정부, 피지컬 AI·에이전틱 AI 시대 개인정보 보호 기준 새로 짠다

• 정부가 2027년부터 2029년까지의 개인정보 보호 정책 방향을 새로 잡았음

  • 개인정보보호위원회가 경제관계장관회의에서 ‘제3차 개인정보 보호 기본계획’을 발표함
  • 비전은 ‘신뢰받는 개인정보 환경, 안심하고 누리는 AI 사회’이고, 앞으로 3년간 개인정보 정책의 큰 설계도 역할을 함

• 핵심 방향은 일률 규제에서 ‘위험 비례’ 규제로 옮겨가는 것임

  • 모든 기업과 서비스에 같은 기준을 들이대기보다, 위험 수준에 따라 보호 수준을 다르게 적용하겠다는 얘기임
  • 기업의 데이터 활용은 지원하되, 개인정보 유출 예방과 책임은 더 세게 묻는 구조로 가겠다는 신호임

• 이번 계획에서 제일 눈에 띄는 건 피지컬 AI와 에이전틱 AI를 정면으로 언급했다는 점임

  • 피지컬 AI는 로봇, 자율주행, 스마트 디바이스처럼 현실 세계에서 계속 정보를 수집하는 AI를 말함
  • 에이전틱 AI는 사용자를 대신해 판단하고 행동하는 자율형 AI라서, 개인정보 처리 책임이 누구에게 있는지부터 복잡해짐
  • 정부는 피지컬 AI의 상시 정보 수집에 대한 권리보장, 위험평가, 보호 기준을 새로 만들겠다고 밝힘

• AI 전환 과정에서 기업들이 겪는 불확실성을 줄이기 위한 장치도 들어감

  • ‘AX 안심지원센터’를 운영해 AI 전환 과정의 개인정보 처리 이슈를 지원하겠다고 함
  • 안전조치를 전제로 AI 학습에 불가피한 개인정보 원본 활용을 허용하는 AI 특례도 병행 검토함
  • 딥페이크 같은 데이터 변조 방지와 AI 투명성 확보 제도화도 추진 대상임

• 개인정보 보호 정책의 무게중심은 사후 처벌에서 사전 예방으로 이동함

  • 고위험 분야와 취약 분야를 대상으로 상시 점검 체계를 강화함
  • AI 보안점검 제도화도 추진하고, ISMS-P 인증과 평가체계에 AI 기술을 접목해 기준과 절차를 손본다고 함
  • 공공·민간을 막론하고 “터지고 나서 조사”보다 “터지기 전에 점검” 쪽으로 운영 방식이 바뀌는 셈임

• 기업 책임은 당근과 채찍을 같이 쓰는 방향임

  • 개인정보 보호에 선제 투자한 기업에는 유출 과징금 감면 같은 인센티브를 확대함
  • 반대로 관리 의무를 소홀히 한 사업자에는 이행강제금 도입과 개인정보 불법 유통 형사처벌 근거 신설을 추진함
  • CEO 책임을 강화하고 개인정보보호책임자(CPO)의 위상도 높이겠다고 밝힘

• 중소기업에는 사고 이후 복구와 컨설팅을 지원하는 ‘회복력’ 중심 체계가 붙음

  • 개인정보 유출 사고가 났을 때 복구 기술 지원과 맞춤형 컨설팅을 제공하는 방식임
  • 보안 전담 인력이 부족한 중소기업 입장에선 규제 강화만이 아니라 지원 체계도 같이 봐야 함

• 범정부 개인정보 보호 체계도 정비함

  • 통신, 교육, 고용처럼 개인정보 위험이 큰 분야는 소관 부처와 공동 관리함
  • 조기경보체계와 중복 규제 정비도 추진해 부처별로 따로 노는 개인정보 규율을 줄이겠다는 계획임

• 국경 간 데이터 이전도 더 유연하게 만들겠다고 함

  • 이미 마련된 한국·유럽연합 상호 동등성 인정 체계에 이어 영국, 일본, 미국 등과 맞춤형 데이터 이전 협력을 확대함
  • 표준계약조항(SCC), 구속력 있는 기업규칙(BCR) 같은 안전한 국외 이전 수단도 넓힘
  • 생성형 AI, 클라우드, 글로벌 공동연구를 생각하면 이 부분은 국내 기업의 AI 개발 환경과 바로 연결됨

---

기술 맥락

• 이번 계획의 기술적 포인트는 개인정보 규제가 웹서비스 중심에서 AI 시스템 전체로 넓어진다는 점이에요. 피지컬 AI는 카메라, 센서, 위치정보처럼 현실 데이터를 계속 모으기 때문에 기존 앱 권한 모델만으로는 설명이 잘 안 되거든요.

• 에이전틱 AI가 까다로운 이유는 처리 주체가 흐려지기 때문이에요. 사용자가 시킨 일인지, 서비스가 설계한 자동화인지, AI가 중간에 선택한 행동인지에 따라 책임 구조가 달라질 수 있어서 정부가 이 부분을 따로 보겠다고 한 거예요.

• AI 학습용 개인정보 원본 활용 특례도 개발팀이 봐야 할 지점이에요. 원본 데이터를 허용할 수 있다는 말만 보면 완화처럼 보이지만, 전제는 안전조치라서 접근통제, 익명·가명 처리, 로그 관리 같은 운영 설계가 더 중요해질 가능성이 커요.

• ISMS-P와 AI 보안점검을 연결하겠다는 대목은 인증이 문서 작업에서 끝나지 않을 수 있다는 신호예요. 모델 학습 데이터, 에이전트 권한, 외부 도구 호출, 국외 클라우드 이전까지 점검 항목으로 들어오면 AI 제품의 아키텍처 리뷰 자체가 개인정보 컴플라이언스와 붙게 돼요.