개인정보 보호의 답을 법 조문에서 기술로 옮긴다 — 11월 5일 개인정보 기술포럼 공개토론회

결론부터. 개인정보보호위원회가 2026년 11월 5일 서울 호텔 프레지던트에서 「제4기 개인정보 기술포럼」 공개토론회를 열고, 인공지능(AI) 시대의 개인정보 보호 해법을 "규정을 더 촘촘히 쓰는 것"이 아니라 "기술로 데이터를 쓸모 있게 바꿔 놓는 것"에서 찾겠다고 밝혔다. 발표의 무게중심은 새 규제가 아니라 개인정보보호 강화기술, 줄여서 PET(Privacy Enhancing Technology)다. 가명처리·익명처리, 합성데이터, 동형암호처럼 개인을 특정할 수 없게 만든 상태에서 데이터를 분석하게 하는 기술들을 한데 묶은 말이다. 행사는 14시 30분부터 17시 30분까지 3시간 동안 발제 3건과 패널토론으로 진행됐다. 이 글에서 다루는 것은 이 공개토론회 내용과 위원장 발언, 그리고 그 바탕이 되는 제도 구조다.

왜 지금 이 논의가 나왔나

우리 개인정보 법체계의 기본축은 오랫동안 "동의"였다. 이용자가 체크박스를 누르면 그때부터 처리가 허용된다. 그런데 AI는 이 구조를 흔든다. 대화 기록, 위치, 결제 내역, 외부 서비스에서 받아온 정보를 한데 엮어 답을 만드는 서비스에서는 "이 정보를 이런 목적으로 쓴다"는 목록을 실행 전에 확정하기가 사실상 불가능하다. AI 비서(에이전트)가 사람을 대신해 예약과 결제를 처리하고, 로봇(피지컬 AI)이 카메라와 센서로 공간을 읽는 단계로 넘어가면 수집 지점과 활용 지점의 거리는 더 벌어진다.

동의 항목을 늘리면 보호가 강화될 것 같지만 실제로는 반대라는 지적이 이어져 왔다. 항목이 많아지면 사람은 읽지 않고 넘어간다. 그래서 위원회가 택한 방향은 "받을 때 더 엄격하게"가 아니라 "쓰는 과정에서 안전하게"다. 송경희 개인정보위 위원장은 이날 "인공지능 기술의 혁신을 지원하면서 신뢰 기반의 개인정보 보호체계를 구축하기 위해서는 사전예방 보호체계와 함께 개인정보 보호 강화 기술의 발전이 뒷받침되어야 한다"고 말했다. 사전예방 보호체계, 즉 규칙과 심사만으로는 부족하다는 말을 정면으로 한 셈이다.

토론회에서 다뤄진 세 가지 발제

이날 발표는 공격 대응, 에이전트의 책임, 표준화라는 세 방향으로 나뉘어 진행됐다. 아래 캡처는 보도자료 원문 화면이다.

개인정보보호위원회 「제4기 개인정보 기술포럼」 공개토론회 보도자료 원문 화면 — 정책브리핑(korea.kr) 화면 캡처

첫 발제는 김진국 ㈜플레인비트 대표가 "AI가 바꾸는 사이버공격의 경제학과 개인정보보호 대응 전략"을 주제로 맡았다. 요지는 공격자의 비용이 내려가면 방어 역시 자동화와 기술 역량으로 맞서야 한다는 것이다. 발표는 개인정보 유출사고에 대비하기 위해 PET을 기반으로 한 AI 역량을 강화할 필요성을 제기했다.

두 번째는 최대선 숭실대학교 교수가 "AI 에이전트가 대신 일하는 시대, 개인정보 보호의 빈틈과 대응방향"을 주제로 발표했다. 사람이 클릭하지 않아도 AI가 대신 처리하는 환경에서, "누가 책임지고 누가 통제하는가"라는 기존 원칙이 어디서 무너지는지를 짚고 해결 방향을 모색했다. 세 번째는 신현덕 한성대학교 교수의 "AI 에이전트 시대의 개인정보 보호와 표준화"로, AI 에이전트의 프라이버시 보호를 위한 국제표준 발전 방향이 주제였다. 이어진 패널토론은 "AI 시대, 개인정보 보호와 안전한 데이터 활용을 위한 PET의 역할과 향후 과제"를 주제로 열렸다.

PET는 정확히 무엇을 하는 기술인가

보도자료는 PET를 가명·익명처리 기술, 합성데이터, 동형암호 등을 통칭하는 말로 정의한다. 세 가지는 작동 방식이 전혀 다르고, 그래서 용도도 다르다. 가명처리는 이름·주민번호 같은 식별자를 다른 값으로 바꿔 개인을 바로 알아볼 수 없게 만드는 방식이다. 원본과 대조표만 있으면 다시 특정할 수 있으므로, 내부 활용에는 적합하지만 외부 공개용으로는 약하다.

합성데이터는 실제 사람의 기록 대신 통계적 특성만 닮은 가짜 데이터를 만들어 학습·실험에 쓰는 방법이다. 원본을 아예 내보내지 않아도 되지만, 원본의 패턴을 너무 잘 따라가면 특정 개인이 역추적될 수 있다는 연구 결과가 있다. 동형암호는 암호화된 상태 그대로 계산할 수 있게 하는 기술로 이론적으로 가장 강력하지만, 계산 비용이 커서 실무 적용 범위가 아직 좁다. 즉 PET는 하나의 만능 열쇠가 아니라, 데이터를 어디까지 열어줄지에 따라 골라 쓰는 도구 상자다. 발표들이 "역량 강화"와 "표준화"를 함께 말한 이유도 여기에 있다.

