제2025-011-029호

안건번호 : 제2025-011-029호
안건명 : AI 디지털교과서 사전실태점검 결과에 관한 건
신청인 : 교육부세종특별자치시 갈매로 408대표자
의결연월일 : 2025. 5. 14.

1. AI 디지털 교과서(이하 'AIDT’) 사업을 총괄하는 교육부에게 AIDT 서비스 전반에 대한 개인정보 보호 수준을 제고하고, AIDT 서비스에 참여하는 각 개발사의 개인정보 보호 관리ㆍ감독 체계가 정비 될 수 있도록 다음과 같은 내용을 권고한다.
가. 각 개발사의 개인정보 보호수준 제고를 위해 ISMS-P 인증 취득방안(예: 검정심사 및 사후품질관리 시 중첩항목 면제방안 등)을 마련할 것
나. AIDT 개발사 웹사이트에서 처리되는 개인정보 항목, 목적, 보유기간 등을 정보주체가 명확히 인지할 수 있도록 관련 동의서 및 개인정보처리방침 등을 교육부 주도하에 일괄 정비할 것
다. AIDT 검정심사 기준 및 관련 가이드라인에 보호법 준수사항을 구체적으로 반영하고 실효적 이행점검 체계를 마련할 것
라. 개인정보가 명확한 적법근거에 의해 처리되고 보다 안전하게 관리될 수 있도록 각 참여자(KERISㆍ개발사)에게 역할ㆍ책임을 부여(사고수습체계 포함)하는 규범체계를 마련할 것
마. 교육부는 '가’.부터 '라’. 까지의 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회 이행 결과 및 계획을 제출할 것

Ⅰ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 교육부.(이하 '피심인’)가 지난 ’25.3월부터 도입ㆍ운영하고 있는 AI 디지털교과서(이하 'AIDT’) 서비스와 관련 방대한 양의 학생 학습데이터가 처리되는 등 동 서비스 운영과정에서 발생 할 수 있는 개인정보 오ㆍ남용 등 개인정보 침해 우려가 있어 관련 서비스 및 시스템 전반에 대한 개인정보 취급ㆍ운영실태에 대한 사전실태점검(’25. 2. 27. ～ '25. 4. 16.)을 하였고, 다음과 같은 사실을 확인하였다.

2. 개인정보의 취급ㆍ운영 관련 사실관계

가. 점검 대상

개인정보보호위원회는 AIDT 서비스 관련 AIDT 통합포털을 운영하는 한국교육학술정보원(이하 ’KERIS), 각 과목 AI 교과서 웹 서비스를 제공ㆍ운영하는 출판사(이하 '개발사’)개발사의 경우 시스템 구조 및 처리되는 개인정보가 유사하여 점유율 높은 3개 社(약 60%)를 대표로 점검, AIDT 서비스 정책 총괄 및 KERIS와 개발사의 관리ㆍ감독(교과서 검정 등) 책임이 있는 주무 부처 교육부를 대상으로 사전실태 점검을 실시하였다.
나. 점검 결과(사실관계)

1) AIDT 통합포털('KERIS’ 운영)의 경우 ①개인정보 일부 고지누락, ②학습데이터 76종에 대한 처리 항목 및 목적 불분명, ③안전조치 준수 의무 일부 미흡 등의 사실을 확인하였으나, 현장점검(3.19~4.16) 과정에서 관련 시정을 완료한 것으로 확인하였다.

2) 각 개발사가 운영하는 각 과목 웹사이트(웹서비스)의 경우 ①민원처리 시 추가 수집 되는 개인정보(이름, 연락처 등)에 대한 고지누락, ②정보주체 권리행사 및 침해ㆍ유출 사고 발생 시 유출통지 등 대응 방안 미흡, ③개인정보(학습이력)의 정확성ㆍ최신성 미확보학생 전ㆍ출입 발생시 학습이력이 초기화 되거나 수업중 필기한 내용 등이 학습을 종료(로그아웃)하는 경우 필기내용을 다시 확인할 수 없는 사례 발견, ④안전조치 준수 의무 일부 미흡 등의 사실을 확인하였으나, 현장점검(3.19~4.16) 과정에서 관련 시정을 완료한 것으로 확인하였다.

