송경희 위원장 "AI 시대, 일일이 동의 불가능… 깐깐한 규제가 글로벌 무기 될 것"

[이데일리 김현아 안유리 기자] AI 시대를 맞아 개인정보 보호의 기준도 바뀌고 있다. 생성형 AI를 넘어 AI 에이전트와 피지컬 AI가 일상에 들어오면서 사람이 일일이 동의하는 기존 방식만으로는 AI가 자율적으로 정보를 주고받는 환경을 감당하기 어려워졌기 때문이다.

개인정보보호위원회도 모든 상황을 법령으로 규율하기보다 가이드라인을 통해 현장의 불확실성을 줄이고, 사고가 발생한 뒤 처벌하는 방식에서 사전 예방 중심으로 정책의 무게중심을 옮기고 있다.

송경희 개인정보보호위원장은 “AI 시대에는 기술 발전을 막는 규제보다 안전하게 활용할 수 있도록 돕는 것이 중요하다”며 “개인정보 보호 수준을 높이는 것이 오히려 우리 AI 산업의 글로벌 경쟁력이 될 수 있다”고 강조했다.

지난 7일 송 위원장을 만나 AI 시대 개인정보 보호의 새로운 기준과 데이터 활용, 해킹 대응 등 주요 정책 방향을 들어봤다.

송경희 개인정보보호위원회 위원장. [이데일리 이영훈 기자]

“딱딱한 법령보다 가이드라인”…현장의 불확실성 줄인다

-AI 규제를 법령보다 가이드라인 중심으로 가져가면 기업 입장에서는 오히려 규제의 예측 가능성이 떨어질 수 있다는 우려도 있습니다. 가이드라인이 필요한 이유는 무엇입니까?

“AI 기술이라는 게 향후 어떤 결과가 적용되고 나타날지에 대해 아직 시나리오 베이스가 많잖아요. 모든 것을 법령으로 묶어버리면 현장의 다양한 상황에 적용하기 어렵고 오히려 혁신을 저해할 수 있습니다. 기술이 빠르게 변하는 만큼 신속성과 유연성 측면에서는 가이드라인 형태가 지금은 좀 맞고, 불가피한 것 같습니다. 전 세계적으로도 마찬가지고요. 우선 가이드를 줘서 지키게 하면서 점차 현장에 정착시켜 나가고, 그중 정말 규제가 필요한 것은 고시나 훈령, 나아가 법령에 1차적으로 반영하는 형태로 가려고 합니다. 현장의 불확실성을 최대한 줄여주려는 겁니다.”

-최근 국회를 통과한 ‘AI 학습용 개인정보 활용 특례’는 기업의 데이터 활용 폭을 넓힐 수 있는 조항입니다. 보호와 활용 사이의 균형은 어떻게 잡을 계획입니까?

“실제로 그 의미를 다 아시는 분들은 정말 이게 굉장히 혁신적인 조항이라는 걸 잘 알 거예요. 미국의 네거티브 규제나 유럽의 제한적인 규제 샌드박스와 비교해도, 우리는 이걸 좀 혁신적으로 실제로 쓰겠다고 하면서 동시에 안전조치도 균형 있게 가져가겠다는 접근입니다. 현장에서 정말 의미 있고 혁신적인 일들이 일어나도록 이 규정이 작동하게 하려는 것이 핵심입니다.”

송경희 개인정보보호위원회 위원장. [이데일리 이영훈 기자]

“AI가 알아서 정보 주고받는 시대…건건이 동의는 불가능”

-AI 에이전트가 사람 대신 정보를 주고받고 스마트 안경 같은 피지컬 AI가 일상화되면, 지금처럼 이용자에게 건건이 동의를 받는 방식은 한계가 분명해 보입니다. 개인정보 보호 방식도 바뀌어야 하지 않습니까?

“그렇습니다. 에이전트가 알아서 다른 멀티 에이전트하고 막 일을 하면서 내 정보를 어디까지 넘길지 알 수 없는 상황이 생기잖아요. 현실적으로 건건이 동의를 받는 방식은 불가능에 가깝습니다. 결국 서비스를 처음 기획하고 설계하는 단계부터 프라이버시 침해를 최소화하는 ‘설계에 의한 프라이버시 보호(Privacy by Design·PbD)’를 적용할 필요가 있습니다. 전문가들과 함께 위험 요인을 파악해 안내서를 만드는 작업을 진행하고 있습니다. 스마트 안경 같은 피지컬 AI도 마찬가지입니다. 내가 쓰면서 남을 찍는 주체일 수 있지만, 또 다른 사람한테는 내가 찍히는 제3자잖아요. 언제든지 입장은 서로 바뀔 수 있습니다. 그래서 제3자가 촬영을 인지할 수 있게 하고, 필요하면 거부할 수 있는 선택권을 주는 최소한의 안전장치와 이용자 수칙이 매우 중요합니다.”

마이데이터 전송요구권…“음성화된 스크래핑을 양성화로”

-기존 스크래핑(웹사이트에서 정보를 자동으로 가져오는 방식)에 의존해온 서비스들은 전송요구권 시행으로 사업 방식을 바꿔야 합니다. 서비스 중단이나 이용자 불편 우려도 있는데, 어떻게 연착륙시킬 계획입니까?

