AI 챗봇 청소년 보호 규제 공백 심각…개인정보보호법 만 14세 기준 재검토 필요

핵심 요약

- 현행 개인정보보호법의 만 14세 미만 법정대리인 동의 규정이 AI 챗봇 이용 청소년 보호에 한계 - 사후 대응 중심 법체계로는 사업자의 예방적 책임 확보 어렵고 AI 설계 구조 자체를 규율 불가 - AI 챗봇 의존도 증가하는 청소년 보호 위해 설계 단계부터 안전장치 의무화 필요

주요 내용

2026년 현재 AI 챗봇에 대한 청소년의 의존도가 급증하면서 "제발 알려줘"라는 요청이 일상화되고 있다. 그러나 현행 「개인정보 보호법」은 만 14세 미만 아동에 대해서만 법정대리인 동의를 요구하고 있어, 14세 이상 청소년은 보호 사각지대에 놓여 있다는 지적이 나온다.

더 심각한 문제는 현행 법체계가 사후 대응 중심으로 설계되어 있어, AI 챗봇 사업자의 예방적 책임을 충분히 확보하지 못한다는 점이다. 개인정보 침해나 유해 콘텐츠 노출이 발생한 후에야 제재가 가능한 구조로는, AI 챗봇과의 상호작용 과정에서 발생하는 다양한 위험으로부터 청소년을 보호하기 어렵다.

특히 AI 챗봇의 설계 구조 자체를 규율하는 법적 장치가 부재하다는 점이 문제로 지적된다. 챗봇이 수집하는 대화 데이터의 범위, 프로파일링 방식, 응답 생성 알고리즘 등 핵심 설계 요소에 대한 규제가 없어, 청소년이 과도하게 민감한 정보를 제공하거나 부적절한 응답에 노출될 위험이 상존한다.

이에 따라 AI 챗봇 서비스 제공 시 청소년 보호를 위한 설계 단계부터의 안전장치 의무화, 법정대리인 동의 연령 상향 검토, 그리고 AI 특화 거버넌스 체계 마련이 시급하다는 목소리가 커지고 있다.

전문가 시각

ISMS-P 인증심사 실무 경험상, 현행 개인정보보호 관리체계는 정형화된 개인정보 수집·이용에 최적화되어 있어 AI 챗봇의 비정형 대화 데이터 처리 방식에는 적용이 제한적이다. 특히 청소년이 자연어 대화 과정에서 의도치 않게 민감정보(가족관계, 건강상태, 학교생활 고민 등)를 노출할 경우, 이를 사전에 차단하거나 별도 동의를 받는 기술적 통제 수단이 거의 구현되지 않고 있다. 법정대리인 동의 연령을 만 16세 또는 18세로 상향 조정하고, AI 챗봇 사업자에게 Privacy by Design 원칙에 따른 청소년 보호 기능 내재화를 의무화해야 한다.

또한 2024년 제정된 「인공지능 기본법」과 개인정보보호법의 연계가 미흡한 상황이다. AI 기본법이 신뢰성·투명성 원칙을 제시하고 있으나, 개인정보 처리 측면의 구체적 의무사항과 연결되지 않아 실효성이 떨어진다. 청소년 대상 AI 챗봇에 대해서는 ① 대화 데이터 최소 수집 원칙 ② 민감정보 자동 탐지·차단 기능 ③ 보호자 모니터링 인터페이스 제공 ④ 정기적 알고리즘 영향평가 실시 등을 ISMS-P 인증 필수 통제항목으로 포함시키는 방안을 검토해야 한다.

CPPG·ISMS-P 연계 포인트

법정대리인 동의 (개인정보보호법 제22조 제6항): 만 14세 미만 아동의 개인정보를 처리하려는 경우 법정대리인의 동의를 받아야 하며, 동의 여부를 확인할 수 있는 법정대리인 정보(성명, 연락처 등)를 함께 수집해야 한다. AI 챗봇 환경에서는 연령 확인 절차의 우회 가능성과 대화 중 자연스럽게 수집되는 개인정보에 대한 동의 취득 방법이 실무 쟁점이다.

Privacy by Design (ISMS-P 2.8.2 개인정보 처리단계별 요구사항): 개인정보 처리 시스템 기획·설계 단계부터 개인정보 보호를 고려하여 최소 수집, 목적 외 이용 제한, 안전한 저장 등의 원칙을 내재화해야 한다. AI 챗봇의 경우 대화 흐름 설계 시 민감정보 질문 회피, 청소년 보호 필터링, 데이터 보유기간 최소화 등을 초기 설계 단계부터 반영하는 것이 핵심이다.