최근 에이전트 AI와 같은 새로운 AI 서비스의 개인정보 처리 기준과 리스크 관리 방안을 구체화할 계획이다. 개인정보위가 올해 연두업무보고에서 직접 언급한 내용이다. 기준이 없는 채로 서비스가 먼저 확산되는 상황을 제도가 따라가겠다는 신호다. Epnc
챗봇과 에이전트 AI는 개인정보 처리 구조가 다르다
챗봇은 사람이 직접 입력하고 직접 결과를 받는다. 처리 시점이 명확하고, 처리 범위가 대화 맥락으로 한정된다.
에이전트 AI는 다르다. 지시를 받은 뒤 스스로 도구를 선택하고 외부 시스템에 접근하며 단계적으로 작업을 수행한다. 이메일을 열람하고 캘린더를 조회하고 외부 API를 호출하는 과정에서 개인정보가 처리된다. 사람이 매 단계에 개입하지 않는다.
이 구조는 세 가지 측면에서 기존 개인정보 처리 체계와 충돌한다. 처리 경계가 불명확하고, 수집 목적 범위를 넘는 정보에 접근할 수 있으며, 처리 주체와 책임 귀속이 흐릿해진다.
현장에서 이미 쓰이고 있다
업무 자동화, 고객 응대, 문서 처리에 에이전트 AI가 도입되는 속도가 빠르다. 기준이 나오기를 기다리는 것이 현실적이지 않은 상황이다.
지금 할 수 있는 것은 에이전트 AI가 접근할 수 있는 데이터 범위를 설계 단계에서 최소화하는 것, 에이전트의 처리 행위가 로그로 남도록 구성하는 것, 처리 결과물에 개인정보가 포함될 경우 보유·파기 기준을 사전에 정하는 것이다.
담당자가 지금 가져가야 할 질문
우리 조직에서 도입하거나 검토 중인 에이전트 AI 서비스가 어떤 시스템에 접근하는가. 그 접근 과정에서 처리되는 개인정보의 범위를 파악하고 있는가. 해당 서비스 공급사의 개인정보 처리 방식을 위탁 관점에서 검토했는가.
기준이 나오기 전에 이 질문을 먼저 던지는 것이, 기준이 나온 후 부랴부랴 대응하는 것보다 훨씬 덜 비싸다.