 개인을 알아볼 수 있는 정보로 정의하고 있다. 개인정보는 크게 직접식별정보와 간접식별정보로 구분될 수 있다. 이름, 주민등록번호, 전화번호 등은 직접식별정보에 해당하며, 연령, 성별, 직업, 지역정보 등은 간접식별정보에 해당한다. 가명정보는 개인정보 일부를 삭제하거나 대체하여 특정 개인을 직접 식별할 수 없도록 처리한 정보이다. 그러나 다른 정보와 결합하면 특정 개인을 식별할 가능성이 존재한다. 반면 익명정보는 어떠한 방법으로도 특정 개인을 식별할 수 없는 상태의 정보를 의미한다. 따라서 익명정보는 개인정보보호법의 적용대상이 되지 않는다. 문제는 생성형 AI의 발전으로 과거에는 익명정보로 평가되었던 데이터도 재식별될 가능성이 증가하고 있다는 점이다. 이는 개인정보와 가명정보, 익명정보의 경계를 더욱 모호하게 만들고 있다.

재식별(Re-identification)이란 비식별화 또는 가명처리된 정보가 다른 데이터와 결합되거나 분석됨으로써 다시 특정 개인을 식별할 수 있게 되는 현상을 의미한다. 과거에는 개인정보 재식별이 주로 통계학적 분석이나 데이터 결합을 통하여 이루어졌으나, 최근에는 AI 기반 분석기술이 발전하면서 재식별의 가능성과 속도가 크게 증가하였다. 대표적으로 Sweeney 사건에서는 우편번호, 생년월일, 성별만으로 특정 개인의 의료정보를 식별할 수 있음이 입증되었으며, Netflix 사건에서는 영화평점 데이터와 공개된 영화리뷰 정보를 결합하여 특정 이용자를 재식별할 수 있음이 확인되었다. 재식별은 단순한 개인정보 침해를 넘어 개인정보 자기결정권 침해와 정보인권 침해로 이어질 수 있다는 점에서 중요한 법적 문제를 제기한다.

생성형 AI 시대의 개인정보 위험은 단순한 재식별에 그치지 않는다. 생성형 AI는 명시적으로 제공되지 않은 정보까지 추론할 수 있기 때문이다. 예를 들어 특정 개인의 검색기록, 구매이력, 위치정보, SNS 게시물 등을 분석하면 건강상태, 정치성향, 종교, 경제수준, 장애 여부 등을 추론할 수 있다. 이를 AI 추론(Inference) 위험이라고 한다. AI 추론 위험은 전통적인 개인정보 보호체계가 충분히 고려하지 못한 새로운 유형의 위험이다. 왜냐하면 실제 개인정보가 공개되지 않았더라도 AI가 이를 유추하여 사실상 동일한 결과를 도출할 수 있기 때문이다. 생성형 AI는 다양한 데이터셋을 결합하여 새로운 정보를 생성할 수 있으므로, 재식별 위험과 추론 위험은 상호 결합되어 나타나는 경우가 많다. 따라서 생성형 AI 시대의 개인정보 보호는 단순한 정보유출 방지를 넘어 재식별과 추론 가능성까지 고려하는 새로운 접근이 요구된다.

Sweeney 교수는 공공데이터 개방이 비식별화되더라도 얼마나 개인정보에 위협적인지 보여주는 연구로서 매사추세츠주 의료데이터 공개 사례를 분석하면서 우편번호(ZIP Code), 생년월일(Date of Birth), 성별(Sex)이라는 단 세 가지 준식별자(quasi-identifiers)만으로도 미국 인구의 약 87%를 식별할 수 있음을 입증하였다. 이는 비식별화된 공공데이터라 하더라도 다른 데이터셋과 결합될 경우 개인정보 재식별이 가능함을 보여주는 대표적 연구로 평가된다. 즉, 1997년 미국 매사추세츠주는 공공정책 연구를 위해 주 공무원의 의료기록 데이터를 비식별 처리하여 공개하였다. 당시 정부는 이름 삭제, 주민번호 삭제, 주소 삭제 등을 수행하였기 때문에 개인정보가 아니라고 판단하였고 안전하다고 판단하였다. 그러나 카네기멜런대학교의 Latanya Sweeney 교수는 공개된 의료데이터와 유권자 명부를 결합하여 당시 매사추세츠 주지사 William Weld의 의료기록을 찾아내는 데 간단하게 성공하였다. 그 결과 우편번호, 생년월일, 성별만으로도 상당수 국민을 식별할 수 있다는 사실이 밝혀졌다. 이는 오늘날 AI가 다양한 데이터셋을 자동 결합하는 경우 재식별 위험이 훨씬 커질 수 있음을 보여주는 대표 사례로 제시되는 사례이다.

