개인정보보호위원회가 AI 에이전트와 관련된 개인정보 보호 기준 마련을 위한 민관 협의회를 개최했습니다. 국내외 AI 도입 기관 15곳을 인터뷰한 결과, 프롬프트 인젝션(외부 공격자가 AI에 악의적인 명령을 삽입하는 기법)과 AI에 부여된 과도한 권한이 주요 보안 위험으로 지목됐습니다. AI가 자율적으로 처리할 수 있는 업무 범위와 사람이 직접 승인해야 하는 영역의 경계를 명확히 해야 한다는 의견이 제시됐습니다. AI 시스템의 로그·메모리에 남는 개인정보의 보관 및 파기 기준도 새로 마련될 예정입니다. 개인정보위는 논의 결과를 올해 말 공개할 '에이전틱 AI 개인정보 처리 안내서'에 반영할 계획입니다.
개인정보보호위원회가 'AI 프라이버시 민·관 정책협의회' 제2차 전체회의를 개최해 AI 에이전트의 개인정보 보호 기준을 논의했다.
프롬프트 인젝션 공격과 AI 에이전트의 과도한 권한 부여가 개인정보 침해 위험으로 확인됐으며, 현행 규제 체계가 AI 환경에 적합하지 않다는 문제가 드러났다.
AI 에이전트가 자율적으로 방대한 개인정보를 처리·저장하는 환경에서 권한 범위, 책임 주체, 데이터 파기 기준 등 명확한 규범이 부재한 상황이다.
개인정보위는 AI 에이전트의 권한 설정, 참여 주체별 책임, 로그·메모리 내 개인정보 보관·파기 기준을 담은 '에이전틱 AI 개인정보 처리 안내서'를 올해 말 공개할 예정이다.
AI 에이전트를 도입·운영 중인 기업은 프롬프트 인젝션 대응 방안과 AI에 부여된 권한 최소화(최소 권한 원칙) 여부를 점검하고, 곧 발표될 안내서에 맞춰 내부 기준을 정비할 준비가 필요하다.
본문
개인정보보호위원회가 인공지능(AI) 에이전트의 권한 설정과 개인정보 관리 기준을 논의했다. AI가 자율적으로 수행할 업무의 범위, 참여 주체별 책임, 개인정보 보관·파기 기준 등이 주요 과제로 제시됐다.
개인정보위는 23일 서울 은행회관에서 'AI 프라이버시 민·관 정책협의회' 제2차 전체회의를 개최했다.
김병필 카이스트 교수는 정책협의회 1분과 활동의 일환으로 지난 7~8월 국내외 AI 개발·도입 기관 15곳을 대상으로 진행한 현장 인터뷰 결과를 발표했다. 인터뷰 참여 기관들은 프롬프트 인젝션(prompt injection)과 AI 에이전트에 부여되는 과도한 권한을 주요 개인정보 보호 위험 요인으로 꼽았다.
참여 기관들은 AI의 자율 수행과 사람의 승인 사이에 경계를 설정하고, AI 개발·도입 과정에 참여하는 주체의 지위와 책임을 명확히 해야 한다는 의견을 냈다. AI의 로그·메모리에 남는 개인정보의 보관·파기 기준도 필요하다고 제안했다.
최윤정 개인정보위 개인정보보호정책과장은 AI 시대에 맞춘 개인정보 제도 혁신 방향을 소개했다. 개인정보위는 국민의 권리 보호에 미치는 영향은 적으면서 데이터 활용을 제약하는 형식적 규제를 개선하고, AI 환경에 필요한 규범을 마련할 계획이다.
이어진 토의에서는 AI 데이터 확보·활용을 위한 개인정보 처리 근거의 유연화, AI 개인정보 활용 특례의 운영 방안, 실질적인 안전장치와 책임 구조 등이 논의됐다. 개인정보위는 논의 결과를 올해 말 공개 예정인 가칭 '에이전틱 AI 개인정보 처리 안내서'와 제도 혁신 방안에 반영할 예정이다.
송경희 개인정보위원장은 "민관이 협력해 합리적이고 균형 잡힌 AI 개인정보 규율체계를 마련해 나가겠다"고 말했다.
한편, 개인정보보호위원회는 인공지능의 편익과 위험성을 고려한 규율체계를 민관 공동으로 마련하기 위해 2023년 10월 'AI 프라이버시 민·관 정책협의회'를 출범했다. 정책협의회는 올해 2월 에이전트·피지컬 AI 분야 전문성을 강화하는 방향으로 개편됐다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
