AI글라스 시대, 타인 개인정보 무단수집 위험... 보안 기준 마련 시급

핵심 요약

- AI글라스는 카메라·마이크·센서를 통합해 주변인의 개인정보를 상시 수집하는 웨어러블 기기로, 개인정보 보호 대상이 사용자에서 촬영·녹음 대상자까지 확대 - 기존 스마트폰과 달리 '은밀한 수집'이 가능해 타인의 동의 없는 개인정보 처리가 일상화될 위험 증가 - 편리함과 프라이버시 보호 사이 균형을 위한 법적·기술적 보안 기준 마련이 2026년 현재 시급한 과제로 대두

주요 내용

2026년 AI글라스 시장이 본격 확대되면서 새로운 개인정보 보호 이슈가 부각되고 있다. AI글라스는 단순히 카메라를 안경에 장착한 제품이 아니라, 카메라와 마이크, 각종 센서가 사용자의 시야와 음성을 실시간으로 수집·분석하는 통합 웨어러블 디바이스다. 문제는 이러한 수집 행위가 기기 착용자뿐 아니라 그 시야에 들어온 모든 사람의 개인정보를 포함한다는 점이다.

기존 스마트폰 카메라는 촬영 의도가 명확하고 대상자가 인지할 수 있는 반면, AI글라스는 일상적 안경 형태로 위장되어 주변인이 자신이 촬영·녹음되고 있는지 알기 어렵다. 특히 AI 기반 얼굴인식, 음성인식, 행동패턴 분석 기능이 결합되면서 특정인의 신원, 위치정보, 생활습관 등 민감정보가 본인 동의 없이 수집·처리될 위험이 크다. 더욱이 수집된 데이터가 클라우드로 전송돼 장기 보관·분석되는 구조는 개인정보 유출 시 피해 범위를 기하급수적으로 확대시킨다.

현행 개인정보보호법은 정보주체의 동의를 전제로 하지만, AI글라스 환경에서는 '누가 정보주체인가'부터 모호하다. 기기 착용자는 자신의 편의를 위해 타인의 정보를 무단 수집하게 되고, 촬영 대상자는 자신의 정보가 수집되는지조차 알 수 없는 비대칭 구조가 형성된다. 일부 제조사는 촬영 시 LED 표시등을 켜도록 설계했으나, 이는 쉽게 우회 가능하며 실효성이 낮다는 지적이다.

이러한 딜레마 속에서 유럽연합(EU)은 AI법(AI Act)을 통해 공공장소에서의 실시간 생체인식을 원칙적으로 금지하는 등 선제적 규제에 나섰고, 미국 일부 주에서는 AI글라스 착용 금지 구역을 지정하고 있다. 한국도 2024년 AI기본법 제정 이후 2026년 현재 AI 기기의 개인정보 보호 기준 마련을 논의 중이나, 기술 발전 속도를 따라가지 못하고 있다는 평가다.

전문가 시각

ISMS-P 인증 실무 관점에서 AI글라스는 '개인정보 수집 최소화' 원칙에 정면으로 배치되는 기기다. 정보통신망법 제22조의5(개인정보의 보호조치)와 개인정보보호법 제29조(안전조치의무)는 개인정보처리자에게 기술적·관리적 보호조치를 요구하지만, AI글라스 환경에서는 '처리자'가 개인 사용자인 경우가 많아 법적 책임 소재가 불명확하다. 더욱이 클라우드 연동 시 국외 서버 전송 문제까지 겹쳐 개인정보 역외이전 통제가 사실상 불가능해진다.

기업 입장에서는 AI글라스 도입 시 사전 개인정보 영향평가(PIA) 수행이 필수다. 특히 업무용으로 지급할 경우 내부 직원뿐 아니라 고객, 방문자 등 제3자의 개인정보까지 수집 대상이 되므로, 명확한 수집·이용 목적 고지, 촬영 금지 구역 설정, 데이터 암호화 및 접근통제, 보관기간 설정 등 ISMS-P 통제항목 전반에 대한 정책 수립이 선행되어야 한다. 특히 안전조치 미이행 시 과징금 부과 대상이 될 수 있음을 인지해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 수집 최소화 원칙 (ISMS-P 2.3.2)
AI글라스는 상시 수집 구조로 인해 '필요 최소한의 개인정보만 수집'하라는 법적 의무를 위반할 가능성이 높다. 기기 설계 단계부터 Privacy by Design 원칙을 적용해 불필요한 정보 수집을 차단하는 기술적 통제가 필요하며, 수집 시 정보주체 고지·동의 체계를 명확히 구축해야 한다.

개인정보 역외이전 통제 (개인정보보호법 제28조의8)
AI글라스 데이터가 클라우드로 자동 전송되는 경우, 해당 서버가 국외에 위치하면 역외이전에 해당한다. 정보주체 동의, 이전 국가의 개인정보 보호 수준 확인, 이전 내역 공개 등 법정 요건을 충족해야 하며, ISMS-P 인증심사 시 역외이전 통제 절차 수립 여부가 필수 점검항목이다.