프라이버시 및 AI 거버넌스 플랫폼은 어떤 데이터를 저장해야 할까? 모델링 시도

2026년 8월, BBC는 영국 Find a Tender 서비스에 짧은 공지사항을 게재했습니다. 이 공지사항은 '프라이버시 및 AI 거버넌스 플랫폼'에 대해 시장의 의견을 묻고 있습니다. 이는 RFI(Request for Information), 즉 정보 요청서입니다. 구매자가 실제 입찰 전에 질문하고 싶을 때 보내는 문서이므로, 아직 아무것도 구매하는 것은 아닙니다. 이 공지에는 계약 가치가 명시되어 있지 않습니다. 공지사항은 여기에서 읽을 수 있습니다.

텍스트는 짧습니다. BBC는 현재 수행하고 있는 거버넌스 업무 목록을 나열했습니다: 데이터 보호 영향 평가(DPIAs), 이전 위험 평가(TRAs/TIAs), AI 위험 평가, 위험 수용(risk acceptance), 처리 활동 기록(RoPA), 사례 관리 및 거버넌스 보고서 작성. BBC는 이러한 작업이 “수동 프로세스와 기존 도구의 조합”으로 수행되고 있다고 언급합니다. 이제 그들은 플랫폼이 이 작업을 어떻게 더 효율적이고, 일관성 있게, 그리고 성숙하게 만들 수 있는지 알고 싶어 합니다.

저는 개발자로서 이 목록을 읽었고, 데이터 모델을 보았습니다.

각 기록의 의미

DPIA는 위험한 프로젝트에 대한 점검입니다. 영국 데이터 보호 규제 기관인 ICO는 DPIA가 프로젝트의 데이터 보호 위험을 찾아내고 줄이는 데 도움이 된다고 말합니다. 만약 줄일 수 없는 높은 위험이 발견되면, 시작하기 전에 ICO와 상담해야 합니다.

이전 위험 평가는 영국을 벗어나는 개인 데이터에 대한 유사한 점검입니다. AI 위험 평가는 AI 시스템에 대해 동일한 역할을 수행합니다. 위험 수용은 고위 관계자가 “우리는 이 위험에 대해 알고 있으며, 이를 수용한다”고 말하는 것입니다. RoPA는 어떤 개인 데이터를 왜 처리하는지에 대한 목록입니다. 영국 GDPR(UK GDPR)은 제30조에서 이를 요구하고 있습니다.

이들은 모두 기록(records)입니다. 각각은 소유자(owner), 상태(status), 날짜를 가지고 있습니다. 대부분 시스템이나 프로젝트에 속합니다. 이것이 스프레드시트가 한동안 작동하는 이유입니다.

장난감 모델 (A toy model)

이 예시는 BBC의 것이 아니라 제가 만든 것입니다. 문제의 형태만 보여줄 뿐입니다.

from dataclasses import dataclass
from datetime import date

...

제가 실행하면 다음과 같은 결과가 나옵니다:

A1 viewer app ok
A2 voice search ['ask ICO']
A3 subtitle model ['overdue']

뷰어 앱은 괜찮습니다. 음성 검색 DPIA는 여전히 높은 위험도가 있어 ICO로 넘어갔습니다. 자막 모델에 대한 AI 위험 평가는 9월 15일 마감이었으므로 지연되었습니다.

이 코드는 약 30줄이며, 이미 프라이버시 팀이 매주 던지는 두 가지 질문에 답합니다. 즉, 규제 기관의 도움이 필요한 것이 무엇인지, 그리고 무엇이 지연되었는지입니다.

어려워지는 부분 (Where it gets hard)

공지에는 BBC가 이것을 어떻게 작동시키고 싶은지에 대한 내용은 아무것도 나와 있지 않으므로, 이 부분은 제 추측입니다.

하나의 시스템은 동시에 DPIA(데이터 보호 영향 평가), 전송 평가(transfer assessment), 그리고 AI 위험 평가를 가질 수 있으며, 이들은 서로 연결되어야 합니다. 제 모델에서는 이것이 불가능합니다. 제가 시도할 첫 번째 수정 사항은 links 테이블을 만드는 것입니다. 그래야 한 기록이 다른 기록을 참조할 수 있습니다. 그다음에는 누가 무엇을 언제 변경했는지에 대한 이력(history), 승인(approvals), 그리고 손으로 일주일 동안 구축할 필요가 없는 보고서들이 필요합니다.

이 부분은 구축하기 지루한 작업입니다. 하지만 동시에 프라이버시 팀이 평가가 수행되었으며, 언제 수행되었는지 증명할 수 있게 해주는 부분이기도 합니다.

공지에는 또한 실제 입찰(tender)의 예상 날짜로 2026년 11월 2일이 제시되었습니다. 저는 아직 그런 것을 찾지 못했으니, 이 날짜에 의존하기 전에 확인해 보십시오. 만약 입찰이 들어온다면, 플랫폼이 AI 위험 평가를 어떻게 처리하는지 지켜볼 것입니다. 그 부분은 DPIA보다 더 새롭고 덜 정착된 느낌이지만, 이것은 단지 제 의견일 뿐입니다.

만약 이와 같은 도구를 구축해 본 경험이 있다면, 처음에는 무엇을 잘못했습니까? 그리고 평가들 간의 연결 고리(links)는 어떻게 저장하시겠습니까?