구글 TabFM 발표…표 데이터 AI 자동 분석 시 개인정보 보호 과제 부각

핵심 요약

- 구글이 2026년 7월 표 형식 데이터(tabular data) 처리를 위한 파운데이션 모델 TabFM을 발표하며 제로샷(zero-shot) 학습 기능 제공 - 엑셀, CSV 등 표 형식에 담긴 개인정보가 AI 모델에 자동 입력될 경우 비식별화·접근통제 미비 등 보안 취약점 발생 가능 - AI 자동 데이터 분석 환경에서 개인정보 처리 투명성 확보와 AI 기본법 준수가 새로운 컴플라이언스 과제로 부상

주요 내용

구글 리서치는 2026년 7월 표 형식 데이터를 위한 파운데이션 모델 TabFM(Tabular Foundation Model)을 공개했다. TabFM은 별도의 학습 없이 다양한 표 형식 데이터에 대해 예측·분류·분석 작업을 수행하는 제로샷 학습 능력을 갖췄다. 기존 머신러닝 모델이 각 데이터셋마다 별도 학습이 필요했던 것과 달리, TabFM은 사전 학습된 지식을 활용해 즉시 다양한 표 데이터를 처리할 수 있다는 점이 특징이다.

이 기술은 기업 환경에서 엑셀, CSV, 데이터베이스 테이블 등에 저장된 고객정보, 인사정보, 거래내역 등을 신속하게 분석할 수 있는 가능성을 열었다. 그러나 개인정보보호 관점에서는 새로운 위험 요소를 동반한다. 표 데이터에는 이름, 주민등록번호, 연락처, 금융정보 등 민감한 개인정보가 포함되는 경우가 많은데, AI 모델에 자동으로 입력될 경우 비식별화 처리 누락, 목적 외 이용, 제3자 제공 동의 미확보 등의 문제가 발생할 수 있다.

특히 '바이브 코딩(Vibe Coding)' 환경에서 개발자가 자연어 프롬프트만으로 데이터 분석 코드를 생성할 때, AI가 자동 생성한 코드에 개인정보 접근통제 로직이 누락되거나 SQL 인젝션 등 보안 취약점이 포함될 위험이 있다. TabFM과 같은 자동화 모델이 프롬프트 기반으로 표 데이터를 처리할 경우, 생성된 코드가 개인정보 처리 최소화 원칙을 준수하는지, 암호화·가명처리가 적용됐는지 사전 검증이 필수적이다.

2026년 현재 AI 기본법 시행을 앞두고 있는 한국에서는 고위험 AI 시스템에 대한 영향평가 의무화가 논의되고 있다. TabFM처럼 개인정보를 포함한 표 데이터를 대량으로 처리하는 AI 모델은 개인정보 영향평가(PIA)와 AI 영향평가를 통합적으로 수행해야 할 가능성이 크다. 또한 AI 모델이 생성한 분석 결과의 설명가능성(Explainability) 확보가 개인정보 처리의 투명성 원칙 준수를 위해 필수적이다.

전문가 시각

ISMS-P 관점에서 TabFM과 같은 표 데이터 처리 AI 모델 도입 시 개인정보 생명주기 전 단계에서 통제 방안을 마련해야 한다. 특히 2.7.1(개인정보 수집 시 동의) 및 2.7.3(개인정보 최소 수집) 통제항목과 관련하여, AI 모델에 입력되는 데이터의 수집 목적 명시와 최소화 원칙 적용 여부를 사전 검토해야 한다. 바이브 코딩 방식으로 데이터 분석 파이프라인을 구축할 경우, AI가 생성한 코드에 대한 보안 코드 리뷰 절차를 필수화하고, 개인정보 처리 로직에 대한 수동 검증 단계를 추가하는 것이 실무적 대응 방안이다.

AI 자동 생성 코드의 보안 취약점은 크게 ① 입력값 검증 누락으로 인한 SQL 인젝션, ② 개인정보 접근 시 인증·권한 검증 미비, ③ 병렬 처리 시 경쟁조건(race condition)으로 인한 데이터 누출, ④ 로그 기록 시 평문 개인정보 노출 등 네 가지 유형으로 분류된다. TabFM 같은 표 데이터 AI 도입 시에는 프롬프트 엔지니어링 단계에서 "개인정보는 가명처리 후 분석", "민감정보 컬럼 제외" 등의 보안 요구사항을 명시적으로 포함하고, 생성된 코드에 대해 SAST(정적 분석) 도구를 활용한 자동 취약점 스캔을 수행해야 한다. 또한 AI 모델 자체의 학습 데이터에 개인정보가 포함됐을 가능성을 고려해 모델 출처 및 학습 데이터셋의 개인정보 포함 여부를 공급자에게 확인하는 절차가 필요하다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 영향평가(PIA) 대상 확대 ISMS-P 2.2.4(개인정보 영향평가) 통제항목에 따라, 5만 명 이상 정보주체의 민감정보·고유식별정보를 처리하는 정보시스템에 TabFM과 같은 AI 자동 분석 모델을 적용할 경우 사전 영향평가가 필수다. AI 모델의 데이터 처리 로직, 비식별화 수준, 재식별 위험 등을 평가 항목에 포함해야 한다.

2. 자동화된 개인정보 처리의 투명성 확보 개인정보보호법 제37조(개인정보의 안전성 확보조치)와 연계하여, AI 모델이 자동으로 생성한 데이터 분석 결과에 대해 정보주체가 처리 내역을 확인할 수 있는 설명가능성(Explainability) 메커니즘을 구현해야 한다. TabFM의 제로샷 학습 방식은 블랙박스 특성이 강하므로, 모델 해석 기법(SHAP, LIME 등)을 활용한 의사결정 근거 제시가 컴플라이언스 핵심 요소다.