2장. 평가·면접과 자동화된 결정

학습 목표

• 개인정보 보호법의 '자동화된 결정'을 정의하고, 완전히 자동화된 결정과 사람이 실질적으로 검토한 결정을 구분한다.
• 거부권, 설명·검토 요구권, 기준·절차 공개 의무의 요건과 예외를 구분해 채용 전형마다 필요한 절차를 고른다.
• 지원자의 거부·설명·검토 요구를 기한 안에 처리하는 절차를 설계한다.
• AI 면접·평가 도구의 타당성과 설명 가능성을 확인하는 질문을 쓰고, 장애가 있는 지원자에게 정당한 편의를 제공한다.
• 인공지능기본법의 고영향 영역(채용)과 사업자의 책무를 설명하고, 벤더에게 확인할 사항을 고른다.
• 사람의 검토가 형식에 그치지 않도록 검토 방식을 설계한다.

들어가며

어느 공채에서 AI 역량검사가 하위 40%를 자동으로 탈락시켰다고 합시다. 다음 날 탈락한 지원자에게서 메일이 옵니다. "제가 왜 떨어졌는지 알려 주세요." 인사팀은 세 가지 답을 놓고 고민합니다. 모델은 영업비밀이라 말할 수 없다는 답, "종합적으로 판단했다"는 표준 문구, 그리고 결과와 기준을 개별적으로 정리한 설명. 어느 쪽이 맞을까요. 그리고 같은 회사의 경력직 전형처럼 사람이 원문을 다 읽고 결정한 경우라면 답이 달라질까요.

이 장의 핵심은 "AI가 관여했다"와 "AI가 결정했다"를 구분하는 일입니다. 개인정보 보호법은 완전히 자동화된 시스템이 내린 결정에 대해 정보주체에게 특별한 권리를 줍니다. 사람이 실질적으로 판단한 결정이라면 그 권리의 대상이 아닐 수 있지만, 그 대신 사람의 판단이 정말 실질인지가 새로운 질문이 됩니다.

먼저 자동화된 결정의 정의와 판단 요소, 세 가지 권리와 예외를 정리합니다. 이어서 공개와 요구 처리 절차, 좋은 설명의 조건을 다룹니다. 그다음 AI 면접·평가 도구의 타당성, 설명 가능성, 접근성을 보고, 인공지능기본법이 채용을 고영향 영역으로 정한 의미를 살핍니다. 마지막으로 사람의 검토를 실질로 만드는 설계를 다룹니다.

핵심 개념

자동화된 결정의 정의

개인정보 보호법 제37조의2제1항은 자동화된 결정을 "완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정"으로 정합니다. 「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외됩니다.

이 정의는 세 가지 성립 요소와 한 가지 적용 제외로 읽습니다. ① 완전히 자동화된 시스템일 것. 인공지능 시스템을 "포함"할 뿐 그것에 한정되지 않으므로, 규칙 기반 프로그램도 완전히 자동화되어 있으면 대상이 됩니다. ② 개인정보를 처리할 것. ③ 결정일 것. 단순한 정보 제공이나 추천과 달리 정보주체에 대한 판단이 내려져야 합니다. 그리고 적용 제외로, 행정청의 자동적 처분은 여기서 빠집니다.

채용에서 대표적인 예는 사람의 검토 없이 점수 하위 지원자에게 탈락을 확정하는 기능입니다. 반대로 AI가 지원서를 요약하고 담당자가 원문을 읽어 합격 여부를 정한다면, 결정을 내린 것은 사람입니다.

완전 자동화와 사람이 검토한 결정의 경계

경계가 늘 분명하지는 않습니다. 담당자가 화면의 "일괄 승인" 버튼만 누른다면 사람이 결정했다고 할 수 있을까요. 개인정보보호위원회 고시 「자동화된 결정에 대한 개인정보처리자의 조치 기준」 제6조제1항은 자동화된 결정 해당 여부를 판단할 때 다음 사항을 모두 고려하게 합니다.

