AI 시대 개인정보보호 정책의 재검토

오늘 국가AI전략위원회 보안특위 회의를 하며 다시금 느낀 점. 생성형 LLM을 넘어 에이전트 AI(agentic AI), 피지컬 AI(Physical AI), 그리고 최근 등장한 미토스(Mythos)와 같은 초고도화 AI 모델까지 확산되면서, 이제 AI 시대는 더 이상 ‘프라이버시’와 ‘AI 보안’을 분리해서 다루기 어려운 단계로 진입하고 있다는 점이었다.

스스로 수집하고 판단하고 행동하는 AI

과거 개인정보보호는 주로 개인정보의 수집·이용·제공·유출 통제 문제였다. 그러나 이제 AI는 스스로 데이터를 수집하고, 추론하고, 판단하고, 행동하는 존재로 진화하고 있다. 그 과정에서 데이터 오염(Data Poisoning), 에이전트 권한 탈취, 딥페이크 기반 신원 위조, AI 공급망 공격, 모델 조작 및 자율형 공격 수행과 같은 전혀 새로운 유형의 위험이 등장하고 있다.

개인정보 침해를 넘어 국가안보로

문제는 이러한 위협이 단순한 개인정보 침해 수준을 넘어선다는 점이다. 디지털 신원(identity), 사회적 신뢰, 물리적 안전, 나아가 국가안보와 직접 연결되기 시작했다.

에이전트 AI는 인간 개입 없이 다른 시스템과 연결·판단·실행을 수행하고, 피지컬 AI는 카메라·센서·로봇을 통해 현실 공간을 지속적으로 인식하고 행동한다. 여기에 미토스와 같은 공격범위를 가늠할 수 없는 FM급 AI 모델은 기존 인간 중심 방어체계를 압도하는 속도와 규모로 취약점 탐지와 공격 자동화를 가능하게 만들고 있다. 이제 개인정보보호, AI 보안, 사이버보안, 안전(safety), 국가안보는 서로 분리된 영역이 아니라 중첩된 하나의 위험 지형으로 변화하고 있는 셈이다.

프라이버시의 틀로 어디까지 담을 수 있나

이러한 변화 속에서 규제기관인 개인정보보호위원회는 AI 기반 위험과 보안 위협까지 ‘프라이버시’와 ‘개인정보 보호’의 틀 안에서 포섭·관리하려 하고 있다. 그러나 현실에서는 그 한계 또한 점차 분명해지고 있다. 예컨대 데이터 오염 공격이나 AI 에이전트 권한 탈취는 개인정보 침해이면서 동시에 AI 시스템 보안 문제이며, 딥페이크와 에이전트 신원 위조는 단순 개인정보 이슈를 넘어 디지털 신뢰 인프라 전체를 흔드는 문제이기 때문이다.

국가 신뢰 인프라 전략으로

어쩌면 AI 시대에는 개인정보 정책만으로는 대응이 어려울지 모르겠다. 개인정보 보호, AI 보안, AI 안전, AI 국가안보를 통합적으로 바라보는 새로운 거버넌스와 정책 프레임워크가 필요한 게 아닐까. 이제 개인정보 정책은 단순한 프라이버시 보호 정책이 아니라, ‘AI 시대의 국가 신뢰 인프라 전략’으로 재정의될 필요가 있지 않을까.

개인정보는 더 이상 개인의 정보에 머무르지 않는다. 디지털 신원, 민주주의, 금융, 산업 경쟁력, 국가안보를 떠받치는 핵심 인프라가 되고 있다. 그런 점에서 개인정보위 중심의 단일 행정계획을 넘어, 과기정통부·국정원·행안부·금융위 등과 연계된 범정부 차원의 AI 데이터·보안·프라이버시 통합 거버넌스로 발전시켜야 할 시점에 와 있는 것은 아닐까, 그런 막연한 질문들을 던지며…부산으로 향한다.