Narayanan과 Shmatikov는 넷플릭스가 공개한 익명화 영화평점 데이터를 분석하여 IMDb의 공개 리뷰 데이터와 결합하는 방식으로 특정 이용자를 재식별할 수 있음을 입증하였다. 이 연구는 이름이나 회원번호와 같은 직접식별정보가 제거되었더라도 다른 공개 데이터와의 결합을 통해 개인 식별이 가능함을 보여준 대표적 사례로 평가된다. 특히 연구진은 재식별된 정보를 바탕으로 이용자의 정치적 성향이나 개인적 취향 등 민감정보까지 추론할 수 있음을 지적하였다. 이는 오늘날 생성형 AI가 대규모 데이터를 자동으로 결합·분석하는 환경에서 공공데이터의 가명처리만으로는 개인정보 보호가 충분하지 않을 수 있음을 시사한다. 2006년 넷플릭스는 추천 알고리즘 개발을 위해 약 50만 명의 영화 시청 데이터를 익명화하여 공개하였는데 이 때 넷플릭스는 이름 삭제, 회원번호 삭제 등을 수행하였으므로 안전하다고 보았다. 그러나 연구자들은 IMDb(Internet Movie Database) 리뷰 정보와 결합하여 특정 사용자의 영화 취향을 역추적하는 데 성공하였다. 이를 통해 정치성향, 종교, 성적 취향 등 민감정보까지 추론 가능하다는 사실이 밝혀졌고 생성형 AI는 이러한 추론 능력을 훨씬 강화할 수 있다는 점에서 중요한 사례로 알려지게 되었다. 즉, 50만 명 이용자는 영화평점을 기록하였을 뿐이었는데 그에 대한 데이터셋(Netflix Prize Dataset)을 분석하여 특정 사용자를 찾아낼 수 있었는데 당시 넷플릭스는 개인정보영향평가에 있어 자신감을 보이며 이용자의 이름, 주소, 회원번호 등을 삭제한 후 데이터를 공개하였으므로 개인정보가 아니라고 판단하였다. 그리하여 익명화된 데이터라고 하더라도 다른 공개 데이터와 결합하면 개인을 재식별할 수 있음이 입증되었다.

2006년 8월 4일, 압두르 초드후리가 이끄는 AOL 리서치는 3개월 동안 65만 명 이상의 사용자를 대상으로 2천만 건의 검색 쿼리를 담은 압축 텍스트 파일을 한 웹사이트에 공개했다. AOL은 2006년 약 65만 명 이용자의 2천만 건 이상의 검색 기록을 제공하면서 이 내용은 익명화되어 공개되기 때문에 문제가 되지 않는다고 하였으나 특정 이용자가 식별되는 문제가 발생하였다. AOL은 8월 7일까지 해당 파일을 사이트에서 급히 삭제했지만, 그 전에 복사되어 이미 인터넷에 배포된 뒤였다. AOL이 검색한 부분에 대해 특정 사용자 수치로 식별한 계정을 귀속하도록 분류했기 때문에, 이용자 번호 4417749의 검색기록을 분석하여 개인을 식별하고 계정 및 검색 기록과 매칭할 수 있었는데 이는 익명화된 검색 기록을 전화번호부 목록과 교차 조회하여 실제 인물인 Thelma Arnold를 찾아냈던 일로 AOL은 이것이 실수임을 인정하고 데이터를 삭제했다.