누가 무엇을 얻고 무엇을 잃는가

기업은 데이터 활용의 여지를 얻는다. 원본 대신 가명·합성 데이터를 쓰면 개인정보 처리 근거를 매번 새로 받지 않고도 분석과 서비스 개선을 이어갈 수 있고, 유출 사고가 났을 때 피해 범위도 줄어든다. 반대로 PET 도입 비용, 기술 검증, 도입 후 효과를 입증할 책임이라는 새 부담을 진다. 중소기업에는 이 초기 비용이 진입 장벽이 될 수 있다.

이용자는 원본이 덜 돌아다니는 환경을 얻는다. 다만 가명처리와 합성데이터는 "내 정보가 어디에 쓰이는지"에 대한 통제권을 늘려주는 기술이 아니다. 오히려 데이터가 안전하게 쓰인다는 명분으로 활용 범위가 넓어질 수 있어, 통제권과 보호 수준은 다른 축이라는 점을 기억해야 한다.

감독기관은 사후 제재에서 사전 기술 심사·인증 쪽으로 역할이 옮겨간다. 이는 새로운 권한이자, 어떤 기술을 "충분히 안전하다"고 볼지 판단 기준을 마련해야 하는 부담이다. 학계·표준화 기관은 기술 검증과 국제표준 정합성 확보라는 과제를 얻는다.

통념과 다른 지점

흔한 통념은 "개인정보 보호는 결국 규제 강화의 문제"라는 것이다. 이번 발표는 방향을 반대로 잡았다. 규제를 더하는 대신 데이터 자체를 안전한 형태로 바꾸는 기술에 투자하겠다는 것이다. 비용 구조도 뒤집힌다. 규제 강화는 기업에 준수 비용을 지우지만, 기술은 한 번 갖추면 반복 활용되므로 활용 범위가 넓을수록 상대 비용이 내려간다.

또 하나, 이번 행사의 주제어가 "보호"와 "활용" 두 단어를 한 줄에 놓았다는 점이다. 통상 개인정보 논의에서 두 단어는 긴장 관계로 서술되는데, 위원회는 PET를 통해 양립 가능하다는 전제를 공식화했다. 반대로 말하면, PET가 실제로 작동하지 않으면 이 전제 자체가 흔들린다는 뜻이기도 하다.

반론과 한계

첫째, 이날 공개된 것은 정책 결정이 아니라 논의다. 새 법령, 시행일, 지원 예산, 인증 기준은 보도자료에 없다. PET 도입을 의무화할지, 지원할지, 인증할지는 확인되지 않음. 둘째, PET의 알려진 한계 — 재식별 위험, 합성데이터의 원본 누출, 동형암호의 연산 비용 — 에 대한 대응 방안도 이 자료에는 담기지 않았다. 셋째, 포럼은 민간 전문가 중심의 자문·논의 채널로, 구속력 있는 결정 기구가 아니다. 넷째, 중소기업과 개인이 이 기술 생태계에 어떤 비용으로 참여하게 되는지는 확인되지 않음.

독자가 확인할 것

일반 이용자에게 당장 신청할 절차는 없다. 대신 내 정보를 처리하는 서비스가 어떤 보호 조치를 쓰는지 약관과 개인정보 처리방침에서 확인해 두는 것이 실질적인 대응이다. 기업 담당자라면 자사 데이터 처리 흐름 가운데 원본이 외부로 나가는 지점을 먼저 목록화하고, 그 지점부터 가명처리나 합성데이터로 대체할 수 있는지 검토하는 것이 순서다. PET 도입 전에는 반드시 재식별 가능성을 자체 또는 외부 검증으로 확인해야 한다.

사료의 한계

이 글의 근거는 개인정보보호위원회가 배포한 보도자료 원문이다. 보도자료는 정부의 입장을 정리한 1차 사료로, 정책의 필요성과 방향은 자세히 담지만 반대편 시각은 거의 담기지 않는다. PET 의무화에 반대하는 산업계, 기술의 재식별 위험을 지적하는 연구자, 초기 비용 부담을 우려하는 중소기업의 목소리는 이 문서에 없다. 토론회 발제 내용 역시 발표자 요지 수준으로 요약돼 있어, 발표의 전제와 반론은 원 자료를 따로 확인해야 한다.

참고 자료

· 개인정보보호위원회, 「에이전트·피지컬 인공지능(AI) 시대의 개인정보 보호, 기술에서 해법 찾는다」, 2026년 11월 5일(보도시점 16:00, 배포 10:00). 담당: 개인정보정책국 신기술개인정보과(02-2100-3068). 공동: 한국인터넷진흥원 신기술기획평가팀.

· 원문: 정책브리핑(korea.kr) 보도자료

· 행사: 「제4기 개인정보 기술포럼」 공개토론회, 2026. 11. 5.(목) 14:30~17:30, 호텔 프레지던트(서울 중구). 주제 "에이전트·피지컬 AI 시대, 개인정보 보호 기술과 안전활용 방안".

여러분은 AI가 대신 일하는 환경에서, 내 정보에 대한 통제와 데이터 활용 중 어느 쪽을 더 중요하게 볼 것인가.