1. 정당한 권한을 가진 사람의 실질적이고 의미 있는 개입 없이 완전히 자동화된 시스템에 의해 결정이 이루어졌는가
2. 시스템이 해당 정보주체의 개인정보를 분석·가공하는 등 개별적인 처리 과정을 거쳐 의미 있는 정보를 추출하는가
3. 개인정보처리자가 내린 결정으로서 정보주체의 권리 또는 의무에 영향을 미치는가
4. 그 결정이 권리 또는 의무에 영향을 미치는 최종적인 결정인가
5. 시스템의 개인정보 처리와 결정 사이에 실질적인 관련성이 있는가
6. 다른 법률에 특별한 규정이 있는가

첫째 요소가 실무에서 가장 중요합니다. 버튼을 누르는 사람이 있다는 사실만으로는 부족하고, 그 사람이 결과를 바꿀 권한이 있고 실제로 검토하는지가 관건입니다.

세 가지 권리와 예외

제37조의2가 주는 권리와 의무는 셋으로 나누어 읽어야 정확합니다.

가장 많이 틀리는 지점은 예외가 거부권에만 붙는다는 점입니다. 지원자가 AI 평가와 자동 탈락까지 포함한 처리에 동의했다면 거부권은 예외가 되지만, 설명·검토를 요구할 권리와 회사의 공개 의무는 그대로 남습니다. "동의를 받았으니 아무 절차도 필요 없다"는 판단은 틀립니다. 개인정보보호위원회는 이 예외를 자동화된 결정이 이루어진다는 사실을 동의·계약 등으로 명확히 미리 알렸거나 법률에 명확한 규정이 있는 경우로 설명합니다(2024. 9. 26. 보도자료). 지원 단계에 제4호(계약 체결 과정)가 들어맞는지는 다툼이 있을 수 있으므로, 동의서에 자동화된 결정의 사실과 범위를 분명히 적는 것이 안전합니다.

개인정보처리자는 정보주체가 거부하거나 설명 등을 요구하면 정당한 사유가 없는 한 자동화된 결정을 적용하지 않거나 인적 개입에 의한 재처리·설명 등 필요한 조치를 해야 합니다(제3항).

중대한 영향의 판단

거부권은 "중대한 영향"이 있을 때 생깁니다. 위원회 고시 제6조제2항은 다음을 종합적으로 고려하게 합니다. 사람의 생명·신체 안전과 관련된 권리·의무인가, 권리가 박탈되거나 행사가 불가능해지는가, 통상 받아들일 수 있는 한도를 넘는 의무가 생기는가, 권리·의무에 지속적인 제한이 생기는가, 영향 이전 상태로 회복하거나 영향을 피할 가능성이 있는가.

채용 탈락은 그 회사의 해당 채용 기회를 잃게 하는 결정이므로 중대한 영향 여부를 신중하게 따져야 하는 대표적인 장면입니다. 다만 결론은 사실관계에 따라 달라지므로, 회사는 전형별로 이 다섯 요소에 대한 판단을 문서로 남겨 두는 것이 좋습니다. 중대한 영향이 없는 자동화된 결정에 대한 설명 요구라면, 시행령 제44조의3제2항 단서와 고시 제4조제3항에 따라 미리 공개한 사항 가운데 주요 개인정보 유형과 결정의 관계, 고려사항과 처리 절차를 골라 간결하게 알릴 수 있습니다.

미리 공개해야 하는 사항

제37조의2제4항은 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식을 정보주체가 쉽게 확인할 수 있게 공개하게 합니다. 시행령 제44조의4제1항은 인터넷 홈페이지 등으로 공개할 사항을 정합니다.

1. 자동화된 결정이 이루어진다는 사실과 그 목적, 대상이 되는 정보주체의 범위
2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계
3. 자동화된 결정 과정에서의 고려사항과 주요 개인정보가 처리되는 절차
4. 민감정보나 14세 미만 아동의 개인정보를 처리하는 경우 그 목적과 구체적인 항목
5. 정보주체가 거부·설명등요구를 할 수 있다는 사실과 그 방법·절차

공개할 때는 표준화·체계화된 용어를 쓰고, 동영상·그림·도표 같은 시각적 방법을 활용할 수 있습니다(제2항). 공개는 소스 코드나 학습 데이터 원본을 내놓으라는 뜻이 아닙니다. 지원자가 "무엇으로, 어떻게 판단되는지"를 이해할 수 있는 수준이면 됩니다. 채용 사이트의 전형 안내 페이지에 이 다섯 항목을 한 화면으로 정리하는 것이 실무의 출발점입니다.

요구를 받았을 때의 처리 절차

정보주체의 요구는 개인정보처리자가 마련해 공개한 방법과 절차에 따라 합니다(시행령 제44조의2). 요구 유형별로 해야 할 조치가 다릅니다.