그리하여 이 일은 익명화된 데이터라도 다른 정보와 결합될 경우 재식별이 가능함을 보여주는 대표적 사례로 평가되었으며 이 때 이용자 아놀드는 이름 대신 숫자 ID를 사용하였으나 이용자가 검색한 내용 중에는 집주소에 접근하는 방법, 병원, 가족관계, 지역정보 등이 포함되어 있었고 누구나 특정 이용자를 실제 인물로 식별하는 데 성공할 수 있었던 것이다. 결국 2006년 9월, 캘리포니아 북부 지방법원에 AOL은 집단 소송으로 피소되었다¹⁴⁾. AOL은 전자통신프라이버시법(EFA)을 위반했다고 하면서 노출된 사람당 최소 5,000달러의 배상금을 요구하였다. 전자통신 프라이버시법(Electronic Communications Privacy Act of 1986)은 전자통신의 내용을 고의로 공개해서는 안 되며¹⁵⁾ 원고들은 AOL이 약 65만 명의 이용자, 약 2천만 건의 검색기록을 인터넷에 공개함으로써 검색기록 자체가 전자통신 내용(contents of communication), 가입자 정보(record concerning subscriber)에 해당하므로 ECPA §2702를 위반했다고 주장하였다. 특히 원고들은 검색어(query)는 단순한 로그정보가 아니라 이용자의 사상, 건강상태, 정치적 성향, 종교, 가족관계 등을 포함하는 통신 내용(content)이라고 주장하였다. AOL 검색기록 공개 사건에서는 익명화된 검색 데이터라 하더라도 검색어 자체에 개인정보가 포함될 수 있다는 점이 문제되었는데 원고들은 AOL이 약 65만 명 이용자의 2천만 건 이상의 검색 기록을 공개함으로써 전자통신프라이버시법(ECPA) 제2702조 위반이 주장되었던 것이다. 결국 해당 소송은 이후 Landwehr v. AOL Inc. 사건으로 병합되어 진행되었으며, 2013년 AOL이 500만 달러 규모의 집단소송 합의에 동의함으로써 종결되었다.¹⁶⁾ 이는 비식별화된 데이터라 하더라도 검색 패턴과 질의 내용만으로 개인 식별이 가능하다는 점을 보여준 대표적 사례로 평가된다.

뉴욕 택시 데이터 재식별 사건은 뉴욕시 택시·리무진위원회가 공개한 택시 운행 데이터에서 비롯되었는데 해당 데이터에는 뉴욕의 옐로캡 운행의 승차·하차 시간, 승차·하차 위치, 요금, 팁 금액, 택시 면허번호와 차량번호를 해시 처리한 값 등이 포함되어 있었다. Anthony Tockar는 이 데이터가 겉으로는 익명화되어 있었지만, 시간·장소 정보와 외부 공개정보를 결합하면 특정 승객의 이동경로를 추정할 수 있음을 보여주었다. 이 사건의 핵심은 위치정보와 시간정보의 결합 위험성으로 데이터에는 이름이나 전화번호 같은 직접 식별자는 없었지만, “언제, 어디서 택시를 탔고 어디서 내렸는가”라는 정보 자체가 매우 강한 준 식별자 역할을 했다. 이에 대해서는 연구자 Vijay Pandurangan도 2014년 뉴욕시 택시 데이터 공개 사건을 분석하면서, “On Taxis and Rainbows: Lessons from NYC’s Improperly Anonymized Taxi Logs”¹⁸⁾라는 유명한 글에서 뉴욕시가 공개한 1억 7,300만 건 이상의 택시 운행기록의 공개는 분석 결과, 익명화 과정에 중대한 결함이 존재함을 지적하였다. 즉, 해시(hash) 처리된 택시 식별번호가 역산될 수 있음을 보여주었으며, 이를 통해 특정 운전기사의 운행정보를 복원할 수 있다고 분석한 것이다. Anthony Tockar가 비식별처리를 했더라도 승객의 재식별 가능성을 보여주었다면 Vijay Pandurangan은 익명화 기술 자체의 취약성을 밝혔다. 그리하여 뉴욕시는 택시번호를 익명화하였다고 주장했으나 실제로는 단순한 MD5 해시(Hash)를 사용하였고, 이를 역산하여 원래 택시번호를 복원할 수 있음을 입증하여 ① 운전기사 식별 가능 ② 승객 이동경로 추적 가능 ③ 외부 데이터 결합 가능이라는 점을 보여주었다. 즉, 뉴욕시가 공공데이터로 공개한 데이터는 승차위치, 하차위치, 시간정보 등이었으나 연구자들은 이를 활용하여 유명인의 이동경로를 추적하고 특정 운전기사와 승객을 식별할 수 있을 뿐만 아니라 AI 기반 위치분석기술까지 발전하면서 위치정보 데이터의 재식별 위험이 크게 증가하고 있음을 경고하고 있는 것이다.

