갤럭시 Z 시리즈 AI 비서, 개인정보 기반 맞춤형 서비스의 개인정보보호 과제

핵심 요약

- 삼성전자 갤럭시 Z 시리즈에 에이전트형 AI 비서 '나우 브리프' 탑재, 사용자 일상·관심사·패턴 기반 맞춤형 서비스 제공 - 일정·뉴스·헬스 등 개인화 기능과 함께 개인정보보호 알림·보안 업데이트 정보 통합 제공 - AI 에이전트의 광범위한 개인정보 수집·분석·활용에 따른 프라이버시 보호 체계 및 투명성 확보가 핵심 과제로 대두

주요 내용

삼성전자가 2026년 갤럭시 Z 시리즈 스마트폰에 에이전트형 AI 비서 '나우 브리프(Now Brief)'를 적용하며 AI를 스마트폰의 핵심 기능으로 전면 배치했다. 나우 브리프는 단순 명령 수행을 넘어 사용자의 일상 패턴, 관심사, 기기 사용 이력을 종합 분석해 일정 관리, 뉴스 큐레이션, 건강 정보 등 맞춤형 서비스를 선제적으로 제공하는 에이전트 AI 기술을 구현했다.

특히 주목할 점은 개인정보보호 관련 알림과 보안 업데이트 정보를 AI 비서가 직접 사용자에게 전달하는 통합 보안 관리 기능이다. 이는 AI가 단순 편의 기능을 넘어 개인정보 보호 에이전트로서 역할을 확장했음을 의미한다. 그러나 이러한 기능 구현을 위해서는 위치정보, 일정, 연락처, 앱 사용 이력, 건강 데이터 등 광범위한 개인정보를 AI가 지속적으로 수집·분석해야 한다는 점에서 프라이버시 이슈가 제기된다.

에이전트형 AI 비서는 전통적인 앱 중심 아키텍처와 달리 다양한 데이터 소스를 횡단적으로 접근하고 통합 분석하는 구조를 가진다. 이는 개인정보 처리의 목적·범위·보관기간이 명확히 구분되던 기존 방식과 달리, AI 모델 학습과 추론 과정에서 데이터가 혼합·재가공되며 처리 경계가 모호해지는 특성을 보인다. 따라서 개인정보 처리 방침의 투명성 확보, 사용자 동의 체계의 구체화, 데이터 최소 수집 원칙 준수가 더욱 중요해졌다.

2026년 현재 AI기본법 시행과 함께 개인정보보호위원회는 AI 시스템의 개인정보 처리에 대한 감독을 강화하고 있다. 삼성전자와 같은 글로벌 제조사들은 EU AI Act, 미국 주 단위 AI 규제와 함께 한국의 개인정보보호법·AI기본법 요구사항을 동시에 충족해야 하는 과제를 안고 있다.

전문가 시각

에이전트형 AI 비서는 개인정보보호 관점에서 두 가지 핵심 과제를 제기한다. 첫째, AI의 자율적 판단과 행동 범위가 확대되면서 개인정보 처리의 '예측 가능성'과 '통제 가능성'을 어떻게 보장할 것인가의 문제다. 사용자가 명시적으로 요청하지 않은 상황에서도 AI가 선제적으로 데이터를 분석하고 서비스를 제공하는 구조는, 전통적인 '목적 명확성' 원칙과 충돌할 수 있다. ISMS-P 관점에서는 AI 처리 로직의 문서화, 데이터 플로우 맵핑, 처리 이력 로깅이 필수적이며, 사용자에게 AI 처리 내역을 조회하고 제어할 수 있는 인터페이스 제공이 요구된다.

둘째, 온디바이스 AI 처리와 클라우드 기반 처리의 경계 설정 문제다. 민감한 개인정보는 기기 내에서만 처리하고 클라우드로 전송하지 않는다는 원칙이 중요하지만, 실제 구현에서는 모델 업데이트, 성능 개선을 위한 데이터 수집 등의 목적으로 일부 데이터가 외부 전송될 수 있다. 제조사는 개인정보 영향평가(PIA)를 통해 데이터 전송 범위와 보호조치를 명확히 공개하고, 사용자에게 온디바이스 전용 모드 선택권을 제공하는 등 프라이버시 바이 디자인(Privacy by Design) 원칙을 적극 구현해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(PIA) 대상: AI 비서와 같이 대규모 개인정보를 자동 수집·분석하는 시스템은 개인정보보호법 제33조에 따른 개인정보 영향평가 의무 대상이다. 특히 민감정보(건강정보 등) 처리, 프로파일링, 자동화된 의사결정이 포함되면 필수 수행 대상이 되며, 평가 결과에 따라 기술적·관리적 보호조치를 구현해야 한다.

처리 목적 명확화 및 최소 수집 원칙: ISMS-P 인증기준 2.3.1(개인정보 수집 시 동의)에서는 수집 목적을 명확히 고지하고 필요 최소한의 정보만 수집하도록 규정한다. AI 비서의 경우 '서비스 개선'이라는 포괄적 목적이 아니라, '일정 추천', '뉴스 큐레이션' 등 구체적 기능별로 처리 목적과 수집 항목을 분리 명시하고, 사용자가 기능별로 동의를 선택할 수 있도록 세분화된 동의 체계 구축이 필요하다.