기한. 요구를 받은 날부터 30일 안에 서면등의 방법으로 조치해야 합니다. 30일 안에 처리하기 어려운 정당한 사유가 있으면 그 사유를 알리고 2회에 한정해 각각 30일 범위에서 연장할 수 있습니다(시행령 제44조의3제5항, 고시 제8조제1항).

거절. 다른 사람의 생명·신체·재산 등을 부당하게 침해할 우려가 있는 등 정당한 사유로 요구를 거절할 때는 그 사유를 지체 없이 서면등의 방법으로 알려야 하고(시행령 제44조의3제4항), 고시 제8조제2항은 거절 사유와 이의제기 방법·절차를 정당한 사유가 없는 한 요구를 받은 날부터 10일 안에 알리게 합니다. 정당한 사유는 정보주체의 불이익과 처리자·제3자의 이익을 비교해 개별적으로 판단합니다(고시 제7조제1항).

처리 절차를 실무 순서로 쓰면 다음과 같습니다.

1. 공개해 둔 방법으로 들어온 요구인지, 요청자가 본인인지 확인한다.
2. 요구의 종류(거부, 설명, 검토, 또는 이들의 조합)를 분류하고 처리 기한을 기록한다.
3. 해당 지원자에 대한 결정 내용(결과, 쓰인 주요 개인정보 유형과 영향, 처리 절차)을 정리하거나, 낸 의견을 반영할 수 있는지 검토한다.
4. 설명문이나 검토 결과를 작성해 책임자가 검토한다. 거절할 사유가 있다면 거절 통지 기한을 따로 관리한다.
5. 기한 안에 서면등의 방법으로 보내고, 처리 기록을 남겨 다음 점검에 반영한다.

좋은 설명의 조건

시행령은 "간결하고 의미있는 설명"을 요구하고, 고시는 정보주체에게 의미 있는 정보를 골라 이해하기 쉬운 방식으로 제공하라고 합니다. 두 가지 나쁜 극단이 있습니다. 하나는 "AI가 여러 요소를 종합적으로 판단했습니다" 같은 표준 문구입니다. 개인별 결과와 기준이 없어 설명이 되지 않습니다. 다른 하나는 모델 가중치나 수백 개 특징값을 그대로 내미는 것입니다. 정보는 많지만 의미가 없습니다.

영업비밀이나 검사 문항의 보안은 소스 코드, 가중치, 문항 원문을 공개하지 않을 이유가 되고 설명의 깊이를 조정하는 근거도 될 수 있습니다. 그러나 이를 이유로 개인별 설명 전체를 거절하려면 고시 제7조가 정한 대로 정보주체의 불이익과 처리자의 이익을 개별적으로 비교해야 하고, 거절한다면 그 사유와 이의제기 방법을 알려야 합니다. 같은 표준 문구로 모든 요청에 답하는 것은 이 비교를 하지 않은 것입니다.

AI 면접·평가 도구의 타당성

채용 평가에 쓰는 점수는 그 점수가 직무 성과와 관련 있다는 객관적 증거가 있어야 합니다. 자율적으로 쓰는 위험관리 프레임워크인 NIST AI RMF는 타당성 확인(validation)을 "특정한 의도된 용도나 적용의 요구사항이 충족되었음을 객관적 증거의 제공을 통해 확인하는 것"(ISO 9000:2015 인용)으로 정의하고, 신뢰할 수 있는 AI의 첫 특성으로 "Valid and Reliable"을 듭니다. Core의 MEASURE 2.5는 배포할 AI 시스템이 타당하고 신뢰할 수 있음을 보이게 합니다.

타당성은 도구의 속성이 아니라 어떤 직무와 지원자군에 대해 확인된 것입니다. 해외 대졸 신입 사무직을 대상으로 한 연구는 국내 경력 정비사에 그대로 옮겨지지 않습니다. 벤더 자료를 받을 때는 세 가지를 묻습니다. 무엇과의 관련성을 보였는가(실제 성과인가, 다른 시험 점수인가). 어떤 직무와 지원자군이었는가. 표본은 몇 명이었고 집단별 결과는 어떠했는가. 자사 자료가 있다면 자사 직무로 다시 확인합니다. 선발 도구의 타당성은 흔히 직무 내용과의 대응(내용 타당도), 실제 성과와의 관련(준거 타당도), 재려는 특성을 실제로 재는지(구인 타당도)로 나누어 봅니다.

