부록 B. 셀프 체크 정답과 해설

1장

1-1. 채용 공고, 지원서 양식, 서류 심사 기준과 입력 항목입니다. 가장 바로잡기 어려운 것은 채용 공고입니다. 공고 때문에 지원을 포기한 사람은 데이터에 남지 않으므로, 뒤 단계에서 차이를 측정하거나 고칠 방법이 없습니다.

1-2. 직접 차별은 보호 속성을 이유로 다르게 대하는 것이고, 간접 차별은 같은 기준을 적용해도 특정 집단에 현저히 불리한 결과가 생기고 그 기준의 정당성이 증명되지 않는 경우입니다. 출구 표현은 "정당한 것임을 증명"(남녀고용평등법 제2조), "합리적인 이유"(고령자고용법 제4조의4), "정당한 사유"(장애인차별금지법 제4조)입니다.

1-3. 직무 수행에 필요하지 않은 본인의 신체적 조건, 본인의 출신지역·혼인여부·재산, 직계 존비속과 형제자매의 학력·직업·재산입니다. 첫째 경우는 법의 적용 범위 밖으로, 상시 30명 미만 사업장(그리고 국가·지방자치단체의 공무원 채용)에는 이 법이 적용되지 않습니다(다른 법의 의무는 남습니다). 둘째 경우는 조항의 요건 문제로, 직무 수행에 실제로 필요한 정보는 금지 대상이 아닙니다. 다만 필요성은 직무 분석으로 뒷받침되어야 하고 필요한 범위를 넘지 않아야 하며, 출신지역이나 가족 정보가 직무에 필요한 경우는 매우 드뭅니다.

1-4. 졸업 연도는 연령, 동아리 이름은 성별(또는 종교·출신), 경력 공백 기간은 출산·육아와 관련된 성별이나 장애·질병을 대신 드러낼 수 있습니다.

1-5. 넓은 구간으로 묶어도 변수와 보호 속성의 연관은 상당 부분 남습니다. 무엇보다 직무와 무관한 변수라면 다듬어 쓸 이유 자체가 없으므로 빼는 것이 원칙이고, 관련성이 미확인이라면 검증 전까지 탈락 판단에 쓰지 않는 것이 맞습니다.

1-6. 내부 승인된 근로조건 문서와 대조해 실제와 다른 숫자를 고친 뒤 게시합니다. 처음부터 실제와 다른 조건을 싣는 것은 직업안정법 제34조의 거짓 구인광고·구인조건 문제이고, 채용절차법 제4조제2항·제3항은 정당한 사유 없이 채용광고 내용을 구직자에게 불리하게 바꾸거나 채용 후 광고의 근로조건을 불리하게 바꾸는 것을 금지합니다.

1-7. 표의 열은 항목, 분류(직무 요건/입사 후 필요/직무 무관), 보호 속성 연관 가능성, 근거, 처리로 둡니다. 애매한 항목은 직무 분석 결과(그 정보가 없으면 요건을 판단할 수 없는가), 자사 성과 자료를 이용한 검증, 집단별 결과로 결정하고, 결정 전에는 탈락 판단에 쓰지 않습니다.

2장

2-1. 성립 요소는 완전히 자동화된 시스템일 것, 개인정보를 처리할 것, 결정일 것이고, 행정청의 자동적 처분은 적용에서 제외됩니다. 법은 인공지능 기술을 적용한 시스템을 "포함한다"고 할 뿐 그것에 한정하지 않으므로, 완전히 자동화되어 있다면 규칙 기반 프로그램도 대상이 됩니다.

2-2. 예외는 거부권에만 붙습니다. 설명·검토 요구권(제2항)과 공개 의무(제4항)에는 처리 근거에 따른 단서가 없으므로, 동의나 계약에 따른 결정이라도 정보주체는 설명을 요구할 수 있고 회사는 기준과 절차를 공개해야 합니다. 다만 개별 요구는 정당한 사유가 있으면 거절할 수 있고(제3항, 시행령 제44조의3제4항), 그때는 사유를 알려야 합니다.

2-3. 정당한 권한을 가진 사람의 실질적이고 의미 있는 개입 없이 결정이 이루어졌는가입니다. 승인 버튼을 누르는 사람이 있어도 결과를 바꿀 권한이 없거나 실제로 검토하지 않으면 이 개입은 실질이 아니어서, 자동화된 결정으로 볼 위험이 커집니다.

2-4. 요구를 받은 날부터 30일 안에 서면등의 방법으로 조치합니다. 정당한 사유가 있으면 그 사유를 알리고 2회에 한정해 각각 30일 범위에서 연장할 수 있습니다. 거절할 때는 사유를 지체 없이 서면등으로 알려야 하고, 위원회 고시는 정당한 사유가 없는 한 요구를 받은 날부터 10일 안에 거절 사유와 이의제기 방법·절차를 알리게 합니다.

2-5. 무엇과의 관련성을 보였는가(실제 직무 성과인가), 어떤 직무와 지원자군을 대상으로 했는가, 표본은 몇 명이었고 집단별 결과는 어떠했는가입니다. 대상이 다르면 자사 자료로 다시 확인합니다.

