프롬프트 인젝션·과도한 권한이 위험 요인
개인정보보호위원회가 사람 대신 스스로 판단해 일을 처리하는 에이전틱 AI의 개인정보 기준을 연말까지 내놓습니다. 프롬프트 인젝션과 과도한 권한 부여를 대표 위험 요인으로 꼽고, 자율 처리 범위와 사람 승인 범위를 나누는 방향을 담을 예정이에요.
개인정보위는 23일 서울 은행회관에서 ‘인공지능(AI) 프라이버시 민·관 정책협의회 2기 제2차 전체회의’를 열고 이 같은 논의를 진행했다고 밝혔습니다. 에이전틱 AI는 단순히 정보를 알려주는 데 그치지 않고 스스로 목표를 세워 실행하는 AI를 말해요.
이날 회의에서는 김병필 한국과학기술원(KAIST) 교수가 국내외 AI 개발·도입기관 15곳을 대상으로 지난 7∼8월 진행한 현장 인터뷰 결과를 발표했습니다. 참여 기관들이 가장 많이 꼽은 위험 요인은 AI 입력에 악의적인 명령어를 몰래 끼워 넣어 의도하지 않은 동작을 유도하는 ‘프롬프트 인젝션’과, 에이전틱 AI에 지나치게 넓은 권한을 주는 관행이었어요. 심부름을 맡긴 사람이 아닌 다른 쪽지가 슬쩍 끼어들어 심부름 내용을 바꾸는 셈이죠.
현장에서는 AI가 혼자 처리해도 되는 업무와 사람의 승인이 필요한 업무의 경계를 정하고, 개발자와 서비스 제공자 등 참여 주체별 지위와 책임을 분명히 해야 한다는 의견이 나왔습니다. AI의 로그와 메모리에 남는 개인정보를 언제까지 보관하고 어떻게 지울지에 대한 기준도 필요하다는 제안이 함께 나왔어요.
제도 정비 일정도 구체적입니다. 개인정보위는 형식적인 규제를 합리적으로 개선하는 한편 AI 환경에 맞는 보호 규범을 신속히 마련할 계획입니다. AI 데이터 확보를 위한 개인정보 처리 근거를 유연하게 운영하고, AI 개인정보 활용 특례를 합리적으로 운영하는 방안도 논의됐어요.
AI 개인정보 활용 특례는 가명·익명 정보만으로는 AI 개발이 어렵고 공익·사회적 필요성이 인정되는 경우, 강화된 안전조치와 개인정보위 심의·의결을 전제로 적법하게 수집한 개인정보를 AI 개발에 쓸 수 있게 하는 제도예요. 이를 담은 개정 개인정보 보호법은 내년 3월 9일 시행됩니다. 기업 입장에서는 약 6개월 뒤 적용될 기준선이 미리 공개되는 셈이죠.
송경희 개인정보위원장은 “국민 편익을 가져오는 기술 발전은 충분히 뒷받침하면서 국민의 프라이버시를 비롯한 권리와 안전을 함께 지켜나가야 기술이 지속 가능할 수 있다”며 “민관이 협력해 합리적이고 균형 잡힌 AI 개인정보 규율체계를 마련하겠다”고 말했습니다.
이번 기준이 실제 서비스에 미칠 영향은 권한 설계에서 갈릴 것으로 보여요. 결제와 예약, 메시지 발송까지 대신 처리하는 에이전트가 늘수록 기업은 어떤 권한을 어디까지 열어줄지, 로그를 얼마나 남기고 언제 지울지를 설계 단계에서 정해야 하거든요. 연말 안내서는 규제 문서라기보다 서비스 기획서에 붙일 체크리스트에 가까운 성격이 될 가능성이 큽니다.
이번 변화는 AI 규제의 무게 중심이 모델 개발에서 서비스 운영으로 옮겨가고 있다는 신호로 읽혀요. 내년 3월 법 시행과 연말 안내서 공개가 겹치면, 국내에서 에이전트 서비스를 준비하는 기업들은 개인정보 동의 동선과 권한 위임 절차를 한 차례 다시 짜야 할 겁니다. 다음 관전 포인트는 연말 안내서에 담길 구체적인 승인 절차와 로그 보관 기준이에요.
- 원문: 연합뉴스 — “프롬프트 인젝션·과도한 권한 위험”…에이전틱 AI 기준 만든다
- 보조 출처: 전자신문 — 개인정보위, 민관 정책협의회 개최
- 작성: sw4u 9시뉴스 안나영 / 2026-09-23 21:15