타당성이 확인된 점수라도 집단별 결과는 따로 봐야 합니다(5장). 특히 표정, 목소리 떨림처럼 겉으로 드러나는 신호로 '스트레스 내성', '정서 안정성', '친절도' 같은 내면 특성을 추정하는 기능은 근거를 엄격하게 따져야 합니다. 이런 감정·내면 추정 기능은 과학적 근거가 약한 경우가 많으므로, 직무와 지원자군에 맞는 검증 자료가 없으면 도입하지 않는 것을 기본값으로 삼으세요. 근거가 약한 숫자일수록 사람의 판단까지 끌어당깁니다. 가중치를 낮추거나 "참고로만" 보여 주는 것은 해법이 아닙니다. 결정에 영향을 주는 한 타당성 문제는 그대로입니다. 지원자의 동의도 점수의 타당성을 만들어 주지 않습니다. 외모와 관련된 신호를 점수에 반영하면 직무에 필요하지 않은 용모 조건을 평가에 넣는 결과가 될 수 있다는 점(남녀고용평등법 제7조제2항)도 함께 검토합니다.

설명 가능성과 해석 가능성

NIST AI RMF는 설명 가능성(explainability)을 AI 시스템 작동의 기저 메커니즘에 대한 표현으로, 해석 가능성(interpretability)을 설계 목적의 맥락에서 출력이 갖는 의미로 구분합니다. 또 책임성은 투명성을 전제로 한다고 말합니다.

채용 담당자에게 필요한 것은 주로 해석 가능성입니다. "이 점수가 이 지원자에 대해 무엇을 뜻하는가"에 답할 수 있어야 지원자에게 설명할 수 있습니다. 도입 전에 벤더에게 "이 점수를 지원자 한 명에게 설명한다면 어떤 문장이 되는가"를 실제 예로 써 달라고 요청해 보세요. 그 문장을 쓰지 못하는 도구는 법이 요구하는 설명을 감당하기 어렵습니다.

접근성과 정당한 편의

AI 면접은 음성, 영상, 시간 제한 같은 형식을 강제하는 경우가 많습니다. 장애인차별금지법은 정당한 사유 없이 장애인에 대한 정당한 편의 제공을 거부하는 것을 차별로 보고(제4조제1항제3호), 사용자가 모집·채용에서 장애인을 차별하지 못하게 합니다(제10조제1항). 정당한 편의는 장애인이 장애가 없는 사람과 동등하게 같은 활동에 참여할 수 있도록 장애의 유형과 정도, 특성 등을 고려한 편의시설·설비·도구·서비스 등 인적·물적 수단과 조치를 말합니다(제4조제2항).

청각장애가 있는 지원자가 음성 면접 대신 다른 방식을 요청하고, 음성 소통이 그 직무의 필수 요건이 아니라면, 같은 역량을 묻는 서면 응답이나 수어 통역 면접을 제공하고, 다른 지원자와 같은 역량 평가 기준표(루브릭)로 채점하는 것이 원칙입니다. 음성 특징을 읽는 알고리즘은 대체 방식에 쓸 수 없으므로, 대체 방식에 맞는 채점 절차(예: 훈련된 평가자의 루브릭 채점)를 미리 정해 둡니다. 과도한 부담이나 현저히 곤란한 사정, 특정 직무 수행의 성질상 불가피한 경우는 정당한 사유가 될 수 있습니다(제4조제3항). 도입 계약 단계에서 벤더가 어떤 대체 방식을 지원하는지 확인해 두면 전형 중에 허둥대지 않습니다.

인공지능기본법의 고영향 영역과 채용

인공지능기본법 제2조제4호는 사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 AI 시스템으로서 열거된 영역에서 활용되는 것을 고영향 인공지능으로 정합니다. 사목은 "채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"입니다. 영역에 해당한다는 것과 중대한 영향 또는 위험 우려가 있다는 것, 두 요건을 함께 봅니다. 같은 채용 업무라도 면접 일정 조율은 판단·평가가 아니어서 이 목과 거리가 멉니다.

