AI를 개발하는 앤스로픽·오픈AI 같은 빅테크들도 AI의 공격 활용 가능성을 잇따라 경고하고 있다. 최신 AI 모델이 사람의 단계별 지시 없이 보안 취약점을 찾아 공격 방법을 개발하거나, 실제 외부 시스템에 비인가 접근하는 사례까지 나타나고 있다.
해킹을 완벽히 막기 어려워졌지만 개인정보 보호 책임은 더 무거워졌다. 과징금 기준이 관련 매출액의 3%에서 전체 매출액 3%로 높아진 데 이어, 개정법에 따라 고의·중과실 등에는 전체 매출액의 최대 10%까지 부과할 수 있다. 개인정보 유출이 기업의 재무 리스크로 커진 이유다.
|
조 단위 과징금도 가능하다. 쿠팡의 과징금 산정에 활용된 관련 매출액 약 30조원을 단순히 10%로 계산하면 3조원이다. SK텔레콤도 지난해 전체 매출 약 17조원을 기준으로 단순 계산하면 1조7000억원에 이른다. 실제 두 회사에 부과된 과징금은 각각 4235억7500만원, 1347억9100만원이었다.
다만 개인정보 유출 사고가 발생했다고 무조건 매출의 10%를 과징금으로 내는 것은 아니다. 위반의 고의성·중과실 여부를 비롯해 피해 규모와 반복 여부, 사고 이후 대응, 사전 예방 투자 등을 종합해 최종 과징금이 정해진다.
기업들이 가장 촉각을 곤두세우는 대목도 ‘고의·중과실’ 판단이다. AI를 활용한 공격이 고도화되는 상황에서 보안 시스템을 갖췄는데도 해킹을 당한 경우와, 취약점을 알고도 방치한 경우를 어떻게 구분할지가 관건이다. 특히 AI가 공격 과정의 상당 부분을 자동화하는 상황에서 기업이 어느 수준까지 대응해야 ‘중과실’을 피할 수 있는지도 중요한 쟁점이다.
|
양청삼 개인정보위 개인정보정책국장은 “과징금은 단순히 개인정보 보호에 투자한 금액만으로 판단하는 것이 아니다”며 “업종 특성과 필요한 예산, 투자의 규모와 지속성, 회사 전체의 개인정보 보호 관리체계 등을 종합적으로 보게 될 것”이라고 말했다.
개인정보위는 과징금 산정의 예측 가능성을 높이기 위해 별도의 전문가위원회도 운영할 계획이다. 조사와 과징금 산정을 분리하는 ‘투트랙’ 방식으로 운영하고 산업별 전문가를 참여시킬 예정이다. 관련 제도는 올해 하반기 마련한다.
업계에서는 제재 수준이 높아진 만큼 ‘고의·중과실’에 대한 판단 기준을 보다 구체화해야 한다는 목소리가 나온다. 한 기업 개인정보보호책임자(CPO)는 “경영진의 책임과 개인정보 보호 거버넌스를 강화하는 방향은 필요하다”면서도 “매출액의 10%까지 과징금이 부과될 수 있는 만큼 반복 위반이나 고의·중과실을 어디까지 볼 것인지 예측 가능성이 중요하다”고 말했다.
이성엽 고려대 기술경영전문대학원 교수는 “유럽연합(EU)의 개인정보보호법(GDPR)도 기업 매출액의 최대 4% 수준”이라며 “한국 제조업의 영업이익률이 10%에도 못 미치는 경우가 많은 점을 감안하면 최대 10%는 상당히 높은 수준”이라고 지적했다. 이어 “기업이 어떤 조치를 취하면 어느 정도 책임을 줄일 수 있는지 구체적인 기준을 마련할 필요가 있다”고 말했다.
개인정보 보호가 이제 보안 부서만의 문제가 아니라 기업의 재무·경영 리스크가 됐다. AI가 공격의 속도와 규모를 키우는 만큼 기업의 예방 투자와 사고 대응 역량이 수조원에 달할 수 있는 과징금의 무게를 가를 전망이다.
