송경희 위원장은 최근 ‘글로벌 AI 프라이버시 포럼’에서 발언을 통해 AI가 활용되는 미래 사회에서 개인정보 보호에 대한 새로운 방향성을 제시하였다. AI 에이전트의 부상은 개인정보 관리 방식을 크게 변화시킬 가능성을 가지고 있으며, 이는 기업과 규제기관 모두에게 새로운 도전 과제를 제시한다.

현재의 개인정보 보호 체계에서 주요 문제점은 일회성 동의 메커니즘을 중심으로 설계된 것이라는 점이다. 이용자가 처음에 동의한 후 AI 시스템이 그 데이터를 어떻게 사용하고 있는지를 통제하는 수단이 부족함을 강조하였다. 송 위원장은 이러한 상황에서 기업들에 대해 지속적인 책임성을 요구한다. 즉, AI가 부여받은 권한과 정보를 어떻게 사용하고 있는지 운영 과정에서 계속해서 감독하고 이를 문서화하여 입증해야 한다는 것이다.

AI 에이전트가 다양한 개인 데이터에 접근할 수 있게 되면, 어떤 정보에 접근하고 그로 인해 무엇을 할지를 적절히 관리하는 것이 필수적이라는 의견도 나온다. 기존의 동의 버튼 누르기 방식은 AI가 점차 발전함에 따라 실질적인 통제권을 제공하지 못하는 것으로 지적되고 있다. 반복된 동의 요구는 이용자들에게 피로감을 유발할 뿐, 보호 수준을 높이지 못한다.

송 위원장은 예를 들어 출장 일정을 관리하는 AI 시스템의 경우 캘린더 접근 권한만 부여하고 의료기록에는 접근하지 않도록 하거나, 전자결제와 같이 큰 영향을 미칠 수 있는 행위는 인간의 확인이 필요하다고 제안한다. AI가 사용한 정보와 그에 따른 결정 과정을 기록하여 운영 중 문제를 감지할 수 있도록 하는 것도 중요하다고 하였다.

개인정보위는 연내 내놓을 AI 에이전트 관련 가이드라인에서 권한 위임, 외부 도구 연결, 메모리 및 로그 관리 등을 다룰 계획이다. 이를 통해 기업들이 법 적용 여부와 관계없이 서비스 개발과 출시 전에 충분한 보호 조치를 마련하도록 장려하고자 한다.

포럼에서는 AI 기술의 활용을 저해하지 않으면서도 개인정보 보호 기준을 확립하는 것이 중요하다는 의견도 나왔다. 메타의 프라이버시 정책 부사장 스테파노 프라타는 AI 시스템에 따른 위험이 서로 다르기 때문에 규제 범주도 이용 사례의 위험 수준에 맞춰 설정되어야 한다고 설명하였다. 마이크로소프트 CPO 캐리 벤은 기업 내부 절차와 기술적 보호조치, 그리고 이를 감독할 인력의 필요성을 강조하며 자사의 ‘책임 있는 AI 표준’과 개인정보 보호 영향평가를 예로 들었다.

국제적으로는 규제기관들이 서로 경험을 공유하며, 특히 소규모 기업과 기관의 시행착오를 줄이고자 하는 데 중점을 두는 것이 필요하다. 캐나다 개인정보보호위원회 위원장 필립 뒤프렌은 이러한 국제적 공조의 중요성을 강조했다. AI 시대에 맞춘 개인정보 보호 기준은 단순한 제약이 아닌 유연하고 효과적인 보호 조치로 발전해야 하며, 이는 AI 기술의 건강한 성장을 동시에 가능하게 할 것이다.