“그전에는 대리인이 동의만 받으면 아이디와 패스워드로 다 들어가서 스크래핑을 해왔습니다. 얼마나 긁어가는지 알 수도 없고 밖으로 드러나는 게 없으니 통제가 전혀 안 됐죠. 8월 20일부터 ‘콜드 터키’ 식으로 절대 안 된다고 한 게 아닙니다. 이미 ‘사전 협의’라는 걸 둬서 단계적 전환을 준비해놨습니다. 핵심은 음성화된 것을 양성화로 끌어내는 거예요. 누가 내 정보를 얼마나 가져가는지 수요를 파악하고, 서로 약속된 방식으로 스크래핑을 해가면서 API 개발 등 준비가 되면 국민 불편 없이 스무스 트랜지션이 가능하도록 유도하는 겁니다. 8월 20일은 그 첫 번째 관문입니다.”

송경희 개인정보보호위원회 위원장. [이데일리 이영훈 기자]

해킹 사고 제재…“불가항력 인정하되, 책임 비례한 투자는 필수”

-9월 11일부터 과징금이 전체 매출액의 10%까지로 상향돼 기업들이 우려하기도 합니다. 사고 발생 사실과 기업의 관리 책임은 어떻게 구분합니까?

“도둑을 100% 막을 수 없는 것처럼 불가항력적이고 예측하기 어려운 사고들은 당연히 있고, AI 위협 때문에 그 가능성은 더 높아집니다. 하지만 법상 안전조치라는 건 규모를 가리지 않는 ‘최소한의 기준’이에요. 수천만 명의 방대한 정보를 다루는 대형 기업들은 고객이 믿고 정보를 준 만큼 최소 기준보다 더 많은 보안 투자를 해줘야 합니다. 이런 위험에 비례해 더 많은 선제적 투자를 한 데는 최고 40%까지 투자 감경 제도를 신설했습니다. 사고가 나더라도 신속하게 회복 조치를 한 곳은 2차로 최고 40%까지 더 감경됩니다. 형식적인 자율 인증표가 아니라 실질적으로 얼마나 투자를 했느냐를 보고 보상하겠다는 실용주의적 접근입니다.”

-반대로 사고 이후 로그 기록을 은닉하거나 폐기하는 행위에는 어떻게 대응할 계획입니까?

“은닉이나 폐기라는 건 의도성이 들어가는 거잖아요. 사고를 처음 인지한 시점이나 아직 공식 조사가 시작되기 전이라 할지라도 관련 기록을 숨기거나 지우는 것은 명백히 고의성을 의심받을 수밖에 없습니다. 먼저 자진 신고한 기업은 온갖 비난을 받고 불이익을 받는데, 은닉하고 폐기해 법망을 피해 간 곳이 오히려 득을 보는 비정상적인 관행은 반드시 타파해야 합니다.”

송경희 개인정보보호위원회 위원장. [이데일리 김영훈 기자]

규제기관의 딜레마…“현장과 공식적으로 소통하겠다”

-개인정보위는 기업을 조사하고 처분하는 규제기관입니다. 기업 입장에서는 위원회와 소통하는 것 자체가 부담스러울 수도 있는데요. 규제기관과 기업 간 거리를 어떻게 좁힐 생각입니까?

“우리 위원회가 처분을 내리는 기관이다 보니 그 독립성과 공정성이 매우 중요합니다. 조사 파트에서는 이해관계자 접촉을 엄격하게 관리할 수밖에 없죠. 하지만 정책을 만들기 위해서는 현장의 활발한 소통이 필수적입니다. 현장 간담회, 기술 포럼, 조찬 모임 등 공식적인 창구를 최대한 많이 열어두고 있습니다. 앞으로 사업자 쪽의 의견을 수렴하는 자리를 더욱 활발히 만들어 나가겠습니다.”

“깐깐한 개인정보 보호 수준이 곧 AI 글로벌 경쟁력”

-데이터의 국경 이동이 활발해지는 상황에서 우리나라의 강한 개인정보 보호 수준이 오히려 AI 산업의 경쟁력이 될 수 있다고 보십니까?

“갈수록 기술의 기능보다 ‘제대로 믿고 안전하게 쓸 수 있나’가 가장 중요한 척도가 됩니다. 우리나라의 깐깐한 개인정보 보호 수준은 국제적인 평가가 높아 국가 간 데이터 이전 협의를 하기가 굉장히 좋습니다. 한국에서 요구되는 신뢰도가 높기 때문에, 한국 법의 적용을 받아 여기서 만들어지고 성공한 서비스는 대외적으로 ‘안전하고 믿을 만하다’는 든든한 증표가 됩니다. 이것이 우리 기업이 해외로 진출할 때 가장 중요한 글로벌 경쟁력이 될 것입니다.”

◆ 송경희 개인정보보호위원회 위원장

△1966년 전남 고흥 출생 △전남대 영어영문학과 △서울대 행정학 석사 △하버드대 행정학 석사 △연세대 경영학(기술경영) 박사 △행정고시 39회 △과학기술정보통신부 소프트웨어정책관 △과기정통부 인공지능기반정책관 △대통령 직속 4차산업혁명위원회 지원단장 △과기정통부 지식재산전략기획단장 △성균관대 인공지능융합원 인공지능신뢰성센터장 △개인정보보호위원회 위원장(현)