삼성 폰AI '40개 앱 연동' 시대, 온디바이스 AI와 개인정보보호 원칙 주목

핵심 요약

- 삼성전자가 2026년 7월 언팩에서 40개 앱 연동 가능한 폰AI 기술 공개, 대화형 명령으로 복합 작업 자동 실행 - 민감 개인정보는 온디바이스 AI 우선 처리 원칙 적용, Knox 보안 플랫폼 기반 데이터 관리 체계 구축 - AI 자동화 확대에 따른 개인정보 접근 범위 증가로 새로운 프라이버시 거버넌스 필요성 대두

주요 내용

삼성전자가 2026년 7월 26일 기준 공개한 차세대 폰AI는 단순 대화형 응답을 넘어 사용자의 자연어 명령 한 마디로 40개 이상의 애플리케이션을 연동 실행하는 '실행형 AI'로 진화했다. 이는 기존 AI 비서가 정보 검색과 간단한 작업에 머물렀던 것과 달리, 복합적인 작업 흐름을 AI가 자동으로 판단하고 실행하는 본격적인 AI 에이전트 시대의 개막을 의미한다.

이러한 고도화된 AI 기능 구현을 위해 삼성은 개인정보보호 원칙을 명확히 설정했다. 노태문 사장은 "가장 민감한 개인 데이터는 기기 내부에 두고 AI가 처리한다"고 밝히며, 온디바이스(On-Device) AI를 우선 적용하는 전략을 천명했다. 이는 사용자의 연락처, 메시지, 사진, 일정 등 민감 정보가 외부 서버로 전송되지 않고 스마트폰 내부에서 처리됨을 의미한다.

특히 삼성의 보안 플랫폼 Knox를 기반으로 AI 데이터 접근을 관리한다는 점이 주목된다. Knox는 하드웨어 기반 보안 격리 환경(TEE, Trusted Execution Environment)을 제공하며, AI 모델이 개인정보에 접근할 때마다 권한 검증과 암호화 처리를 수행한다. 40개 앱 연동이라는 광범위한 데이터 접근 권한이 필요한 만큼, 이러한 보안 아키텍처는 필수적인 안전장치로 작동한다.

하지만 AI가 다수 앱을 자동 실행하는 과정에서 예상치 못한 개인정보 노출 위험도 존재한다. 예를 들어 "내일 회의 준비해줘"라는 명령으로 캘린더 조회, 이메일 검색, 문서 편집, 메시지 전송이 연쇄적으로 이뤄질 때, 각 단계에서 처리되는 개인정보의 흐름과 저장 여부, 로깅 범위 등이 투명하게 관리되어야 한다.

전문가 시각

ISMS-P 관점에서 폰AI의 40개 앱 연동 기능은 '개인정보 처리 범위의 급격한 확대'를 의미하며, 이에 따른 위험 관리 체계 재설계가 필요하다. 특히 AI 자동화 과정에서 발생하는 개인정보 수집·이용·제공의 법적 근거(정보주체 동의, 이용 목적 명확화)가 명시적으로 확보되어야 하며, 사용자가 AI의 데이터 접근 범위를 세밀하게 제어할 수 있는 '동적 권한 관리(Dynamic Permission Control)' 인터페이스가 필수적이다. 또한 온디바이스 처리 원칙이 실제로 준수되는지 기술적 검증(모델 추론 로그 분석, 네트워크 트래픽 모니터링)이 병행되어야 한다.

AI 거버넌스 측면에서는 2024년 제정된 AI기본법(가칭)의 '고위험 AI 시스템' 분류 기준에 폰AI가 해당될 가능성을 검토해야 한다. 40개 앱을 자동 제어하는 AI는 금융 거래, 의료 정보 접근, 위치 추적 등 고위험 영역에 영향을 미칠 수 있으므로, 사전 위험 평가와 사후 모니터링 체계 구축이 요구된다. 기업은 AI 의사결정의 설명 가능성(Explainability)을 확보하고, 사용자에게 '왜 이 앱들이 실행되었는지' 투명하게 설명할 수 있는 로깅 및 감사 추적(Audit Trail) 기능을 마련해야 한다.

CPPG·ISMS-P 연계 포인트

온디바이스 AI와 개인정보 처리 단계별 보호조치 ISMS-P 인증기준 2.8.2(개인정보 처리단계별 보호조치)에서 요구하는 수집·이용·보관·파기 단계별 보호조치가 온디바이스 AI에서는 '기기 내부 처리'로 통합된다. 이 경우에도 ①AI 모델의 개인정보 접근 로그 기록 ②추론 결과의 임시 저장 데이터 자동 삭제 ③보안 영역(Knox TEE) 내 암호화 처리가 구현되어야 하며, 외부 서버 전송이 필요한 경우 암호화 통신(TLS 1.3 이상) 및 최소 데이터 전송 원칙 준수가 필요하다.

AI 자동화 환경에서의 개인정보 처리 동의 40개 앱 연동 시 각 앱의 개인정보 수집·이용 동의가 개별적으로 획득되어야 하나, AI 자동 실행 환경에서는 '포괄적 동의'의 유효성 문제가 발생한다. CPPG 개인정보보호법 제15조(수집·이용 동의) 해석상, AI가 실행하는 각 작업별로 사용자가 사전에 동의한 범위 내에서만 개인정보를 처리해야 하며, 예상 밖의 앱 실행 시에는 실시간 동의 확인(Just-in-time Consent) 메커니즘이 요구된다. 특히 민감정보(신용정보, 건강정보 등) 처리 시에는 별도 명시적 동의가 필수이므로, AI 자동화라도 예외를 인정할 수 없다.