인적 개입 지점 설계 — 승인 버튼은 개입이 아니다
작성 2026-07-25 · 최종 갱신 2026-07-25
ADR-0001 이 '인적 개입 없이 완결되는 자동 판단'을 비목표로 고정했으나 개입 지점은 정하지 않았다. 사후 승인형 개입을 기각하고, 시스템이 결론 대신 복수 가설과 반증을 제시하며 사람이 채택·기각을 입력해야 진행되는 구조적 개입을 채택한다.
맥락
ADR-0001 은 인적 개입 없이 완결되는 자동 판단을 비목표로 고정했다. 그러나 개입이 파이프라인의 어느 지점에 어떤 형태로 들어가야 하는지는 정하지 않았다.
이 공백을 두면 실무는 가장 값싼 형태로 수렴한다. 완성된 결과에 승인 버튼을 다는 방식이다. 그것은 개입처럼 보이지만 개입이 아니다.
법적으로도 실질적인 문제다. 「개인정보 보호법」 제37조의2 는 완전히 자동화된 시스템의 결정에 거부권과 설명요구권을 부여한다. 개입이 형식적이면 그 시스템은 여전히 완전히 자동화된 결정으로 평가될 수 있다.
반대로 개입이 실질적이면 애초에 완전히 자동화된 결정이 아니게 된다. 즉 개입 설계는 사후의 규제 대응이 아니라 시스템의 법적 성격 자체를 결정하는 선택이다.
검토한 대안
사후 승인형 — 시스템이 결론을 산출하고 사람이 승인 또는 반려한다.
제시된 결론이 앵커가 되어 확증편향을 오히려 증폭한다. 형식상 개입이 존재해도 판단의 독립성이 없으므로, 개입의 목적인 오류 차단이 작동하지 않는다.
선택적 개입 — 수사관이 필요하다고 판단할 때만 개입 절차를 밟는다.
시급성 압력 아래에서 선택지는 생략된다. 개입 여부가 재량이면 실질적으로 대안 A 로 퇴화하며, 생략된 사건일수록 검증이 필요한 사건일 가능성이 높다.
구조적 개입 — 시스템은 결론을 내지 않고 복수 가설과 근거·반증을 제시하며, 사람의 판단 입력 없이는 다음 단계로 진행되지 않는다.
개입을 사람의 성의가 아니라 파이프라인의 진행 조건으로 만든다. 결론을 먼저 보여 주지 않으므로 앵커 효과도 발생하지 않는다.
결정
- 시스템은 순위가 매겨진 단일 결론을 산출하지 않는다. 복수 가설을 병렬로 제시하고, 각 가설마다 뒷받침 근거와 반증 근거를 함께 제시한다.
- 각 가설에 대한 사람의 판단(채택·기각·보류)과 그 사유 입력을 다음 단계 진행의 강제 조건으로 둔다. 미입력 상태에서는 파이프라인이 진행되지 않는다.
- 사람의 판단·사유·시각을 로그로 남긴다. 개입이 실질적이었는지를 사후에 검증할 수 있어야 한다.
- 산출물에는 ADR-0001 결정 1 에 따라 수사 단서이며 결론이 아니라는 표기를 항상 병기한다.
- 위 1~3 을 충족하지 못하는 배포 형태는 이 트랙의 산출물로 인정하지 않는다.
근거
- 「개인정보 보호법」 제37조의2 제3항은 정보주체가 자동화된 결정을 거부하거나 설명 등을 요구한 경우 정당한 사유가 없는 한 자동화된 결정을 적용하지 아니하거나 인적 개입에 의한 재처리·설명 등 필요한 조치를 하도록 정한다. 사후에 재처리를 붙일 수 있으려면 개입 지점이 애초에 설계 안에 있어야 한다.
- 위임 규정인 「개인정보 보호법 시행령」 제44조의3은 거부·설명등요구에 따른 조치를 규정한다. 조치의 실행 가능성은 시스템 구조에 달려 있다.
