"AI 기술 자체 규제하는 방식으로 위협 막기 어려워"
"향후 신뢰성 충족 AI 모델 중심으로 시장 재편될 것"
"향후 신뢰성 충족 AI 모델 중심으로 시장 재편될 것"
|
지난해 쿠팡의 대규모 개인정보 유출 사고에 이어 최근 KT·티빙 등 개인정보 유출 사고가 잇따르고 있다. 연이은 대규모 개인정보 유출사고 속에서 '위반 기업에 전체 매출의 최대 10%까지 징벌적 과징금을 부과'하는 개정된 개인정보보호법이 오는 9월 시행을 앞두고 있다.
법무법인(유) 바른의 디지털자산&IT팀 팀장을 맡고 있는 최진혁 변호사는 "정책 방향을 고려하면 실제 개인정보 유출 사고 발생 시 가장 중요하게 평가될 요소는 기업이 얼마나 안전성 확보 조치를 마련했는지, 또 해당 조치가 제대로 작동하고 있었는지 여부가 될 것"이라고 말했다. 사이버 보안을 위협하는 기술이 이를 방어하는 기술보다 빠르게 발전하고 있는 점을 고려한다면 '해킹을 막지 못했다'는 사실보다 '기업이 사이버 보안을 위해 노력할 수 있는 부분에 대해 신경쓰지 않았거나 놓친 경우'가 문제로 대두될 가능성이 높아졌다는 것이다.
다만 그는 "기업 스스로 개인정보 관리·감독을 하도록 한다는 점에서 현행 제도는 상당한 의미를 갖지만 모든 책임이 기업에 집중되는 형태가 무조건 바람직한 구조라고 보기는 어렵다"고 지적했다. 해킹으로 인해 개인정보가 유출되면 정보의 주체가 되는 국민뿐만 아니라 기업 역시 피해자로 볼 수 있다는 취지에서다. 최 변호사는 "개인정보를 안전히 관리해야 할 일차적 의무가 기업에 있긴 하지만 기업의 2차 피해를 방지하는 방안도 필요하지 않을까 싶다"며 "개인정보보호위원회와 한국인터넷진흥원이 범죄 추적을 위한 기술적 지원을 해주거나 과징금 일부를 정보 주체에 대한 구제나 사이버보안 위협을 방지하기 위한 기업 지원에 활용할 수 있도록 법적으로 명시하는 방안도 고려될 수 있으면 한다"고 덧붙였다.
정부가 이번 달을 '정보보호의 달'로 지명하면서 AI 시대의 정보보호에 대한 관심이 더욱 높아지고 있다. 특히 올해 1월부터 국가 차원의 AI 산업 진흥 등을 목적으로 도입된 AI 기본법에 따라 기업들의 대응 전략이 더욱 중요해졌다.
최 변호사는 "국민의 기본권에 영향을 미치고 위험성이 큰 AI를 '고영향 AI'로 분류하고 있으나 기업이 자율적으로 본인들의 서비스가 이에 해당하는지를 판단하도록 하고 있어 어려움을 겪고 있다"며 "이를 판단하는 기준이 추상적이므로 기업들은 지속적인 관리를 위한 내부 프로세스를 정립하고 책임지는 구조를 마련해야 한다"고 했다. 그러면서 "향후 법이 요구하는 신뢰성 등을 충족한 AI 모델을 중심으로 시장이 재편될 것"이라며 "특히 법률 AI 등 신뢰성이나 컴플라이언스 구축이 쉬운 일부 분야에서의 AI 확대가 기대된다. 범용 AI와 특화 AI가 각각의 법적 요건과 관리 체계를 갖추며 시장을 주도하는 형태로 발전해 갈 것"이라고 내다봤다.
최 변호사는 날이 갈수록 고도화하고 있는 사이버 보안 위협에 대해 "AI를 활용해 누구나 사이버 해킹을 할 수 있는 상황이 됐을 뿐만 아니라 몇 년간 잠복해 데이터를 훔쳐 가는 형태의 범죄도 증가하고 있는 상태"라고 진단했다. 아울러 이러한 상황에서 AI 기술 자체를 규제하는 방식으로는 빠르게 진화하는 사이버 위협을 막기 어렵다고 봤다.
그는 AI의 부적절한 활용을 막기 위한 추가 정책이 필요하다는 데에는 동의했지만 AI 산업 자체가 위축되는 방향으로 정책이 진행돼서는 안 된다고 강조했다. 최 변호사는 일례로 동일한 명령을 입력하더라도 생성형 AI별로 내부 통제가 달라 상이한 답변을 내놓는 점을 들면서 "저작권이 있는 콘텐츠 복제나 딥페이크 제작 요구 등 AI를 악용하는 사례들을 강하게 통제할 수 있도록 기업 내부 규제가 이뤄져야 하고 정부 차원에서도 AI 개발 업체에 의무를 보다 명확히 부과하는 내용을 명문화해야 한다"며 "기업과 정부가 함께 관련 가이드라인을 마련해야 할 필요가 있다"고 했다.
