출입국관리를 위한 안면인식 AI 개발 관련
(3줄요약)
1. 다른 정보와 교차해야만 개인을 판별할 수 있는 데이터로 학습(가명정보)
2. 해당 학습 규정 및 보안은 EU와 미국의 가이드를 반영. 글로벌 표준보다 엄하고 수준 높은 편.(법적근거 차고 넘치게 보유함)
3. AI알고리듬을 기반한 시스템 개발은 개개인
해외 주요국(미국, 유럽)의 출입국 관리를 위한 안면인식 기술(AI) 활용 동향 및 관련 법규, 가이드라인 등을 소개하고 한국의 개발 관련 사항을 이야기하여 몇몇 분들이 오해하고 있는 지점에 대해서 이야기하고자 합니다.
이런 부분을 이야기하는 것은 미국이라면 유럽이라면 안그런다라는 근거없는 믿음과 다른 법규로 해당 부분을 해석하는 오류, 해당 기술 개발의 필요성 및 개인정보보호에 피해가 없는 부분에 대한 기술적인 설명을 통해, 해당 사업이 지속되길 바라기 때문입니다.
* 안면인식 기술 : 열적외선 촬영, 3차원 측정, 골격 분석 등을 통해얼굴 형태나 열상(Thermal Image)을 스캔·저장·인식하는 기술로, 분석된 얼굴 이미지와 저장된 사진 DB를 비교하여 신원을 확인하는 데 활용
* 생체인식 관련 표준 : ISO와 IEC의 JTC1(Joint Technical Committee 1) 내에는 여러 개의 전문 위원회(SC, sub-committee)가 존재하며, 각 전문 위원회는 특정 분야 표준을 담당하며 각 전문 위원회 안에는 여러 워킹그룹(WG, Working Group)이 존재한다. [그림 6]은 생체인식 시스템과 관련된 JTC1의 주요 전문 위원회를 보여주고 있다. 2002년에 출범한 SC37은 생체인식 표준을 현재까지 131개 배포했으며 지금도 29개의 새로운 표준을 개발하고 있다. SC37에는 29개국의 표준 기구가 참여하고 있으며 우리나라의 KATS(국가기술표준원)도 참여하고 있다. 참관 자격으로 참여하는 국가 기구도 19개가 있다.(미국, 독일, 프랑스 등 유럽국가 다수 참여)
***해외 주요국(미국, 유럽)의 출입국 관리를 위한 안면인식 기술(AI) 활용 동향 및 관련 법규, 가이드라인***
A. 미국
- 연방기관이 관여할 수 있는 4가지 유형의 안면인식기술 구분 및 관리 (미국 정부책임처(US Government Accountability Office; GAO))
1) 안면인식기술 시스템 소유, 접근 또는 시험(1유형)
2) 안면인식기술 관련 연구개발의 수행 또는 지원(2유형)
3) 비연방기관이 안면인식기술 시스템을 획득할 수 있도록 보조금 지급(3유형)
4) 비연방기관의 안면인식기술 사용 규제(4유형)
- 2020년 5월 발생한 조지 플로이드 사건 이후 안면인식기술이 인종 차별의 도구가 될 수 있다는 점이 사회적 이슈로 부상했고 안면인식기술에 대한 부정적 여론이 강해져 미국 의회와 정부에서는 생체정보 활용에 관한 규제 법안을 조속히 발의하고 채택을 진행 중이나 다수의 연방정부는 안면인식기술을 확대할 계획.
- 안면인식기술은 편의성이 높고 정보 획득이 쉬워 공항 출입국과 출퇴근 관리, 범죄 수사 등 다양한 분야에서 활용되고 있으며 앞으로도 그 활용도는 더 높아질 것으로 예상. 미국 정부가 안면인식기술의 도입을 확대하는 것도 같은 맥락.
- 현재 이슈가 되고 있는 출입국관리를 위한 안면인식 AI알고리즘 개발 관련 해서는 오바마 정부 당시 시작된 안면정보 스캔 시범 테스트('15.07)로 보스턴, 시카고, 뉴욕 케네디 공항 등에서 진행되었으며, 국토안보부는 2018년부터 미국 내 국제공항에서 대대적으로 시행, 안면인식 기술을 사용하여 국제 여행객들의 신원을 확인하는 ‘여행자 확인 서비스(Traveler Verification Service, TVS) 프로젝트’를 추진(’18.08)
- 미국 상무부 산하 통신정보관리청(NTIA)의 모범사례 권고사항 (’16.6)
- 주요권고 사항) △개인정보의 수집·저장·이용을 투명하게 진행할 것 △안면 템플릿 데이터 관리 방안(Facial template data management practices)을 개발할 것 △안면 템플릿 데이터의 공개나 공유에 대한 정보주체의 통제를 허용할 것 △데이터 보호를 위한 적절한 보안조치를 실행할 것 △안면 템플릿 데이터의 활용과 관련해 고객이 기업과 연락을 취해 시정할 수 있는 방안을 제공할 것 등
B. 유럽
- 2021.04 고위험 분야에 인공지능(AI)의 사용을 규제하는 내용의 ‘인공지능 법안’을 발표. 공공장소의 원격 안면인식 등과 같은 고위험 분야의 경우 새롭게 도입될 관련 인증 시스템을 통해 일부 사용을 허용할 방침.(AI에 대한 직접 규제를 단행한 세계 최초 사례)
- 프랑스의 경우에는 대표적인 규제 완화파로 AI 기술을 사용해 대중교통 내 마스크 착용 여부를 파악 등 실제 활용 다수
- 네덜란드, 독일, 프랑스 등 주요 국제공항의 경우 안면인식 기술(AI) 로 출입국 심사 진행(2019.10)
- 안면인식 기술이 GDPR기준을 충족하지 않으면 회사는 유럽 데이터 세트로 시스템 재교육 필요.