2-6. 개발사업자는 인공지능을 개발해 제공하는 자, 이용사업자는 개발사업자가 제공한 인공지능을 이용해 제품·서비스를 제공하는 자, 이용자는 제품·서비스를 제공받는 자, 영향받는 자는 그로 인해 생명·신체 안전·기본권에 중대한 영향을 받는 자입니다. 채용 평가 서비스를 고객사에 파는 HR 솔루션 기업은 인공지능사업자(직접 개발했다면 개발사업자, 다른 회사의 AI를 이용해 서비스를 만들었다면 이용사업자)입니다.

2-7. 시간이 충분하면 검토자가 AI 점수를 보지 않은 채 원문으로 먼저 평가하고, 그 뒤 AI와 크게 다른 건만 함께 다시 보게 합니다. 시간이 부족하면 AI 근거마다 원문 위치를 연결해 대조한 뒤에만 결정하게 하고, 표본 재검토를 둡니다. 효과 지표로는 원문 열람 비율, AI와 다른 판단의 비율과 그 사유 기록, 표본 재검토에서 발견된 오류율을 쓸 수 있습니다.

3장

3-1. 익명으로 목적을 이룰 수 있으면 익명으로, 익명으로 안 되면 가명으로 처리하게 하는 원칙입니다. 개인 단위 지급이 필요한 급여 계산은 개인을 알아볼 수밖에 없지만, 부서 단위 개선 과제를 찾는 설문 분석은 응답자 신원이 필요 없으므로 익명 처리한 자료로 분석해야 합니다.

3-2. 민감정보는 별도 동의 또는 법령의 요구·허용이 있어야 처리하고 안전조치를 합니다. 고유식별정보도 별도 동의 또는 법령의 구체적 요구·허용이 있어야 하고 암호화 등 조치를 합니다. 주민등록번호는 법령의 구체적 요구·허용, 급박한 이익, 고시로 정한 불가피한 경우에만 처리할 수 있어, 동의가 근거가 되지 않습니다. 그래서 지원 단계처럼 법령 근거가 없는 단계에서는 받지 않고, 입사 후 법령이 구체적으로 요구하는 처리에서만 그 범위로 처리하며 암호화합니다.

3-3. 데이터를 누구의 목적으로 처리하느냐가 기준입니다. 회사의 업무를 대신하면 위탁, 받는 자가 자기 목적으로 쓰면 제3자 제공입니다. 위탁자는 법정 내용을 담은 문서로 위탁하고, 수탁자와 위탁 업무를 공개하며, 수탁자를 교육·감독하고, 재위탁에 동의 여부를 결정해야 합니다.

3-4. 예를 들어 정보주체와의 계약 체결·이행을 위해 처리위탁·보관이 필요한 경우입니다. 이때 이전 항목, 국가·시기·방법, 이전받는 자, 이용 목적과 보유 기간, 거부 방법과 효과를 개인정보 처리방침에 공개하거나 전자우편 등으로 알려야 합니다.

3-5. AI가 만든 점수, 요약, 임베딩과 분석 로그, 그리고 벤더(수탁자) 시스템에 남은 사본입니다. 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 결과와 가명정보는 개인정보이므로, 불필요해지면 원본과 함께 지체 없이 파기하고(다른 법령에 따른 보존 대상은 분리 보관), 파기 의무는 수탁자에게도 준용됩니다.

3-6. 통계작성, 과학적 연구, 공익적 기록보존 등입니다. 이 특례는 개인을 알아보지 않는 분석을 위한 것이고(제28조의5는 특정 개인을 알아보기 위한 가명정보 처리를 금지합니다), 가명정보도 개인정보이므로 특정 직원을 골라 면담·보직 조정을 하려는 처리의 근거가 되지 않습니다. 그런 인사 처리는 근로계약 이행 등 일반 처리 근거와 알린 목적의 범위 안에서 해야 합니다.

3-7. 처리 지위와 학습 사용, 보존은 이용약관·데이터 처리 부속서·개인정보 처리방침에서, 위치와 재위탁은 하위 처리자 목록과 지역 설정 문서에서, 보호조치와 감독은 보안 문서와 계약 조항에서, 자동화된 결정 처리는 위탁 문서에서 찾습니다. 확인하지 못한 칸은 "미확인"으로 표시하고, 해소될 때까지 개인정보를 넣지 않는 것을 기본으로 합니다.

4장

4-1. 일반 문서 초안(낮음), 규정 안내(중간), 개인 평가 문안·개인 지표·행동 모니터링(높음)으로 나눌 수 있습니다. 위험이 높은 쓰임에는 근거 자료로 제한된 입력, 사람이 사실과 대조해 확정하는 절차, 나중에 판단을 설명할 수 있는 기록이 필요합니다.

4-2. 예를 들어 외부 지식 제한("제공한 관찰 기록에 있는 사실만 근거로 써라")과 인용 검증("문장마다 근거 기록 번호를 붙여라")입니다. 모를 때 모른다고 하게 허용하는 기법은 "근거가 없으면 '기록 부족'이라고 표시하라"로 함께 넣을 수 있습니다.

