글로벌 시장조사업체 가트너(Gartner)는 지난달 30일(현지시간) 발표한 ‘개인정보 보호 전망: AI·감시 기술 확산에 따른 혼란 대응과 개인 보호 전략(Predicts 2025: Privacy in an AI and Surveillance World)’ 보고서를 통해 이같이 전망하며, 최고정보보호책임자(CISO)들이 기존의 데이터 보호 중심 전략에서 벗어나 AI 추론 위험까지 관리하는 개인정보 보호 체계를 구축해야 한다고 권고했다.
그는 “앞으로 개인정보 보호의 핵심 위험은 어떤 데이터가 유출됐느냐보다 AI가 개인에 대해 무엇을 추론해냈느냐에 달려 있다”고 강조했다.
가트너는 최근 기업들이 규제 강화와 비용 절감을 이유로 개인정보 보관량을 줄이고 있음에도 생성형 AI와 머신러닝(ML)의 발전으로 공격자들이 익명화되거나 집계된 데이터만으로도 건강 상태, 행동 패턴, 성향 등 민감한 정보를 추론할 수 있게 됐다고 분석했다.
특히 추론 공격은 기존 보안 시스템으로 탐지하기 어려운 점이 가장 큰 위험으로 꼽혔다. 실제 개인정보가 유출되지 않았더라도 AI가 도출한 결론만으로 개인이 식별되거나 민감한 속성이 드러날 수 있기 때문이다.
이에 따라 기업들의 보안 투자 방향도 변화할 것으로 전망했다. 가트너는 2028년까지 기업들의 ‘데이터 무결성(Data Integrity)’ 보호 투자 규모가 ‘데이터 기밀성(Data Confidentiality)’ 보호 투자와 같은 수준에 이를 것으로 내다봤다. AI가 생성한 부정확하거나 편향된 프로필, 무단 추론 결과가 새로운 보안 위협으로 떠오르고 있어서다.
가트너는 AI 시대 개인정보 보호를 위해 CISO와 개인정보 보호 책임자에게 △AI 거버넌스에 프라이버시 중심 설계(Privacy-by-Design) 내재화 △차등 프라이버시·합성데이터 등 개인정보 보호 강화 기술(PET) 도입 △데이터 최소 수집 및 수명주기 관리 강화 △추론 공격 탐지를 위한 AI 기반 보안 역량 확대 △AI 추론에 대한 인간의 최종 검증(Human-in-the-loop) 의무화 등 다섯 가지 대응 방안을 제시했다.
가트너는 “AI 시대 개인정보 보호는 데이터를 숨기는 것만으로는 충분하지 않다”며 “AI가 데이터를 통해 무엇을 추론할 수 있는지까지 통제하는 것이 새로운 개인정보 보호의 핵심 과제가 될 것”이라고 밝혔다.
