이루다 사건을 통해서 보는 개인정보의 인공지능 학습데이터 활용 가능성

Possibility of Using Personal Information as Machine Learning Data Seen Through the Iruda Case

‘이루다’는 이용자들이 심리 상담 목적으로 업로드 한 카카오톡 대화문장을 가지고챗봇 인공지능을 학습시킴으로써 탄생했다. 그런데 개인정보 보호위원회(이하 ‘개인정보위’)는 이루다의 개발·운영 과정에서 처리된 개인정보가 그 수집된 목적 범위를벗어났다는 이유로 과징금을 부과했다. 결국 이루다는 서비스를 중단했다. 본고는 이루다가 어느 대목에서 위법하다고 판단되었는지 분석하는 것에서 출발하여, 향후 이루다의 위법성을 극복한 인공지능 서비스가 등장하기 위해서는 어떠한‘적법한 대체행위’를 택해야 할지에 관한 방안을 제시하고자 한다. 당초 개인정보를수집했던 목적 범위 내에서만 인공지능을 활용하거나, 그 범위를 초과하는 경우 학습용 데이터를 비식별처리하는 것이 일반적인 해결방법일 것이다. 그런데 완전히 새로운 서비스를 개발하거나 인공지능의 품질을 유지하기 위해 부득이 데이터 원본 그대로를 가지고 학습을 해야 하는 상황도 있으므로, 이 경우에 관한 차선책으로서 인공지능 학습데이터와 원 개인정보 간 결합 여지를 차단하고, (학습데이터 대신) 인공지능 서비스 운영 데이터에서 개인정보를 필터링 하는 대안을 제시한다. 본고에서 제안하는 적법한 대체행위는 실제 이루다가 취했던 행위가 아니기 때문에 행정처분 과정에서 개인정보위의 판단 대상이 아니었다. 따라서 이 대안을 향후인공지능 사업자가 따른다고 해서 반드시 적법하게 되리라고 단정할 수는 없다. 다만, 이용자 데이터를 인공지능 학습 및 신규 서비스 운영에 이용할 때 어떠한 안전장치를두어야 개인정보 침해 리스크가 적법한 범위 내로 통제될 수 있을지에 관한 논의의단초를 제공할 수는 있을 것이다.

‘Iruda’ was a artificial intelligence chat bot whose learning data were Kakao Talk conversation sentences uploaded by users for psychological counseling purposes. However, the Personal Information Protection Committee (hereinafter referred to as the “PIPC”) imposed a fine on the grounds that Iruda used the personal information outside the scope of the purpose for which it was collected. Eventually, Iruda closed its service. This paper starts by analyzing in which passages Iruda was judged to be illegal, and intends to suggest a ‘legitimate alternative action’ should be taken in order for AI services that overcome Iruda’s illegality to appear in the future. A common solution would be using AI only within the scope of the purpose for which personal information was originally collected, or to de-identify the learning data if it exceeds the scope. However, in order to maintain the quality of AI, there are some cases that the use of the original data is inevitable. For this case, this paper propose an alternative solution; blocking the combination of AI learning data and original personal information, and filtering personal information from AI service operation data (instead of learning data). Since the ‘legitimate alternative action’ suggested in this paper was not actually Iruda’s action, it was not subject of PIPC’s judgement. Therefore, it cannot be concluded that this alternative will necessarily become legal. However, according to this paper, we can get hints about what safeguards should be put in place to properly control the risk of illegality when using user data for machine learning.