카카오톡 AI 에이전트·쿠팡이츠 연계 '우버의 민족' 시대, 개인정보 보호 쟁점 5가지

핵심 요약

- 카카오톡 AI 에이전트와 쿠팡이츠 연계로 AI가 이용자 선호도를 파악해 자동 배달 주문하는 '우버의 민족' 서비스 등장 - AI 에이전트 간 개인정보 자동 수집·분석·제3자 제공 과정에서 동의 체계, 목적 외 이용, 프로파일링 등 새로운 개인정보 보호 쟁점 발생 - AI 기반 서비스 확산에 따른 개인정보 처리 투명성 확보와 AI 거버넌스 체계 구축 필요성 증대

주요 내용

2026년 현재 카카오톡 내 AI 에이전트 서비스가 쿠팡이츠와 연계되면서 AI가 자동으로 이용자의 선호 음식을 파악하고 배달 주문까지 처리하는 '우버의 민족' 시대가 본격화되고 있다. 이는 AI 에이전트가 단순 대화형 서비스를 넘어 실제 상거래 플랫폼과 통합되어 이용자의 행동 패턴, 식습관, 위치정보, 결제정보 등 민감한 개인정보를 자동으로 수집·분석·활용하는 단계로 진화했음을 의미한다.

이러한 AI 에이전트 간 연계 서비스는 개인정보 보호 관점에서 여러 쟁점을 야기한다. 첫째, AI가 이용자의 대화 내용, 주문 이력, 위치정보 등을 분석해 선호도를 파악하는 과정에서 자동화된 프로파일링이 발생하며, 이에 대한 명시적 동의 절차가 불명확하다. 둘째, 카카오와 쿠팡 간 개인정보 제3자 제공이 실시간·자동으로 이뤄지는데, 개인정보보호법 제17조에 따른 제3자 제공 동의가 적법하게 이뤄지는지 검증이 필요하다. 셋째, AI가 수집한 데이터의 처리 목적 범위와 보유 기간이 명확히 고지되지 않을 경우 목적 외 이용 위험이 존재한다.

유통 업계 관계자의 언급처럼 이번 DH(딜리버리히어로, 배달의민족 모회사) 인수 과정에서도 개인정보 이전과 통합 활용에 대한 우려가 제기되고 있다. 특히 AI 에이전트가 다수의 플랫폼을 연계할 경우 개인정보 처리 주체와 책임 소재가 불명확해지며, 정보주체의 열람·정정·삭제 요구권 행사가 복잡해진다. 또한 AI 알고리즘의 블랙박스 특성상 어떤 데이터를 기반으로 추천이 이뤄지는지 처리 과정의 투명성이 확보되지 않으면 정보주체의 자기결정권이 침해될 수 있다.

2026년 8월 현재 시행 중인 AI기본법(가칭, 인공지능 기본법)은 고위험 AI 시스템에 대한 투명성·설명가능성·안전성 요구사항을 규정하고 있으나, AI 에이전트 기반 상거래 서비스가 고위험 분류에 해당하는지, 개인정보보호법과의 적용 관계를 어떻게 설정할지는 여전히 논쟁적이다. 개인정보보호위원회는 AI 기반 서비스의 개인정보 처리 가이드라인을 발표했으나, 실시간 에이전트 연계 서비스의 구체적 적용 방안은 아직 명확하지 않은 상황이다.

전문가 시각

ISMS-P 선임심사원 관점에서 AI 에이전트 연계 서비스를 도입하는 기업은 개인정보 영향평가(PIA) 수행이 필수적이다. 특히 ISMS-P 인증심사 시 '2.7.1 개인정보 수집 시 동의' 항목에서 AI 자동 수집에 대한 동의 획득 절차, '2.9.1 개인정보 제공 및 활용 내역 통지' 항목에서 제3자 제공 내역의 실시간 고지 체계가 중점 심사된다. 카카오-쿠팡 연계 사례처럼 복수 사업자 간 API 연동 시 공동 개인정보 처리 또는 수탁 관계 명확화와 계약서 내 책임 범위 규정이 필요하다.

또한 AI 에이전트가 생성하는 자동 주문 코드나 추천 알고리즘에 대한 보안 검증도 요구된다. 바이브 코딩(Vibe Coding) 방식으로 개발된 AI 자동 생성 코드는 인증·인가 로직 누락, SQL 인젝션, 경쟁 조건(Race Condition) 등 취약점을 포함할 수 있어, 개발 단계에서 OWASP Top 10 기반 보안 코드 리뷰와 동적 분석(DAST)이 필수다. 특히 실시간 개인정보 처리 API는 암호화 통신(TLS 1.3 이상), API 인증 토큰 관리, 로그 기록 및 모니터링 체계를 갖춰야 ISMS-P 인증심사 '2.8.4 개인정보 암호화' 및 '2.10.3 개인정보 처리 기록 보관 및 점검' 요구사항을 충족할 수 있다.

CPPG·ISMS-P 연계 포인트

1. 제3자 제공 동의 및 고지 (개인정보보호법 제17조, ISMS-P 2.9.1)
AI 에이전트가 플랫폼 간 개인정보를 자동 연계할 때 제공받는 자(쿠팡), 제공 목적(배달 주문 처리), 제공 항목(이름·연락처·주소·주문내역), 보유 기간을 사전 고지하고 별도 동의를 받아야 하며, 제공 내역을 정보주체가 확인할 수 있는 화면을 제공해야 한다.

2. 자동화된 개인정보 처리 투명성 (AI기본법·ISMS-P 2.7.3)
AI 알고리즘이 이용자 행동 데이터를 기반으로 프로파일링·자동 추천할 경우, 처리 목적·논리·결과에 대한 설명 의무가 발생하며, 정보주체는 자동화 처리에 대한 거부권을 행사할 수 있어야 한다. ISMS-P 인증심사 시 '개인정보 처리방침 내 자동화 처리 고지 여부'가 점검 항목으로 포함된다.