- 결정 3(로그)은 제37조의2 제2항의 설명요구권에 대응하기 위한 것이기도 하다. 무엇을 근거로 사람이 어떻게 판단했는지에 대한 기록이 없으면 설명할 수 없다.
- 결정 1 의 반증 병기는 규제가 요구하는 바가 아니라 정확성 요구다. 미국 국립표준기술연구소(NIST)가 2024년 발간한 NISTIR 8503 은 인지편향을 개인의 선재하는 믿음·기대·동기 또는 상황 맥락이 정보의 수집·지각·해석과 그로 인한 판단에 본인도 모르게 영향을 미치는 효과로 정의하고, 맥락 정보의 순차적 차단(linear sequential unmasking)을 완화 수단으로 다룬다. 결론을 먼저 보여 주는 구조는 이 완화의 정반대 방향이다.
이 결정이 만드는 한계
- 처리 속도가 떨어진다. 가설마다 사람의 입력을 요구하므로 시급성이 지배하는 수사 실무의 요구와 정면으로 충돌한다. 이 비용은 설계상 의도된 것이며 성능 개선으로 상쇄할 대상이 아니다.
- 코드로 강제할 수 있는 것은 개입의 존재이지 개입의 질이 아니다. 모든 가설에 무성의하게 보류를 입력해도 게이트는 통과된다. 이 부분은 시스템이 보장할 수 없고 조직의 검토 절차와 로그 감사로만 다룰 수 있다. 시스템이 해결한 것처럼 표기하지 않는다.
- 반증을 함께 제시하려면 반증을 찾는 탐색이 별도로 필요하다. 계산 비용이 늘고, 반증을 찾지 못했을 때 반증이 없는 것과 탐색에 실패한 것을 구분해 표기해야 한다. 이 둘을 뭉뚱그리면 근거 없는 확신을 만든다.
폐기 조건
- 「개인정보 보호법」 제37조의2 또는 「개인정보 보호법 시행령」 제44조의2~제44조의4가 개정되어 인적 개입의 요건이 구체화될 때.
- G2 기관 검증에서 강제 입력 게이트가 실제로 형식화되는 것이 관측될 때 — 게이트 설계를 재작성한다.
- 반증 병렬 제시가 판단 정확도를 오히려 떨어뜨린다는 검증 결과가 나올 때.
근거자료
인용 법령
- 「개인정보 보호법」 제37조의2(자동화된 결정에 대한 정보주체의 권리 등) 제2항·제3항제3항 '인적 개입에 의한 재처리' 문언 — DRF 본문 실증
- 「개인정보 보호법 시행령」 제44조의3(거부·설명등요구에 따른 조치)법 제37조의2 제5항의 위임 규정 — DRF 조문 실증(시행 2026-05-19)
참고자료
- 자동화된 결정에 대한 정보주체의 권리 안내서개인정보보호위원회 · 2024-09 — 법 제37조의2 및 시행령 제44조의2~제44조의4의 조치사항을 사례 중심으로 정리한 소관부처 안내서. 2026-07-25 원문 확인.
- NISTIR 8503 — Forensic DNA Interpretation and Human Factors: Improving Practice Through a Systems Approach미국 국립표준기술연구소(NIST) · Expert Working Group on Human Factors in Forensic DNA Interpretation · 2024-05 — 인지편향 정의와 맥락 정보 순차 차단(linear sequential unmasking) 등 완화 수단을 다룬다. 2026-07-25 원문(436쪽) 내려받아 cognitive bias 37회·confirmation bias 18회 수록 확인.
담당 리더
마디L60
시스템 총괄 · Master API Gateway대한민국 변호사급 / 법원행정처 전산정보국장 출신급
설계로그는 특정 법률 분야가 아니라 시스템 전체의 설계 결정을 다룬다. 개별 도메인 리더가 아니라 60명 리더 시스템의 운영·품질을 총괄하는 리더가 담당한다.
리더 프로필 보기