Nathan Ruser는 호주의 전략정책연구소(ASPI) 연구원이었으며 2018년 1월 27일 자신의 X(당시 Twitter)에 Strava Heat Map 분석 결과를 공개하였다.¹⁹⁾ 미국의 운동기록 앱인 Strava Heat Map은 이용자들이 달리기, 자전거, 등산, 군사훈련 등을 기록할 수 있는 GPS 기반 운동 플랫폼이다. 2017년 11월 Strava는 전 세계 약 2,700만 명의 이용자로부터 수집한 약 30억 건 이상의 GPS 운동기록을 기반으로 Global Heat Map을 공개하였다. Strava는 이름 삭제, 계정 정보 삭제 등의 조치를 취하였기 때문에 개인정보 문제가 없다고 판단하였다. 2018년 1월 Nathan Ruser는 Heat Map을 분석하던 중 이상한 현상을 발견하였는데, 사하라 사막, 시리아, 아프가니스탄, 이라크 등 인구가 거의 없는 지역에서 특정 경로가 매우 밝게 표시되고 있었던 것이다. 그는 이를 분석한 결과 해당 경로들이 미군 기지, NATO 군사시설, CIA 관련 시설, 특수부대 작전지역과 일치한다는 사실을 발견하였다. 문제는 아프가니스탄의 외딴 군사기지에서는 일반 시민이 거의 존재하지 않는데 Heat Map에는 병영, 숙소, 식당, 경계 순찰로가 선명하게 표시되어 있었던 것이다. 이는 군인들이 운동할 때 Strava 앱을 사용했기 때문이다. 결과적으로 공개된 Heat Map만으로 기지의 위치, 규모, 주요 시설 배치, 경비 순찰 경로까지 추정할 수 있게 되었던 것이었다. 그리하여 CIA 및 정보기관 시설이 모두 노출되었는데 일부 지역에서는 CIA 전진기지, 정보 수집시설, 비공개 작전기지로 추정되는 시설까지 노출되었다. 특히 시리아와 아프리카 지역에서는 공개적으로 알려지지 않았던 시설의 존재가 Heat Map 분석을 통해 추정되었다. 중요한 점은 Strava가 직접 개인정보를 공개한 것이 아니라는 점이다. 문제는 ① GPS 위치정보 ② 반복적인 이동 패턴 ③ 공개 위성사진 ④ 군사시설 위치정보를 결합함으로써 개별 이용자 또는 군사 조직을 식별할 수 있게 되었다는 것이다. 즉, 익명화된 데이터와 공개 데이터, 분석 기술은 재식별이라는 공식이 현실에서 입증된 사례였다. Strava 사건 당시에는 연구자가 직접 Heat Map을 분석하였으나 생성형 AI 시대에는 상황이 훨씬 심각해진다. AI는 GPS 데이터, SNS 게시물, 공개 지도, 위성 사진, 뉴스기사를 자동으로 결합할 수 있기 때문이다. 따라서 과거에는 전문가가 수개월 동안 분석해야 했던 작업을 AI는 수분 내에 수행할 수 있다.

우리나라에서는 2020년 1월 20일 중국 우한에서 입국한 35세 중국인 여성이 최초 확진자로 확인되면서 코로나19 대응이 시작되었는데 이후 2020년 2월 대구·경북 지역을 중심으로 대규모 집단감염이 발생하면서 확진자가 급증하였고, 정부는 감염병 위기경보를 최고 단계인 “심각”으로 격상하였다. 이후 방역 당국은 광범위한 역학조사와 접촉자 추적을 실시하였으며, 확진자의 이동경로 공개를 주요 방역수단으로 활용하였다.²⁰⁾ ｢감염병의 예방 및 관리에 관한 법률｣ 제34조의2 ‘감염병위기 시 정보공개’는 질병관리청장, 시·도지사 및 시장·군수·구청장은 국민의 건강에 위해가 되는 감염병 확산으로 인하여 ｢재난 및 안전관리 기본법｣ 제38조제2항에 따른 주의 이상의 위기경보가 발령되면 감염병 환자의 이동경로, 이동수단, 진료의료기관 및 접촉자 현황, 감염병의 지역별·연령대별 발생 및 검사 현황 등 국민들이 감염병 예방을 위하여 알아야 하는 정보를 정보통신망 게재 또는 보도자료 배포 등의 방법으로 신속히 공개하여야 한다. 다만, 성별, 나이, 그 밖에 감염병 예방과 관계없다고 판단되는 정보로서 대통령령으로 정하는 정보는 제외하여야 한다.고 규정하고 있다. 이 때 감염병 환자의 이동경로, 이동수단, 진료의료기관 및 접촉자 현황 등이 포함된 확진자 동선이 공개되었는데 이 과정에서 성별, 연령, 방문장소, 이동시간 등이 공개되었고, 온라인 커뮤니티에서는 특정 개인을 식별하는 사례가 발생하였던 것이다. 이에 대해 특정 집단에 비난이 쏟아지자 많은 사람이 질병관리청의 과도한 동선 공개가 개인정보 침해 위험을 초래한다고 지적하였다.