4-3. 업무 일지의 사실을 이슈 관리 시스템이나 실적 자료 같은 객관적 기록과 대조해 확인했다면 평가 근거로 쓸 수 있습니다. 확인 없이 일지를 그대로 쓰면 자기 서술이 곧 평가가 되므로 쓸 수 없습니다. 업무 기록을 새로 수집하거나 연동하는 시스템을 설치한다면 4장의 협의·고지 점검도 함께 거칩니다.

4-4. 과도한 기능: 규정 안내용 챗봇에 인사 DB 수정 기능까지 붙이는 것. 과도한 권한: 직원용 챗봇이 전 직원의 연봉을 읽을 수 있는 계정으로 조회하는 것. 과도한 자율성: 챗봇이 사람의 확인 없이 휴가 신청을 승인하거나 인사 기록을 바꾸는 것.

4-5. 조회 기록, 결정 기록, 설정 변경 기록입니다. 기록 자체도 개인정보를 담고 있으므로, 목적에 필요한 기간과 접근 권한을 정하지 않으면 무기한 보관과 목적 외 이용의 위험이 생깁니다.

4-6. 협의가 필요한지는 도입 일정과 절차를 정하는 첫 관문이고, 개인 단위 처리가 필요한지는 무엇을 설치·수집할지를 정하며, 수집 항목과 기간은 그 결정 위에서 구체화되기 때문입니다. 앞 단계의 답이 뒤 단계의 범위를 정합니다.

4-7. 비교할 자료는 지표 값과 실제 성과 평가·업무 결과, 연령집단과 장애 여부별 결과입니다. 판단 기준은 지표와 성과의 관련 정도, 집단 간 차이의 크기와 유의성입니다. 조치 선택지는 지표 변경·제외(관련성 약함), 근거 문서화와 지속 점검(관련성 강함), 개별 직원에 대한 평가 방식 조정(정당한 편의)입니다.

5장

5-1. 체계적, 계산·통계적, 인간 인지적 편향입니다. 지표 하나가 기준을 넘었다는 사실로 공정성을 확인했다고 결론 내리지 말고, 결과를 판단의 재료로 삼아 원인과 직무 관련성을 함께 봐야 한다는 뜻입니다.

5-2. 앞 집단의 선발률은 30%, 뒤 집단은 20%이므로 선발률 비는 20 ÷ 30 ≈ 0.67입니다. 4/5(0.8)에 못 미쳐 불리한 영향의 신호로 보고, 표본 크기(600명은 작지 않은 편)와 통계적 유의성을 확인한 뒤 원인 분석에 들어갑니다. 4/5 경험칙은 미국 연방 지침의 기준으로, 한국 법의 판단 기준이 아니라 내부 점검의 신호로 씁니다.

5-3. 더 작은 차이도 통계적으로, 그리고 실무적으로 의미가 있으면 불리한 영향일 수 있습니다. 더 큰 차이도 표본이 작아 통계적으로 유의하지 않으면 불리한 영향이 아닐 수 있고, 이때는 더 긴 기간의 자료 등을 함께 볼 수 있습니다.

5-4. 최종 합격률만 보면 차이가 AI 서류 평가에서 생겼는지 사람이 하는 면접에서 생겼는지 알 수 없어 엉뚱한 단계를 고치게 됩니다. 면접 단계로 좁혀졌다면 구조화 면접(같은 질문과 채점 기준), 인적 사항을 가린 블라인드 면접, 복수 면접관의 독립 채점, 면접관 교육과 면접관별 결과 점검을 고를 수 있습니다.

5-5. 첫째, 차이를 만든 원인(대리 변수, 검증되지 않은 지표, 편향된 평가)이 그대로 남아 같은 문제가 반복됩니다. 둘째, 점검 숫자를 맞추려고 보호 속성에 따라 다른 기준을 적용하는 것 자체가 그 속성을 이유로 다르게 대우하는 것입니다. 적극적 고용개선조치처럼 법적 근거와 목적이 정해진 우대 제도는 이와 구분합니다.

5-6. 정기 점검, 변경 시 점검, 이상 신호 점검입니다. 벤더의 모델 업데이트는 변경 시 점검의 계기이고, 사전 통지와 변경 전후 집단별 결과 비교 자료, 문제가 생기면 이전 버전으로 되돌릴 수 있는 권한을 요구합니다.

5-7. 예를 들어 책임자는 GOVERN 2.1, 변경 통제는 MANAGE 4.1(변경 관리)과 GOVERN 2.1(변경 담당자의 역할), 중단 권한은 MANAGE 2.4, 점검 주기는 GOVERN 1.5(배포 후 모니터링은 MANAGE 4.1, 공정성 평가는 MEASURE 2.11), 이의 경로는 MEASURE 3.3과 연결할 수 있습니다. 기록 보존 기간은 NIST 항목보다 적용 법령과 조직 정책으로 정하고, 시스템을 폐기할 때의 자료 처리는 GOVERN 1.7과 연결합니다. 중요한 것은 요소마다 구체적인 사람, 신호, 기한이 적혀 있는지입니다.