이 법의 의무는 인공지능사업자에게 있습니다. 법은 인공지능을 개발해 제공하는 개발사업자와, 개발사업자가 제공한 인공지능을 이용해 인공지능제품·서비스를 제공하는 이용사업자를 사업자로 정하고(제2조제7호), 제품·서비스를 제공받는 자를 이용자(제8호), 그로 인해 생명·신체 안전·기본권에 중대한 영향을 받는 자를 영향받는 자(제9호)로 정합니다. 채용 평가 서비스를 고객사에 파는 HR 솔루션 기업은 사업자입니다. 자사 채용에 그 서비스를 쓰는 회사가 어느 지위인지는 무엇을 누구에게 제공하는지에 따라 판단이 갈릴 수 있으므로, 도입할 때 법률 검토로 정리해 두어야 합니다.

채용 담당자에게 실무적으로 중요한 것은 벤더 확인 목록입니다. 이 도구의 고영향 해당 여부를 검토했는지, 제34조의 설명 방안과 사람의 관리·감독 방안이 무엇인지, 관리·감독자의 연락처가 어디에 게시되어 있는지를 계약 전에 확인하세요. 시행령 제27조제4항은 이용사업자가 개발사업자에게 책무 이행에 필요한 자료를 요청할 수 있게 하고 개발사업자는 협력하도록 노력하게 합니다.

사람의 의미 있는 검토 설계

사람이 최종 결정한다는 형식은 그 자체로 아무것도 보장하지 않습니다. 화면 맨 위에 AI 점수가 떠 있으면 검토자의 판단은 그 숫자에 끌립니다. 자동화된 시스템의 출력을 지나치게 믿고 따르는 경향을 자동화 편향, 먼저 본 숫자에 판단이 묶이는 경향을 기준점 효과라고 부르며, 둘은 함께 나타나기 쉽습니다. NIST AI RMF는 사람과 AI의 역할과 책임을 구분하는 정책(GOVERN 3.2)과 운용자의 숙련 관리(MAP 3.4)를 권고합니다.

어떤 대응을 고를지는 조건이 정합니다. 원문을 모두 읽을 시간이 있다면 점수를 가린 채 먼저 평가하게 하는 방식이 가장 강합니다. 시간이 없다면 근거를 원문과 대조하게 하는 방식이 현실적입니다. 점수 자체가 검증되지 않았다면 AI를 자격 요건 확인처럼 객관적인 일에만 쓰고 내용 평가는 사람이 맡깁니다.

깊이 읽기

동의는 무엇을 해결하고 무엇을 해결하지 못하는가

동의는 강력하지만 한정된 도구입니다. 제37조의2제1항 단서에 따라 동의에 따른 자동화된 결정은 거부권의 예외가 됩니다. 그러나 동의가 해결하지 못하는 것이 셋 있습니다. 설명·검토 요구권과 공개 의무는 남습니다. 동의는 점수가 직무와 관련 있다는 근거가 되지 못합니다. 그리고 동의하지 않은 지원자에게 불이익을 주면 사실상 강요가 됩니다. 동의 여부로 평가 방식이 갈리면 같은 기준으로 비교하는 공정성도 흔들립니다.

또 하나 주의할 점이 있습니다. 거부권 예외가 적용되려면 결정이 동의에 "따라" 이루어져야 합니다. 지원서 수집·이용에 대한 동의와 AI 자동 평가·탈락에 대한 동의는 같은 것이 아닐 수 있으므로, 동의서에 자동화된 결정이 이루어진다는 사실과 범위를 분명히 적어 두어야 합니다.

채용 대행과 자동화된 결정의 책임

서류 전형을 채용 대행사에 맡기고 대행사가 자사 AI로 자동 탈락을 시킨다면 누가 설명할까요. 개인정보 보호법 제26조는 위탁자가 수탁자를 교육·감독하게 하고, 제26조제8항은 수탁자에게도 제37조의2 등을 준용합니다. 위탁자와 수탁자 모두 책임에서 빠질 수 없다는 뜻입니다. 위탁 문서에 공개 주체, 요구 접수 창구, 처리 기한, 설명문 검토 책임을 미리 정하지 않으면, 두 회사가 서로 미루는 사이 30일 기한이 지나갑니다. 대행사가 받은 지원서를 자기 인재 데이터베이스에 넣어 다른 고객사 추천에 쓴다면 그것은 위탁이 아니라 제3자 제공이 됩니다(3장).

