얼마 전 지인이 자신도 모르는 사이 가입된 적 없는 서비스에서 결제 알림을 받았다는 이야기를 들었다. 알아보니 어딘가에서 유출된 개인정보가 다른 서비스 가입에 도용된 경우였다. 이런 일이 더 이상 남의 이야기가 아니라는 걸, 요즘은 뉴스를 조금만 챙겨봐도 실감하게 된다.
올해 들어 국내에서는 대형 플랫폼과 통신사, 유통업체에서 잇달아 개인정보 유출 사고가 터졌다. 그리고 그 배경에는 늘 인공지능이 함께 언급된다. 공격하는 쪽도 AI를 쓰고, 막는 쪽도 AI를 쓴다. 정부는 지난 2월 개인정보 보호법 개정안을 통과시키며 기업 책임을 대폭 강화했고, 최근에는 매출의 최대 10%까지 물릴 수 있는 징벌적 과징금 제도까지 추진 중이다. 개인정보와 AI는 이제 정보통신업계만의 이슈가 아니라, 우리 모두의 지갑과 일상에 직결된 사회 문제가 됐다.
이 이슈란 무엇인가
‘인공지능 시대의 개인정보 문제’란 크게 두 갈래로 나눠 볼 수 있다.
하나는 AI가 개인정보 침해의 ‘가해자’ 역할을 하는 경우다. 생성형 AI 모델을 학습시키는 과정에서 동의 없이 개인 자료가 수집되거나, 챗봇이 대화 중 민감한 정보를 흘리거나, 공격자가 AI를 이용해 훨씬 정교하고 빠르게 해킹을 시도하는 상황이 여기에 해당한다.
다른 하나는 AI가 개인정보를 ‘보호’하는 도구로 쓰이는 경우다. 기업들은 기계학습 기반 이상 행위 탐지 시스템을 도입해, 사람이 놓치기 쉬운 내부자의 은밀한 정보 유출 시도나 권한 오남용을 조기에 잡아내려 하고 있다. 즉 같은 기술이 창과 방패로 동시에 쓰이고 있는 셈이다. 이 두 흐름이 지금 우리 사회에서 팽팽하게 맞서고 있다.
왜 이런 문제가 생겼나 발생 배경
배경은 크게 세 가지로 짚을 수 있다.
첫째, 데이터가 곧 AI 성능이라는 산업 구조다. AI 모델은 학습 데이터가 많을수록, 그리고 데이터가 정교할수록 성능이 좋아진다. 기업으로서는 개인 데이터를 최대한 많이, 최대한 오래 확보하려는 유인이 강해질 수밖에 없다.
둘째, 공격 기술 자체가 고도화됐다. 보안 취약점을 찾아내고 공격을 자동화하는 데 특화된 고성능 AI 모델이 속속 등장하면서, 예전 같으면 숙련된 해커 몇 명이 며칠씩 걸리던 작업을 AI가 훨씬 짧은 시간에 대신하는 상황이 벌어지고 있다.
셋째, 법과 제도가 기술 속도를 따라가지 못했다. 개인정보 보호법이나 AI 관련 입법이 정비되는 동안에도 서비스는 계속 출시되고, 데이터는 계속 쌓였다. 뒤늦게 규제가 강화되는 지금의 흐름은, 이런 시차를 메우려는 뒤늦은 대응이라고 볼 수 있다.
지금 상황은 어떤가? 현재 실태
체감할 수 있는 숫자로 살펴보면 상황이 더 분명해진다. 지난해 대형 전자상거래 플랫폼에서 수천만 명 규모의 이용자 개인정보가 유출되는 사고가 있었고, 정부는 이달 해당 기업에 수천억 원대의 과징금을 부과했다. 이는 통신사 유심 정보 유출 사태 때 부과됐던 과징금보다도 몇 배 큰 규모로, 역대급 제재로 평가받는다. 비슷한 시기 영상 스트리밍 서비스와 유통업체에서도 개인정보 유출 사고가 연달아 발생하면서, 업계 전반이 긴장하는 분위기다.
제도적으로도 변화가 빠르게 진행 중이다. 올해 2월 국회를 통과한 개인정보 보호법 개정안은 기업의 책임과 거버넌스 의무를 한층 강화했고, 개인정보보호위원회는 고의나 중대한 과실로 사고를 반복하는 기업에 매출의 최대 10%까지 징벌적 과징금을 물리는 방안을 추진하고 있다. 한편, 국내 AI 기본법도 올해 1월 개정을 거쳐 7월부터 시행에 들어갔고, 관련 시행령 개정안 역시 최근 국무회의를 통과하며 세부 기준을 구체화하는 단계에 있다. 법과 제도가 이례적으로 빠르게 움직이고 있다는 점에서, 지금이 이 문제의 분수령이라는 평가도 나온다.
우리 사회에 어떤 영향을 주는가
가장 직접적인 영향은 개인이 느끼는 불안감이다. 내 정보가 어디서 어떻게 쓰이고 있는지 알기 어려운 상황에서, 명의도용이나 문자 결제 사기, 보이스 피싱 같은 2차 피해로 이어질 가능성은 늘 존재한다. 특히 AI를 이용한 정교한 사기 수법은 기존 방식보다 훨씬 그럴듯하게 다가오기 때문에, 판별이 더 어려워지고 있다.
