빅테크 AI 경쟁, 비공개 데이터 확보전으로 확산… 개인정보 유출 우려 증폭

핵심 요약

- 빅테크 기업들이 AI 에이전트 개발을 위해 기업 기밀, 개인정보 등 비공개 데이터 확보 경쟁에 돌입 - 파산 항공사 이메일 등 민감정보가 AI 학습 데이터로 활용되면서 개인정보 유출 우려 증가 - AI 학습 과정에서 비식별화 불충분, 재식별 위험, 목적외 활용 등 개인정보보호법 위반 가능성 제기

주요 내용

2026년 현재 빅테크 기업들의 AI 경쟁이 새로운 국면을 맞고 있다. 공개 데이터를 활용한 범용 AI 개발 단계를 넘어, 실질적인 업무 수행이 가능한 AI 에이전트 구현을 위해 비공개 데이터 확보전이 본격화되고 있다. 특히 파산한 항공사의 고객 이메일, 기업 내부 문서, 의료기록 등 민감한 정보가 AI 학습 데이터로 거래되면서 개인정보보호 측면의 우려가 커지고 있다.

동국대 개인정보보호대학원 황석진 교수는 "AI 에이전트가 필요로 하는 비공개 데이터는 기업 내부의 기밀이나 개인정보 등 민감한 자료가 대부분이라, 학습 과정에서 개인정보 유출이 발생할 우려가 있는 것이 사실"이라고 지적했다. 실제로 AI 에이전트는 맥락을 이해하고 복잡한 업무를 수행하기 위해 실제 업무 데이터, 고객 상담 기록, 거래 내역 등 구체적이고 민감한 정보를 학습해야 하는 특성이 있다.

문제는 이러한 데이터 확보 과정에서 정보주체의 동의 없이 개인정보가 수집·활용되거나, 파산·폐업 기업의 데이터가 제3자에게 무분별하게 이전되는 사례가 발생할 수 있다는 점이다. 특히 파산 절차에서 데이터가 자산으로 취급되어 매각될 경우, 원래 수집 목적과 전혀 다른 AI 학습 용도로 활용되면서 개인정보보호법상 목적 외 이용 금지 원칙을 위반할 가능성이 높다.

또한 AI 학습 데이터로 활용되는 과정에서 비식별 조치가 불충분하거나, 다른 데이터와 결합하여 재식별될 위험도 상존한다. AI 모델이 학습한 개인정보가 프롬프트 인젝션 등 공격 기법을 통해 추출되거나, 모델 출력 과정에서 의도치 않게 학습 데이터가 노출되는 '기억 공격(Memorization Attack)' 사례도 보고되고 있다.

전문가 시각

ISMS-P 인증 심사 실무 관점에서 볼 때, AI 학습 데이터로 비공개 정보를 활용하는 기업은 개인정보 영향평가(PIA)를 반드시 수행해야 한다. 특히 ① 학습 데이터의 수집·이용 적법성 검토 ② 비식별 조치의 적정성 평가 ③ AI 모델 출력 시 개인정보 노출 방지 대책 ④ 학습 완료 후 원본 데이터 삭제 정책 등을 명확히 수립해야 한다. 또한 제3자로부터 데이터를 제공받는 경우, 제공자의 수집 근거와 제공 동의 여부를 반드시 확인하는 실사(Due Diligence) 절차가 필요하다.

바이브 코딩(Vibe Coding) 환경에서 AI가 자동 생성한 코드에 학습 데이터 접근 로직이 포함될 경우, 개인정보 무단 접근 취약점이 발생할 수 있다. 예를 들어 AI가 생성한 데이터베이스 쿼리 코드에 적절한 접근 통제나 암호화 로직이 누락되면, 비공개 학습 데이터가 그대로 노출될 위험이 있다. 따라서 AI 보조 개발 환경에서는 ① 생성 코드의 개인정보 접근 권한 검증 ② 민감정보 처리 시 암호화·마스킹 적용 여부 확인 ③ 로그 기록 시 개인정보 포함 여부 점검 등 보안 코드 리뷰를 필수화해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(Privacy Impact Assessment)
개인정보를 활용한 새로운 서비스(AI 학습 포함) 도입 시 사전에 개인정보 침해 요인을 분석·평가하는 제도. 특히 민감정보, 고유식별정보, 100만 명 이상 정보를 처리하는 경우 의무 대상이며, AI 학습 데이터 활용 시 비식별 적정성, 재식별 위험, 목적 적합성 등을 중점 평가해야 한다.

목적 외 이용·제공 제한 원칙
개인정보보호법 제15조, 제17조에 따라 수집 당시 명시한 목적 범위 내에서만 개인정보를 이용·제공할 수 있으며, 목적 외 활용 시 별도 동의 또는 법령상 근거가 필요. 파산 기업 데이터를 원래 수집 목적(항공 서비스)과 무관한 AI 학습에 활용하는 것은 명백한 목적 외 이용으로 법 위반에 해당한다.