자동화의 정도를 바꾸면 의무도 바뀐다

같은 도구도 쓰는 방식에 따라 법적 성격이 달라집니다. 하위 40% 자동 탈락을 하위 20%로 줄여도, 탈락하는 사람에게는 여전히 자동화된 결정입니다. 반대로 탈락 대상을 사람이 모두 다시 읽고 결정하도록 바꾸면 자동화된 결정이 아닐 수 있지만, 그만큼 검토 인력과 시간이 필요합니다. 운영 중에 기준선이나 검토 방식을 바꾸는 것은 법적 의무의 범위를 바꾸는 일이므로, 변경 승인 절차(5장)를 거쳐야 하고 공개한 기준·절차도 함께 고쳐야 합니다.

실무 장면

동백제약의 AI 역량검사 도입

제약 기업 '동백제약'은 연구 지원직 공채(지원자 약 4,000명)에 온라인 AI 역량검사를 도입하면서 하위 35%를 자동 탈락시키려 했습니다. 인사팀은 먼저 자동화된 결정 판단표를 만들었습니다. 사람의 검토 없이 탈락이 확정되므로 완전히 자동화된 결정이고, 채용 기회를 잃게 하므로 중대한 영향이 있다고 보았습니다. 처리 근거는 지원 단계에서 AI 검사와 자동 탈락까지 포함해 받은 동의였습니다.

이 판단에서 세 가지가 정리됐습니다. 거부권은 동의에 따른 결정이라 법문상 예외가 되므로 거부에 따른 재심사 절차가 법적 필수는 아니다. 그러나 설명·검토 요구 절차와 공개는 반드시 갖춘다. 그리고 공개 사항 다섯 가지를 채용 사이트의 전형 안내에 한 화면으로 정리한다. 다만 응시하려면 동의할 수밖에 없는 구조라 그 동의가 실질적인 선택이었는지 다툼이 생길 수 있다고 보고, 법이 요구하지 않더라도 결과에 이의를 제기한 지원자는 사람이 다시 보는 경로를 자율적으로 두었습니다.

버린 선택지도 있었습니다. "모든 지원자에게 개인 점수를 알려 주면 설명 의무를 다한 것"이라는 제안은 결과와 주요 기준, 절차를 담은 설명이 아니어서 버렸습니다. "요구가 오면 그때 절차를 만들자"는 제안은 공개 의무와 30일 기한을 고려하면 위험해서 버렸습니다. 마지막으로 인사팀은 검토 요구에 대비해 "자격증 취득 예정 → 취득 완료"처럼 지원 마감 뒤 바뀐 정보를 어느 기준일로 볼지 공고 단계에서 미리 정해 알렸습니다. 검토 요구에 대한 의무는 반영할 수 있는지 검토하고 결과를 알리는 것이고, 실제로 반영할지는 미리 공개한 기준과 다른 지원자와의 형평에 따라 정해지기 때문입니다.

모래알게임즈의 AI 화상 면접

게임 기업 '모래알게임즈'는 고객 지원직 채용에 AI 화상 면접을 쓰기로 했습니다. 벤더 도구에는 질문별 응답 평가 외에 표정으로 '공감 능력'을 점수화하는 기능이 있었습니다. 인사팀이 검증 자료를 요청하자 벤더는 고객사 만족도 조사와 도입 사례를 보냈습니다. 인사팀은 이것이 공감 점수가 고객 지원 성과와 관련 있다는 근거가 아니라고 판단하고 그 기능을 껐습니다. 질문별 응답 평가는 자사 상담 품질 평가 자료와 비교하는 시범 검증을 거친 뒤 쓰기로 했습니다.

전형 도중 청각장애가 있는 지원자가 서면 응답으로 면접을 보고 싶다고 요청했습니다. 고객 지원직의 주 업무가 채팅과 이메일 응대여서 음성 소통은 필수 요건이 아니었습니다. 인사팀은 같은 질문을 서면으로 받고, 답변 시간 같은 조건을 대체 방식에 맞게 정한 뒤 훈련된 평가자 두 명이 같은 채점 기준표로 따로 평가했습니다. "AI 면접에 응하지 못하면 해당 항목을 0점 처리한다"는 내부 초안은 장애를 이유로 배제하는 결과가 되어 폐기했습니다. 계약서에는 벤더가 지원하는 대체 방식과 고영향 해당 여부 검토 결과, 관리·감독자 연락처를 확인하는 항목을 추가했습니다.