기업으로서도 개인정보 유출은 더 이상 ‘이미지 손상’ 수준에 그치지 않는다. 매출 대비 과징금 규모가 커지면서, 유출 사고 한 번이 회사의 재무 건전성을 흔들 수 있는 경영 위험으로 자리 잡았다. 이 때문에 보안 투자를 뒷순위로 미뤄왔던 기업들도 이제는 사고 예방을 핵심 경영 과제로 다루기 시작했다.
사회 전체로 보면 신뢰의 문제이기도 하다. AI 서비스가 일상 곳곳에 스며드는 지금, 개인정보가 안전하게 관리된다는 최소한의 신뢰가 없다면 사람들은 AI 기술 자체를 꺼리게 될 수 있다. 결국 개인정보 보호는 AI 산업이 건강하게 성장하기 위한 전제조건이라고도 할 수 있다.
다른 나라는 어떻게 하고 있나 해외 사례
유럽연합은 이 문제에 가장 앞서 대응해온 지역으로 꼽힌다. 오래전부터 시행돼 온 개인정보보호 규정(GDPR)에 이어, 최근에는 AI 자체를 규율하는 AI 법(AI Act)의 단계별 시행이 진행되고 있다. 올해 8월부터는 고위험 AI 시스템에 대한 규칙이 본격적으로 적용될 예정이며, 챗봇이나 딥페이크 같은 AI 생성 콘텐츠에 대해서는 이용자가 즉시 인지할 수 있도록 표시 의무를 부과하는 방향으로 정비되고 있다. 다만 세부 가이드라인 발표가 지연되면서 기업들이 법적 불확실성을 호소하는 등, 제도 정착 과정에서의 시행착오도 함께 나타나고 있다.
미국은 연방 차원의 통일된 법 대신 주(州)별로 개인정보 관련 입법이 진행되는 방식을 취해왔고, 기업의 자율 규제와 산업계 협력에 상대적으로 무게를 두는 편이다. 이런 접근 방식의 차이는 규제의 강도와 속도에서 나라마다 뚜렷한 대비를 만들어내고 있다.
우리나라는 유럽의 GDPR과 AI 법체계를 상당 부분 참고하면서도, 국내 산업 진흥과 개인정보 보호라는 두 가지 목표를 함께 달성하려는 절충적 접근을 취하고 있다는 평가를 받는다.
어떻게 풀어갈 수 있을까 해결 방안
기업 차원에서는 사고가 터진 뒤 수습하는 방식에서 벗어나, 애초에 위험을 줄이는 사전 예방형 거버넌스로 전환할 필요가 있다. AI 기반 이상 행위 탐지처럼 사람이 놓치기 쉬운 위협을 조기에 포착하는 기술을 적극 활용하되, 이 기술이 오히려 새로운 개인정보 수집 통로가 되지 않도록 균형을 잡는 것이 중요하다.
정부와 국회는 처벌 강화와 함께 실질적인 예방 유인을 함께 설계할 필요가 있다. 과징금을 높이는 것만으로는 기업의 근본적인 보안 문화가 바뀌지 않을 수 있는 만큼, 보안 투자에 대한 인센티브나 중소기업 지원책을 병행하는 방안이 함께 논의되어야 한다는 목소리도 있다.
개인 차원에서도 할 수 있는 일이 있다. 자신의 정보가 어떤 서비스에 어떻게 쓰이고 있는지 주기적으로 확인하고, 불필요한 개인정보 제공 동의는 거절하는 습관을 들이는 것만으로도 위험을 상당 부분 줄일 수 있다. 결국 이 문제는 정부와 기업, 개인이 각자의 자리에서 책임을 나눠 맡을 때에야 조금씩 나아질 수 있는 사안이다.
한눈에 보는 핵심 요약
AI는 개인정보 침해의 도구이자, 동시에 보호의 도구로 쓰이고 있다.
올해 국내에서는 대형 플랫폼·통신사·유통업체의 개인정보 유출 사고가 잇따랐고, 정부는 역대급 과징금을 부과했다.
2월 개인정보 보호법 개정안 통과에 이어, 매출 최대 10% 규모의 징벌적 과징금 도입이 추진되고 있다.
국내 AI 기본법도 올해 7월부터 시행에 들어가며 관련 세부 기준이 구체화하는 단계다.
유럽연합은 GDPR과 AI 법을 통해 가장 앞선 규제 체계를 구축했지만, 시행 과정에서 시행착오도 겪고 있다.
해결의 핵심은 처벌 강화와 함께 사전 예방형 거버넌스, 그리고 개인의 정보 관리 습관이 함께 맞물리는 데 있다.
마무리 결론 및 시사점
개인정보와 AI의 관계는 앞으로 더 복잡해지면 복잡해졌지, 단순해지지는 않을 것 같다. AI 기술이 발전할수록 정보를 노리는 공격도 정교해지고, 이를 막는 방어 기술도 함께 진화하는 쫓고 쫓기는 흐름은 당분간 계속될 가능성이 높다.
다만 분명한 건, 지금이 제도적으로도 사회적 인식으로도 하나의 전환점에 서 있다는 점이다. 법이 강화되고 기업의 경각심이 높아진 지금이야말로, 개인정보 보호를 부담스러운 규제가 아니라 인공지능 시대를 함께 살아가기 위한 기본 조건으로 받아들일 때가 아닐까 싶다. 내 정보가 어디에, 어떻게 쓰이고 있는지 한 번쯤 관심을 가져보는 것에서 그 시작을 찾아볼 수 있을 것 같다.
답글 남기기