- GDPR은 개인의 얼굴 특징에 대한 정보를 생체 인식 데이터로 분류하며, ‘민감한 개인 데이터’로 구분했다. 이러한 데이터의 사용은 매우 제한적이며 처리 과정이 예외적 상황을 충족하지 않는 한 일반적으로 주체의 동의가 필요하다. 하지만 규제 면제에는 공공 보안 목적이 포함됨.('20. 08)
- 기술제한 시한은 3년에서 최대 5년으로 설정, EU 집행위원회는 사생활과 데이터에 대한 권리를 보호하는 기존의 규제를 뒷받침하기 위해 엄격한 규정을 추가로 도입 가능. 다만 보안을 비롯해 연구, 개발 분야는 제한되지 않음.
즉, 미국은 중국의 AI 개발속도를 우려해 자국 내 AI 역량강화 및 동맹국과의 기술협력에 중점을, 유럽은 EU는 유럽개인정보보호규정(GDPR)처럼 AI 글로벌 규범을 선도한다는 계획을 가지고 있어 각각 안면인식기술에 있어 진보와 보수를 대표할 수 있는 진영이라 볼 수 있다.
그렇다면 안면인식기술의 개발 및 활용에 대한 이 두 거대 국가(집단)을 봐야 하는 이유는 무엇인가?
1) 선도하고 있고
2) 한국의 타겟시장이며
3) 실질적으로 이번에 문제라고 말하고 있는 프로젝트가 이 두 곳의 가이드를 기반으로 만들어졌기 때문이다.
한국은 특히 정부쪽은 대다수 먼저 시도하지 않는다. 어느 곳에서 먼저 시행하고 그게 안정성이나 시민단체 등과 이슈가 있었던 것이 어떻게 해결이 되었는지 정도는 살펴본 뒤에 도입한다는 의미이다.
그런 관점에서 한국의 출입국관리 안면인식 개발 프로젝트는 유럽과 미국 기준을 모두 충족하는 형태로 개발되었다.
ISO/IEC 생체인식 테스팅 표준에 참여하고 공공보안 목적으로 생체 인식 데이터를 사용하되 개인이 식별될 수 없고 개인이 풀어볼 수 없는 데이터셋 형태로 제공하여 오직 AI알고리즘 개발에 활용되게 한 것이 그것이다. 학습장소를 제한하여 보안 등급을 관리한 것도 있다.
개인정보보호법·신용정보법·정보통신망법 등 데이터 3법 개정 이후데 다음 사업이 진행된 것도 이러한 맥락에서 보면 관련 근거를 확보한 것이라 추진할 수 있었던 것이다..('20.03)
참고로 관련 법령 개정을 위해서 논의한 것은 2016년부터이다 2018년에는 공개 논의도 2회 이상 이루어졌다.
현재 논란이 되고 있는 출입국관리 안면인식 기술 개발 사업은 가명정보를 기반으로 이루어졌으며, 해당 개발에 대한 근거는 이미 있다.
안면 인식 시장은 2015년 기준 1,521백만 달러에서 2020년 2,836백만 달러로 증가하여 매년 13.3% 성장하고 있다. 현재 중국(1:1 Verification 1위–여권사진과 실제 인물이 동일인인지 비교), 일본(1:N Identification 1위-A라는 사람을 수많은 데이터를 이용해 식별해 내는 작업), 미국 기업(API 서비스-누구나 사용할 수 있는 서비스, SDK로 제공)들이 시장을 리딩하고 있다.
대한민국의 경우 선두 그룹과 기술력에서 많은 격차가 존재한다(NIST 미국 구립 기술 표준 연구소의 FRVR 안면인식 밴더 테스트-2020년 12월 기준 169개의 기업 중 28위). 이에 이러한 격차를 줄이기 위해, 과기정통부, 법무부가 협력하여 인천공항의 안면인식 데이터를 학습 데이터로 [가공하여] 국내 업체에 제공을 하고 학습, 평가를 돕고 있다.
자동출입국심사로 기존 대면심사 대비 30-60분 정도 시간을 단축한지 13년차인 한국에서 왜 이런 문제제기가 생겼을까..
불괘할 수 있다.
불안할 수 있다.
그러나 적어도 이런 공공시스템 개발을 하는데 있어서 근거가 없다.
레퍼런스가 없다라는 말은 하지 말자.