그 밖에 우리나라에서 공공데이터와 가명정보 활용의 대표적인 사례로는 국민건강보험공단과 건강보험심사평가원이 제공하는 보건의료 빅데이터를 들 수 있다. 국민건강보험공단은 전 국민 건강보험 가입자의 진료내역, 건강검진 정보, 처방정보, 보험자격 정보 등을 보유하고 있으며, 건강보험심사평가원은 의료기관의 진료비 청구자료, 질병정보, 약제처방 정보 등을 축적하고 있다. 이들 기관은 보건의료 연구와 정책개발, 신약개발 및 의료 인공지능 연구 등을 지원하기 위하여 가명처리된 형태로 데이터를 제공하고 있다.²¹⁾ 보건의료 데이터는 질병 연구와 공중보건 정책 수립에 매우 중요한 공공적 가치를 가진다. 실제로 건강보험 빅데이터는 코로나19 대응, 희귀질환 연구, 의료비 분석, 의료서비스 개선 및 인공지능 의료기술 개발 등에 광범위하게 활용되고 있다. 특히 최근에는 생성형 AI와 의료 AI의 발전에 따라 대규모 의료데이터에 대한 수요가 급격히 증가하고 있으며, 정부 역시 데이터 기반 정밀의료와 디지털 헬스케어 산업 육성을 적극 추진하고 있다. 그러나 의료정보는 개인정보 중에서도 가장 높은 수준의 민감정보에 해당한다. 질병명, 처방내역, 입원기록, 수술이력 등은 개인의 건강상태뿐 아니라 경제적 상황, 직업, 생활습관, 장애 여부, 정신건강 상태 등 다양한 개인정보를 포함하고 있기 때문이다. 더욱이 의료정보는 한 번 유출되면 변경이 사실상 불가능하다는 특성을 가지고 있어 일반 개인정보보다 보호 필요성이 더욱 크다. 문제는 가명처리가 이루어졌다고 하더라도 재식별 위험이 완전히 제거되는 것은 아니라는 점이다. 예를 들어 특정 지역에 거주하는 희귀질환 환자의 경우 질병명, 연령, 성별, 거주지역과 같은 정보만으로도 특정 개인을 추정할 가능성이 존재한다. 특히 인구가 적은 지역에서 특정 연령대의 희귀질환 환자 정보가 포함될 경우 재식별 가능성은 더욱 높아진다. 또한 공개된 SNS 게시물, 환우회 활동정보, 언론보도, 지역사회 정보 등이 결합될 경우 가명정보만으로도 개인 식별이 가능해질 수 있다.²²⁾ 이러한 위험은 생성형 AI의 등장으로 더욱 심화되고 있다. 과거에는 재식별을 위해 전문 연구자가 여러 데이터베이스를 수작업으로 비교·분석해야 하였으나, 생성형 AI는 방대한 양의 데이터를 자동으로 수집·분석하고 상호 연관성을 추론할 수 있다. 특히 대규모 언어모델(LLM)은 공개정보와 의료데이터 사이의 관계를 분석하여 특정 개인의 건강상태나 질병 이력을 추정할 가능성이 있다. 이는 기존의 비식별화 또는 가명처리 기법만으로는 충분한 개인정보 보호가 어렵다는 점을 시사한다.

생성형 AI 자체가 개인정보 위험의 원인이 될 수 있다는 것은 2023년 3월에 발생한 OpenAI의 사건보고서 때문이었다. ChatGPT 서비스에서 오픈소스 라이브러리(Redis)의 버그로 인해 일부 이용자의 개인정보가 다른 이용자에게 노출될 가능성이 있었음을 공개하면서 OpenAI 조사 결과, 일부 이용자에게 다른 사용자의 대화 제목(Chat Title), 이름, 이메일 주소, 결제주소 일부, 신용카드 정보 일부(마지막 4자리 및 만료일) 등이 노출될 수 있었던 것으로 확인되었는데 OpenAI는 문제를 발견한 직후 서비스를 일시 중단하고 보안패치를 실시하였다고 하였지만 일부 이용자의 대화 제목, 결제정보 일부가 노출되는 사건은 생성형 AI 시스템이 대규모 데이터를 처리하는 과정에서 개인정보 유출 가능성이 현실화된 사례라 할 수 있을 것이다.

OpenAI에 따르면 일부 사용자는 다른 이용자의 이름, 이메일 주소, 결제주소 및 신용카드 정보 일부를 열람할 수 있었던 것으로 확인되었는데 이 사건은 생성형 AI 서비스가 대규모 데이터를 처리하는 과정에서 기술적 결함만으로도 개인정보 침해가 발생할 수 있음을 보여주는 대표적 사례로 평가되었다.