완전히 자동화된 시스템으로 개인정보를 처리해 결정을 했다면, 정보주체는 그 결정에 관한 설명 등을 개인정보처리자에게 요구할 수 있다(개인정보 보호법 제37조의2 제2항). AI를 썼다고 모든 서비스 답변에 같은 규정이 적용되는 것은 아니므로 결정 구조를 확인한다.
개인정보를 처리한 자동화된 결정인가
이 조문이 말하는 자동화된 결정은 인공지능을 포함한 완전히 자동화된 시스템으로 개인정보를 처리하여 이뤄지는 결정이다. 행정기본법 제20조의 행정청 자동적 처분은 제외된다(제1항). 가령 회사가 이용자의 개인정보를 시스템에 넣고 자동 결정한 결과를 통보했다고 하자. 설명용 가상 사례다. 결과 안내와 개인정보 처리방식을 확인해 어떤 결정에 대한 설명을 요청하는지 특정한다. 자동 안내문이 발송됐다는 사실만으로 완전히 자동화된 결정을 확인한 것은 아니다.
설명 요구와 결정 거부는 구별한다
제2항의 설명 요구와 제1항의 결정 거부권은 요건이 같지 않다. 거부권은 권리나 의무에 중대한 영향을 미치는 경우에 관한 것이며, 법이 정한 동의 · 법률 규정 · 계약 관련 처리 근거에 따른 예외도 따로 있다. 따라서 설명을 요구할 수 있다는 말이 어떤 자동 결과든 원하는 대로 취소할 수 있다는 뜻은 아니다. 이 글은 설명 요구에 한정하며 개별 결정에 대한 거부권이 성립하는지까지 확정하지 않는다. 원하는 조치가 설명인지 거부인지도 나눈다.
기준 · 절차와 필요한 조치를 확인한다
개인정보처리자는 정당한 사유가 없으면 자동화된 결정의 미적용이나 인적 개입에 의한 재처리 · 설명 등 필요한 조치를 해야 한다(제3항). 또 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 쉽게 확인하도록 공개해야 한다(제4항). 안내된 기준과 결정 결과, 설명을 요청한 내용과 회사의 답변을 함께 보관한다. 자료와 결정 방식을 확인해 요청 대상을 정한다. 이 규정만으로 모든 알고리즘의 세부사항이나 회사 자료 전부를 반드시 공개받는다고 보장하지 않는다.
