청소년 94% AI 챗봇 이용하지만 개인정보 보호장치 부재…부처별 분산 규율 한계

핵심 요약

- 국내 청소년 94%가 AI 챗봇을 이용하지만 개인정보 보호, 온라인 안전, 교육, 정신건강을 통합 관리할 법적 안전장치 부재 - 현행 규율 체계는 과기정통부, 교육부, 여성가족부, 보건복지부 등으로 분산돼 AI 환경 아동·청소년 보호에 한계 - AI 챗봇 활용이 급증하는 교육 현장에서 개인정보 수집·처리, 알고리즘 편향, 부적절 콘텐츠 노출 등 복합적 위험 증가

주요 내용

2026년 현재 국내 청소년의 94%가 AI 챗봇을 사용하고 있지만, 이들을 보호할 통합적 안전장치가 없다는 분석이 나왔다. 최근 발표된 보고서에 따르면 "AI 환경에서 아동·청소년 보호는 개인정보, 온라인 안전, 교육, 정신건강 등 여러 영역이 결합된 문제"지만, 현행 규율 체계는 개별 법률과 과학기술정보통신부, 교육부, 여성가족부, 보건복지부 등으로 분산돼 있어 실효성 있는 보호가 어렵다는 것이다.

특히 ChatGPT, Gemini 등 생성형 AI의 교육 활용이 확산되면서 청소년들의 대화 내용, 학습 데이터, 행동 패턴 등 민감한 개인정보가 AI 플랫폼에 대량 수집되고 있다. 디지털새싹, 사이버가디언즈, Build with AI 등 정부 주도 AI·코딩 교육 프로그램에서도 AI 도구 활용이 일반화되고 있으나, 14세 미만 아동의 법정대리인 동의, 개인정보 최소 수집 원칙, 목적 외 이용 제한 등 개인정보보호법상 보호조치가 제대로 이행되지 않는 사례가 빈번하다.

바이브 코딩(Vibe Coding) 환경에서 청소년들이 AI의 자연어 지시만으로 코드를 생성할 때도 위험이 존재한다. AI가 자동 생성한 코드에 SQL 인젝션, XSS(크로스사이트스크립팅), 인증·인가 미비, 경쟁조건(Race Condition) 등 보안 취약점이 포함될 수 있으며, 청소년 개발자들이 이를 검증 없이 그대로 사용할 경우 개인정보 유출, 무단 접근 등 심각한 보안 사고로 이어질 수 있다. 바이브 해킹(Vibe Hacking)은 AI 챗봇의 프롬프트 조작을 통해 보안 통제를 우회하거나 부적절한 응답을 유도하는 공격 기법으로, 청소년들이 의도치 않게 유해 콘텐츠에 노출되거나 개인정보를 과다 제공하도록 유도될 위험이 있다.

현행 개인정보보호법, 정보통신망법, 아동·청소년의 성보호에 관한 법률 등은 개별 영역별로 보호 규정을 두고 있으나, AI 챗봇이라는 새로운 서비스 형태에서 발생하는 복합적 위험을 통합적으로 관리하기에는 한계가 있다. 2024년 제정된 AI기본법도 거버넌스 원칙을 제시하지만 아동·청소년 특화 보호조치는 미흡하며, 부처 간 협업 체계도 명확하지 않다는 지적이다.

전문가 시각

ISMS-P 인증심사 현장에서 보면, 교육 기관이나 에듀테크 기업들이 AI 챗봇을 도입하면서 개인정보 영향평가(PIA)를 생략하거나 형식적으로 수행하는 사례가 많다. 특히 ChatGPT API 등 외부 AI 서비스 연동 시 제3자 제공 동의, 국외 이전 고지, 위탁 계약서 작성 등 법정 의무사항이 누락되는 경우가 빈번하다. 청소년이 AI 챗봇과 주고받은 대화 내용에는 가족 관계, 학업 성적, 진로 고민, 건강 정보 등 민감정보가 포함될 수 있으며, 이는 개인정보보호법 제23조(민감정보 처리 제한)에 따라 별도 동의가 필요하다. 그러나 대부분의 AI 챗봇 서비스는 포괄적 동의만 받고 있어 법적 리스크가 크다.

바이브 코딩 기반 청소년 코딩 교육에서는 AI가 생성한 코드의 보안 검증 프로세스를 필수화해야 한다. LLM(대규모언어모델)이 생성한 코드는 학습 데이터의 편향, 오래된 라이브러리 사용, 보안 모범사례 미적용 등 구조적 취약점을 내포할 수 있다. 교육 현장에서는 ① AI 생성 코드의 보안 취약점 자동 스캐닝 도구(SAST/DAST) 활용, ② 개인정보 처리 로직 수동 검토 의무화, ③ 하드코딩된 인증정보·API키 탐지, ④ 입력값 검증·출력 인코딩 등 보안 코딩 원칙 교육을 병행해야 한다. 정부는 부처별로 분산된 AI·아동 보호 정책을 AI기본법 하위 특별법 형태로 통합하고, ISMS-P 인증 기준에 '청소년 대상 AI 서비스' 특화 통제 항목을 신설할 필요가 있다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(PIA) 대상 판단: 14세 미만 아동을 포함해 100만 명 이상의 정보주체를 대상으로 AI 챗봇 서비스를 제공하거나, 민감정보·고유식별정보를 처리하는 경우 개인정보보호법 제33조에 따라 개인정보 영향평가를 수행해야 한다. AI 챗봇이 수집하는 대화 내용, 학습 패턴 데이터가 개인정보에 해당하는지, 목적 외 이용(프로파일링·마케팅)이 발생하는지를 사전 평가해야 한다.

정보보호 최고책임자(CISO) 책임 범위: ISMS-P 인증 기준 1.1.2(경영진 책임)에 따라 교육 기관이나 AI 서비스 사업자의 CISO는 AI 챗봇 도입 시 발생할 수 있는 개인정보 유출, 알고리즘 편향, 부적절 콘텐츠 노출 등의 위험을 식별하고, 기술적·관리적 보호조치(접근통제, 암호화, 로그 관리, 모니터링)를 수립·이행할 책임이 있다. 특히 청소년 대상 서비스는 법정대리인 동의 확보, 가명·익명 처리, 보유기간 최소화 등 강화된 통제가 요구된다.