사람을 대신해 여러 단계의 행동을 스스로 연결해 수행하는 'AI 에이전트'가 등장하면서 개인정보를 활용할 때마다 동의를 구하는 기존 개인정보 보호 방식만으로는 이용자를 충분히 보호하기 어렵다는 지적이 나온다. 국내외 개인정보 전문가들은 규제당국과 기업 모두 제품·서비스를 설계하는 단계부터 개인정보 침해 위험을 점검하고 안전장치를 마련해야 한다고 강조했다.

29일 개인정보보호위원회가 서울 양재 엘타워에서 개최한 '글로벌 AI 프라이버시 포럼'(Global AI Privacy Forum)의 첫 번째 세션에선 'AI 혁신'과 '개인정보 보호'라는 두 가지 과제를 함께 달성하기 위한 방안이 논의됐다.

송경희 개인정보위 위원장은 규제 당국이 개인정보를 처리하는 기업·기관에 문제가 발생한 뒤 제재하는 '사후 대응'에서 벗어나 개인정보 침해 위험을 사전에 검토하고 보호조치를 마련해야 한다고 강조했다.

이어 서비스 설계 단계부터 개인정보 보호 체계를 구축한 사례로 개인정보위가 네이버의 AI 검색 에이전트 서비스 'AI 탭'의 사전 적정성 검토를 진행한 사실을 소개했다.

스테파노 프라타 메타 프라이버시 정책 부사장은 "기업이 규제기관의 판단을 예측만 하다 몇 년 뒤 제재를 받는 게 아니라 출시 전에 규제기관과 기업이 함께 만나 안전장치를 논의할 수 있다"며 개인정보위의 사전 적정성 검토를 긍정적으로 평가했다.

그는 안면인식 시스템을 활용한 메타의 '유명인 사칭 광고 및 계정 차단 서비스'를 개인정보위와 사전에 검토해 도입한 사실을 소개했다. 프라타 부사장은 "메타의 안면인식 시스템은 (국내에서) 생체정보 처리와 관련한 법적 문제가 있었지만, 개인정보위와 협력해 보안 및 암호화 조치를 입증했고 목적 제한 원칙 합의해 한국에 이 기능을 도입할 수 있었다"고 밝혔다.

필립 뒤프렌 캐나다 개인정보감독기관(OPC) 위원장 역시 기업과 규제당국이 협력해 선제적으로 개인정보 보호에 대응해야 한다고 강조했다. 뒤프렌 위원장은 "우리는 문제가 발생한 뒤 대응하는 방식에서 벗어나야 한다"며 "기업과 당국이 조기에 소통해 가이드라인을 함께 마련해 가야 한다"고 주장했다.

기업도 제품을 모두 개발한 뒤 개인정보 문제를 점검하는 방식에서 벗어나 설계 단계부터 보호장치를 반영해야 한다는 제언이 나왔다.

프라타 부사장은 '개인정보 보호 중심 설계'(Privacy by Design)를 핵심 가치로 제시하며 서비스 설계·개발 단계부터 개인정보 보호장치를 '내재화'해야 한다고 주장했다. 서비스를 다 만든 후 개인정보 문제를 점검하는 것이 아니라 처음부터 보호장치를 제품에 녹여야 한다는 의미다.

프라타 부사장은 메타의 '데이터 분류'(Data Classification) 시스템을 개인정보 보호장치 내재화의 사례로 소개했다. 이 시스템은 세계 각국의 규제 요구사항과 이용자의 기대를 반영한 분류체계를 바탕으로 데이터를 분류하고 이를 통해 각각 다른 접근·이용 기준을 자동으로 적용한다.

AI의 실제 활용 목적과 위험 수준에 따라 보호조치를 달리해야 한다는 '위험 기반 접근'(risk-based approach)의 필요성도 제기됐다.

프라타 부사장은 "일정을 잡는 AI 에이전트와 신용대출 결정을 내리는 AI 에이전트의 위험 수준이 다르다"며 기술 자체를 일률적으로 규제하기보다 실제 이용 목적과 예상되는 위험 수준에 따라 규제와 보호조치를 달리해야 한다고 설명했다.

캐리 벤 마이크로소프트 최고개인정보보호책임자는 마이크로소프트가 제품 출시 전 개발과 배포 단계에서 개인정보 보호 기준을 충족하는지 확인하고 있다고 설명했다.

캐리 벤 책임자는 "개인정보 측면에서 매우 세밀한 개인정보 영향평가를 실시하고 있다"며 "어떤 개인정보를 처리하는지, 어떤 보호조치를 적용할지 명시한 후 개인정보 활용의 위험과 효용 사이의 균형이 적절한지 검토한다"고 말했다.

sumin02@news1.kr