개인정보위 “AI 교과서, 학생 개인정보 보호 조치 미흡”

지난 3월 도입된 인공지능(AI) 교과서가 학생 개개인의 성적 등 개인정보를 수집하면서 관련 보호 조치는 미흡한 수준인 것으로 나타났다.

개인정보보호위원회는 15일 AI 디지털 교과서에 대한 개인정보 보호법 사전 실태 점검 결과를 전날 전체회의를 통해 의결하고 주관 부처인 교육부와 운영 기관인 한국교육학술정보원(KERIS)에 개선을 권고했다고 밝혔다.

AI 디지털 교과서는 종이 교과서와 달리 학생별 학습 이력을 데이터베이스(DB)화해 저장, 개인 맞춤형 콘텐츠를 제공하기에 개인정보 처리가 필요하다. 이로 인해 우려가 꾸준히 제기됐고, 개인정보위는 사전 실태 점검을 해왔다.

개인정보위에 따르면 AI 교과서는 개인정보 처리에 관한 명확한 근거 법령이 없다. 이에 따라 개인정보보호법 상 정보 주체의 동의나 계약이행을 위한 처리 등을 근거로 개인정보를 처리하고 있다. 이 경우 개인정보 처리방침 등에 처리하는 개인정보 항목이나 목적을 기재해야 하지만, 점검 결과 AI 교과서는 일부 사항을 누락한 것으로 확인됐다.

또 AI 교과서 통합 포털 내부에 구축한 학습데이터 저장소에 각 개발사로부터 받은 학생별 학습콘텐츠 이용내역 데이터를 향후 AI 기반 학습 분석 등에 쓰기 위해 저장하면서 처리하는 개인정보 항목과 그 목적을 분명히 밝히지 않았다.

보안 측면에서도 부족함이 드러났다. AI 교과서는 국가정보원 보안 점검, 클라우드 보안인증(CSAP) 획득과 같은 기본적 보안 조치를 갖추었으나 클라우드 측면에 치우쳐 있었다.

개인정보위는 교육부에 대해 개인정보보호법이 요구하는 보안 수준(ISMS-P)을 확보하고 AI 교과서가 처리하는 개인정보의 항목과 목적 등을 투명하게 밝힐 수 있게 정비하라고 개선 권고했다.

KERIS에 대해서는 개인정보 처리방침 및 동의서를 구체화하고 정보 주체의 권리 행사를 명확하게 하는 등의 시정 권고를 내렸다.