자주 틀리는 지점

• "동의를 받았으니 설명할 필요가 없다." 동의에 따른 결정은 거부권의 예외일 뿐입니다. 설명·검토 요구권과 공개 의무는 남습니다.
• "사람이 최종 버튼을 누르니 자동화된 결정이 아니다." 결과를 바꿀 권한과 실질적인 검토가 없으면 형식적 개입입니다. 고시는 실질적이고 의미 있는 개입 여부를 먼저 봅니다.
• "AI가 조금이라도 관여했으니 모든 지원자에게 거부권을 보장해야 한다." 사람이 원문을 읽고 결정한 전형이라면 자동화된 결정이 아닐 수 있습니다. 과잉 적용은 AI가 결정한 것처럼 안내하는 다른 오류를 낳습니다.
• "영업비밀이라 설명할 수 없다." 소스 코드는 공개하지 않을 수 있어도, 결과·주요 기준·절차를 담은 개인별 설명은 해야 합니다.
• "점수 가중치를 낮추면 검증 안 된 기능을 써도 된다." 결정에 영향을 주는 한 타당성 문제는 그대로입니다.
• "벤더 연구가 있으니 타당성은 확인됐다." 대상 직무와 지원자군이 다르면 자사 자료로 다시 확인해야 합니다.
• "AI 면접에 응하지 못하는 지원자는 탈락시킨다." 직무의 필수 요건이 아니라면 정당한 편의를 제공해야 합니다.
• "인공지능기본법 의무를 지키면 개인정보 보호법 의무도 해결된다." 서로 다른 법의 의무입니다.

한눈에 정리

공식 문서로 확인하기

• 개인정보 보호법 제37조의2 — 거부권, 설명 요구권, 공개 의무와 단서를 원문으로 읽습니다.
• 개인정보 보호법 시행령 제44조의3 — 요구별 조치, 30일 기한과 연장, 거절 통지를 확인합니다.
• 개인정보 보호법 시행령 제44조의4 — 미리 공개할 다섯 가지 사항을 확인합니다.
• 자동화된 결정에 대한 개인정보처리자의 조치 기준 — 해당 여부와 중대한 영향의 판단 요소, 거절 통지 기한을 읽습니다.
• 인공지능기본법 제2조 — 고영향 인공지능의 정의와 사업자·이용자·영향받는 자의 정의를 읽습니다.
• 인공지능기본법 제34조 — 고영향 인공지능 사업자의 책무 여섯 가지를 확인합니다.
• 장애인차별금지법 제4조 — 정당한 편의의 정의와 정당한 사유를 확인합니다.
• NIST AI RMF — Core — GOVERN 3.2, MAP 3.4, MEASURE 2.5를 찾아 읽습니다.

셀프 체크

2-1. 개인정보 보호법이 정한 '자동화된 결정'의 세 가지 성립 요소와 적용 제외를 쓰고, 규칙 기반 프로그램이 이 정의에 들어갈 수 있는 이유를 설명하라.

2-2. 거부권, 설명·검토 요구권, 공개 의무 가운데 처리 근거(동의·법령·계약)에 따른 예외가 붙는 것은 무엇인지 쓰고, 나머지 둘이 남는 이유를 설명하라.

2-3. 위원회 고시가 자동화된 결정 해당 여부를 판단할 때 고려하게 한 요소 가운데 실무에서 가장 중요한 하나를 쓰고, 그것이 형식적 승인 버튼과 어떻게 관련되는지 설명하라.

2-4. 설명 요구에 대한 조치 기한과 연장 규칙, 그리고 요구를 거절할 때의 통지 규칙을 정리하라.

2-5. 벤더가 평가 도구의 타당성 연구를 제출했을 때 그 연구를 그대로 받아들이기 전에 물어야 할 세 가지 질문을 쓰라.

2-6. 인공지능기본법에서 개발사업자, 이용사업자, 이용자, 영향받는 자가 각각 무엇인지 한 줄씩 쓰고, 채용 평가 서비스를 파는 HR 솔루션 기업은 어디에 해당하는지 쓰라.

2-7. (설계) 검토자가 AI 점수를 거의 그대로 따르는 문제가 확인되었다. 검토 시간이 충분한 경우와 부족한 경우를 나누어 각각 적합한 검토 방식을 설계하고, 그 방식이 효과가 있는지 확인할 지표 두 가지를 쓰라.

실습 과제