3) AIDT 사업을 총괄하는 교육부의 경우, ①AIDT 검정심사 기준 중 개인정보 보호 관련 심사기준(기술심사)이 추상적ㆍ포괄적이고, 해당 기술심사(개인정보 보호) 요건 이행 여부에 대한 사후 점검(품질관리) 체계 또한 미비하게 운영하고 있었으며, ②각 개발사를 대상으로 가이드라인을 발간하여 보호법 관련 준수사항ㆍ체크리스트 등을 안내하고 있으나, 관련 내용이 CSAP(Cloud Security Assurance Program) 인증과 전자금융감독규정 중 클라우드 안전성 평가기준금융위원회고시 제2025-4호 및 동 고시 별표2의2(클라우드컴퓨ㅌ팅서비스 제공자의 건정성 및 안전성 평가기준(14조의2 관련)내용에만 편중되어 있는 등 전반적으로 보호법 준수사항 안내를 미흡하게 운영한 사실이 있다.


Ⅱ. 개선방안

AIDT 통합 포털의 경우 점검 결과 미흡 사항에 대해서는 해당 시스템을 직접 운영하는 KERIS(AIDT 통합포털의 개인정보처리자)에게 시정ㆍ개선 조치를 별도 부과하되, 각 개발사의 개선 필요 사항에 대해서는 AIDT 시스템 전반에 대한 개인정보 보호조치 수준을 제고하고 각 개발사의 개인정보 보호 관리ㆍ감독 체계가 정비 될 수 있도록 AI 디지털 교과서 검정 승인 및 사후 품질관리 권한을 가지고 있는 등 관련 정책을 총괄하는 교육부에 개선을 권고한다.

1. 관련 법령

보호법 제7조의9 제1항 제3호는 ”보호위원회는 개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항에 대하여 심의ㆍ의결할 수 있다”고 규정하고 있고, 제4항은 “보호위원회는 제1항제3호의 사항을 심의ㆍ의결한 경우에는 관계 기관에 그 개선을 권고할 수 있다”고 규정하고 있으며, 제5항은 “보호위원회는 제4항에 따른 권고 내용의 이행 여부를 점검할 수 있다”고 규정하고 있다.

Ⅲ. 개선권고

AIDT 시스템 전반에 대한 개인정보 보호조치 수준을 제고하고 각 개발사의 개인정보 보호 관리ㆍ감독 체계가 정비 될 수 있도록 관련 정책을 총괄하는 교육부에 다음과 같은 내용으로 개선을 권고한다.

가. 각 개발사의 개인정보 보호수준 제고를 위해 ISMS-P 인증 취득방안(예: 검정심사 및 사후품질관리 시 중첩항목 면제방안 등)을 마련할 것

나. AIDT 개발사 웹사이트에서 처리되는 개인정보 항목, 목적, 보유기간 등을 정보주체가 명확히 인지할 수 있도록 관련 동의서 및 개인정보처리방침 등을 교육부 주도하에 일괄 정비할 것

다. AIDT 검정심사 기준 및 관련 가이드라인에 보호법 준수사항을 구체적으로 반영하고 실효적 이행점검 체계를 마련할 것

라. 개인정보가 명확한 적법근거에 의해 처리되고 보다 안전하게 관리될 수 있도록 각 참여자(KERISㆍ개발사)에게 역할ㆍ책임을 부여(사고수습체계 포함)하는 규범체계를 마련할 것

마. 교육부는 '가’.부터 '라’. 까지의 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회 이행 결과 및 계획을 제출할 것

Ⅳ. 결론

피심인에 대하여 보호법 제7조의9제1항제3호에 따라 개선권고를 주문과 같이 의결한다.