에이전틱 AI 개인정보 보호, 권한과 보관 기준이 먼저예요

AI를 활용하여 생성한 이미지입니다.

개인정보보호위원회가 9월 30일 에이전틱 AI 시대, 개인정보는 어떻게 보호할까요?라는 카드뉴스를 공개했어요. 개인정보위는 9월 23일 열린 인공지능 프라이버시 민·관 정책협의회 2기 제2차 전체회의에서 에이전틱 AI의 프라이버시 이슈와 제도 혁신 방향을 논의했다고 설명했어요.^[1]

이번 자료에서 눈에 띄는 쟁점은 세 가지예요. AI에 부여되는 권한이 너무 넓어지는 문제, 악의적인 명령어가 들어오는 문제, 개인정보를 언제까지 보관하고 어떻게 파기할지 정하는 문제예요.^[1] 에이전틱 AI를 단순한 질문·답변 도구로만 보면 놓치기 쉬운 부분이에요.

에이전틱 AI에서 권한이 왜 달라질까

일반적인 챗봇은 사용자가 질문하고 답을 받는 흐름이 중심이에요. 반면 에이전틱 AI는 여러 단계를 이어서 처리하거나 외부 도구를 호출하는 형태로 설계될 수 있어요. 이때 중요한 것은 AI가 얼마나 똑똑한지가 아니라, 어떤 계정과 데이터에 접근할 수 있도록 연결했는지예요.

예를 들어 일정 관리, 메일 검색, 파일 정리 기능을 한 번에 연결했다면 편리함은 커지지만 실수의 범위도 넓어져요. 사용자가 한 문장으로 요청했다고 해도, 에이전트가 그 문장을 해석해 여러 작업을 이어서 실행할 수 있기 때문이에요. 개인정보위가 과도한 권한을 주요 과제로 제시한 이유도 여기에 있어요.^[1]

악의적인 명령어는 어디에서 들어올까

명령어는 사용자가 직접 입력한 문장만 뜻하지 않아요. 웹페이지, 첨부 문서, 이메일, 검색 결과처럼 AI가 읽는 자료 안에도 지시문이 섞일 수 있어요. 자료를 읽는 단계와 실제 작업을 실행하는 단계를 분리하지 않으면, AI가 외부 문장의 지시를 사용자의 명령처럼 받아들일 가능성이 생겨요.

일반 이용자는 서비스를 쓸 때 연결된 권한 목록을 먼저 봐야 해요. 파일을 읽기만 하는지, 수정·삭제도 가능한지, 메일을 보내거나 구매를 실행할 수 있는지에 따라 위험이 달라져요. 서비스가 권한을 한꺼번에 요구한다면, 기능을 켜기 전에 꼭 필요한 권한인지 확인하는 편이 좋아요.

보관과 파기 기준도 기능만큼 중요해요

AI 서비스에 개인정보를 입력하면 답변이 끝난 뒤에도 기록이 남을 수 있어요. 대화 기록, 작업 로그, 업로드 파일, 연결 서비스의 실행 기록이 서로 다른 기간 동안 저장될 수도 있고요. 개인정보위는 개인정보 보관·파기 기준을 주요 논의 과제로 제시했고, 올해 말 공개 예정인 에이전틱 AI 개인정보 처리 안내서와 제도 혁신방안에 논의 결과를 반영할 계획이라고 밝혔어요.^[1]

아직 안내서가 공개되기 전인 만큼, 현재 자료만으로 모든 서비스의 보관 기간을 판단할 수는 없어요. 사용자는 서비스 약관과 개인정보 처리방침에서 보관 기간, 학습 이용 여부, 삭제 방법, 제3자 제공 여부를 따로 확인해야 해요. 대화 삭제 버튼이 있다고 해서 백업이나 법정 보관 기록까지 즉시 사라진다고 단정해서도 안 돼요.

지금 확인할 설정

• 연결된 앱과 계정의 권한을 기능별로 나눠요.
• 파일 읽기와 파일 수정·삭제 권한을 구분해요.
• 외부 문서를 읽은 뒤 자동 실행하는 기능은 신중하게 켜요.
• 개인정보가 들어간 대화와 파일의 보관 기간을 확인해요.
• 삭제 요청과 계정 해지 절차가 따로 있는지 살펴봐요.

이번 개인정보위 자료는 특정 제품의 안전성을 인증한 발표가 아니에요. 민관 협의회에서 어떤 위험을 먼저 다루고 있는지 알려주는 정책 신호에 가까워요. 올해 말 안내서가 나오면 권한 관리와 보관·파기 기준이 실제 서비스 운영에 어떻게 반영되는지 다시 확인할 필요가 있어요.

출처

• PIPC