스스로 일하는 AI, 어디까지 맡길까…개인정보위 논의의 세 가지 쟁점

AI가 자료를 찾아 답하는 데서 더 나아가 스스로 과업을 수행할 때, 어디까지 맡기고 어느 단계에서 사람의 승인을 받아야 할까. 개인정보보호위원회가 9월 23일 공개한 민·관 정책협의회 논의에서는 AI에 주는 권한과 작업 과정에 남는 개인정보가 주요 과제로 제시됐다. 관련 안내서는 올해 말 공개할 예정이라고 밝혔다.

개인정보위는 이날 오후 은행회관에서 AI 프라이버시 민·관 정책협의회 2기 제2차 전체회의를 열었다. 이 기사는 개인정보위의 회의 발표자료를 토대로 논의 범위와 한계를 정리했다. 인터뷰 원자료를 별도로 분석하거나 참석자에게 직접 취재한 결과는 아니다.

15개 기관의 의견이 말해주는 것

발표에 소개된 인터뷰는 2026년 7~8월 국내외 AI 개발·도입 기관 15곳을 대상으로 진행됐다. 개인정보 처리의 위험요인과 현장에서 느끼는 법적 불확실성 등을 파악하기 위한 조사다. 회의와 자료 공개는 9월이며, 인터뷰가 이뤄진 시기와 다르다.

참여 기관들은 AI에 필요 이상으로 넓은 권한이 주어지는 문제와 프롬프트 인젝션을 주요 위험요인으로 꼽았다. 프롬프트 인젝션은 입력에 악의적인 지시를 끼워 넣어 AI가 의도하지 않은 행동을 하도록 유도하는 공격을 뜻한다.

다만 15곳이라는 숫자는 인터뷰 대상 기관 수다. 전체 이용자의 피해 비율이나 AI 서비스의 사고 발생률을 뜻하지 않는다. 공개 보도자료에는 개별 응답 전문과 항목별 응답 빈도가 제시돼 있지 않다. 특정 위험을 모든 기관이 같은 정도로 경험했다고 해석할 근거도 이 자료만으로는 부족하다.

승인·책임·보관을 나눠 보는 이유

현장 의견에는 AI의 자율 실행과 사람의 승인 사이 경계, 참여 주체별 책임, 로그와 메모리에 담긴 개인정보의 보관·파기 기준이 필요하다는 내용이 포함됐다. 여기서 로그는 작업 과정의 기록, 메모리는 이후 작업에 활용하기 위해 남기는 정보를 이해하는 출발점이 된다.

교육 현장에서 이 논의를 읽을 때도 질문을 나눠볼 수 있다. 가령 학습자료를 정리하는 도구를 검토한다면, 어떤 자료에 접근하도록 할지와 그 자료로 어떤 작업을 실행하게 할지는 서로 다른 확인 항목이다. 결과물을 누가 확인하는지, 작업이 끝난 뒤 어떤 정보가 남는지도 별도로 살펴볼 수 있다. 이는 논의의 쟁점을 교육 상황에 적용해 본 예시이며, 이번 회의에서 특정 학교나 제품을 조사했다는 뜻은 아니다.

연말 안내서는 아직 예정

개인정보위는 논의 결과를 올해 말 공개 예정인 가칭 ‘에이전틱 인공지능 개인정보 처리 안내서’와 제도 혁신방안에 반영할 계획이라고 설명했다. 이번 발표 자체를 완성된 안내서나 새 의무가 즉시 시행됐다는 공지로 받아들여서는 안 된다.

협의회에는 학계뿐 아니라 산업계·법조계·시민단체 등이 참여한다. 현장에서 제기한 요구와 정부가 최종 확정한 기준 역시 구분할 필요가 있다. AI 도구를 배우는 교육에서는 기능 설명과 함께 권한·승인·기록 관리에 관한 질문을 다룰 수 있다. 구체적인 제도 내용은 추후 공개되는 최종 자료에서 다시 확인해야 한다.