AI 범죄 대응 범부처 협의체 출범…개인정보보호위·경찰청 등 합동 대응 체계 구축

핵심 요약

- 방송미디어통신위원회 주관으로 공정위, 개인정보보호위, 식약처, 경찰청 등이 참여하는 'AI 범죄 대응 범부처 협의체'가 2026년 6월 26일 공식 출범 - AI 딥페이크, 개인정보 침해, 사기 등 AI 기술을 악용한 범죄에 대한 정부 차원의 통합 대응 체계 본격 가동 - AI 기본법 시행(2024년 8월) 이후 실질적인 AI 거버넌스 집행 체계 구축의 중요한 이정표

주요 내용

방송미디어통신위원회(위원장 김종철)는 지난 26일 'AI 범죄 대응 범부처 협의체' 킥오프 회의를 개최하고, AI 기술을 악용한 범죄에 대한 범정부 차원의 공동 대응 체계를 본격 가동한다고 밝혔다. 이번 협의체에는 방송미디어통신위원회를 비롯해 공정거래위원회, 개인정보보호위원회, 식품의약품안전처, 경찰청 등 주요 규제·집행 기관들이 참여한다.

협의체는 AI 딥페이크를 활용한 허위정보 유포, 생성형 AI를 이용한 개인정보 대량 수집 및 오남용, AI 챗봇 기반 보이스피싱, AI 자동 생성 코드를 통한 사이버 공격 등 다양한 유형의 AI 범죄에 대한 통합 대응 방안을 마련할 예정이다. 특히 개인정보보호위원회는 AI 서비스의 개인정보 처리 과정에서 발생하는 프라이버시 침해 사례를 집중 모니터링하고, 경찰청은 AI 기술을 악용한 범죄 수사 역량을 강화하는 역할을 맡는다.

이번 협의체 출범은 2024년 8월 시행된 AI 기본법 이후 실질적인 AI 거버넌스 집행 체계를 구축한다는 점에서 의미가 크다. AI 기본법은 AI 개발·활용의 기본 원칙과 규제 프레임워크를 제시했지만, 실제 AI 범죄 대응을 위해서는 각 부처의 전문성을 결집한 협력 체계가 필수적이었다. 협의체는 분기별 정례회의를 통해 AI 범죄 동향을 공유하고, 긴급 사안 발생 시 즉각 대응팀을 구성하는 등 기동성 있는 운영 방안을 마련했다.

방송미디어통신위원회 관계자는 "AI 기술의 급속한 발전으로 새로운 유형의 범죄가 지속적으로 등장하고 있어 범정부 차원의 통합 대응이 필수적"이라며 "특히 개인정보 침해와 직결된 AI 범죄에 대해서는 개인정보보호위원회와 긴밀히 협력해 선제적으로 대응하겠다"고 밝혔다.

전문가 시각

ISMS-P 선임심사원 관점에서 이번 협의체 출범은 AI 시대 개인정보보호 거버넌스의 중요한 전환점이다. 특히 주목할 부분은 생성형 AI와 코드 자동 생성 도구(바이브 코딩)가 보안 취약점을 양산할 수 있다는 점이다. ChatGPT, GitHub Copilot 등 AI 코딩 보조 도구가 자동 생성한 코드에는 SQL 인젝션, 인증 우회, 개인정보 평문 저장 등 전형적인 보안 취약점이 포함될 가능성이 높다. 실제로 2025년 이후 AI 생성 코드를 그대로 적용한 시스템에서 개인정보 유출 사고가 증가하는 추세다. 기업들은 AI가 생성한 코드를 맹목적으로 신뢰하지 말고, 반드시 보안 검토(SAST, DAST) 프로세스를 거쳐야 한다.

협의체가 실효성을 갖기 위해서는 각 부처의 역할 분담이 명확해야 한다. 개인정보보호위원회는 AI 서비스의 개인정보 영향평가(PIA) 강화와 함께, AI 학습 데이터의 개인정보 비식별화 적정성을 집중 점검해야 한다. 경찰청은 AI 범죄 수사를 위한 디지털 포렌식 역량을 확충하고, 특히 바이브 해킹(AI를 이용한 자동화된 해킹) 기법에 대한 대응 매뉴얼을 개발해야 한다. 기업 실무자들은 AI 도입 시 개인정보 처리방침 고지 의무, 자동화된 의사결정에 대한 설명 의무(AI 기본법 제51조) 등 법적 요구사항을 철저히 준수해야 한다.

CPPG·ISMS-P 연계 포인트

AI 기반 자동화된 의사결정과 개인정보자기결정권: AI 기본법 제51조는 완전 자동화된 시스템에 의한 개인정보 처리 시 정보주체의 권리 보장을 명시한다. ISMS-P 인증심사 시 AI 활용 시스템은 ① 자동화된 처리 사실 고지 ② 인간 개입 요청권 보장 ③ 설명 요구권 충족 여부를 점검받는다. 개인정보 영향평가(PIA) 수행 시 AI 알고리즘의 편향성과 차별 가능성도 평가 항목에 포함된다.

AI 생성 코드의 보안성 검증 의무(ISMS-P 2.8.2 보안 약점 제거): 바이브 코딩으로 생성된 코드는 ISMS-P 인증기준 2.8.2(소프트웨어 개발 보안) 통제 항목의 적용 대상이다. AI가 생성한 코드도 개발자가 작성한 코드와 동일하게 ① 시큐어 코딩 기준 적용 ② 소스코드 보안 약점 점검(SAST) ③ 웹 취약점 점검(DAST) 과정을 거쳐야 한다. 특히 개인정보 처리 로직이 포함된 경우 암호화, 접근통제, 로깅 등 개인정보 보호조치 적정성을 필수로 검증해야 한다.