무슨 일이 있었나
2026년 11월 11일, 영국 정보위원회 사무소(ICO)는 UK GDPR 제15조에 따른 AI를 사용하여 생성되거나 작성된 주체 접근 요청(AI 지원 SAR)에 대한 새로운 지침을 발표했습니다. 이 지침은 AI 지원 SAR이 AI로 작성되었다는 이유만으로 무효가 아니며, 조직은 이를 다른 SAR과 동일하게 처리해야 함을 확인합니다. 길거나 반복적이거나 불명확하거나 사실적으로 부정확한 요청(AI의 권리 관련 '환각', 외국 법적 참조 또는 잘못된 연락처 정보 포함)을 처리하는 방법, 사용 가능한 옵션(명확화, 마감일 연장, 명백히 근거 없음/과도함), 합리적이고 비례적인 검색 요건, 개인 또는 제3자가 AI를 사용하여 신원이나 권한 위임장을 위조하는 경우 대응 방법을 설명합니다.
왜 중요한가
이것은 빠르게 증가하는 AI 유발 부담에 대한 영국 데이터 보호 규제기관의 권위 있는 해석 지침입니다. 이는 SAR을 받는 모든 영국 조직에 대해 구체적인 규제 기대치를 설정하고(지침은 조직이 '해야 하는' 일을 명시), AI 생성 요청에 대한 데이터 보호 처리를 명확히 하며, 이는 조직의 AI 지원 데이터 주체 워크플로 및 AI 생성 위조 문서로 인한 사기/신원 확인 위험과 관련이 있습니다.
필요한 조치
영국 컨트롤러는 AI 지원 SAR을 인식하고 처리하도록 SAR 처리 절차와 직원 교육을 업데이트하고, 명확화/연장 워크플로를 도입하며, AI 생성 문서가 의심되는 경우 신원 및 권한을 더 신중하게 확인하고, 요청을 무효로 취급하지 않고 합리적이고 비례적인 검색 정책이 적용되도록 해야 합니다.