"AI 3대 강국 외치지만"… 보안 없이 AI 3대 강국 위태롭다

연속된 침해사고에 신뢰성 하락…AI 경재력 치명타

[디지털데일리 이상일기자 2025년 대한민국이 인공지능(AI) 3대 강국 도약을 위한 속도전에 돌입했다. 정부는 행정망에 인공지능을 전면 도입하겠다는 청사진을 내놨고 기업들은 생존을 위해 생성형 AI 탑재를 서두르고 있다. 하지만 화려한 AI 전환의 이면에는 보안이라는 거대한 그림자가 드리워져 있다.

AI가 새로운 성장 동력으로 자리 잡았다고 해도 이를 떠받칠 보안 정책과 기업 내부의 인식 변화가 충분히 마련돼 있지 않다면 AI 강국의 청사진은 완성되기 어렵다는 지적이 나온다.

2025년이 한 달밖에 남지 않은 시점에서, 국내 사이버 보안 환경은 연속된 침해사고로 크게 흔들리고 있다. 최근 쿠팡의 대규모 정보 노출 사실이 뒤늦게 확인된 데 이어, 업비트의 445억원 규모 가상자산 탈취, 넷마블의 개인정보 유출, 금융권을 겨냥한 랜섬웨어 캠페인까지 동시다발적 사고가 이어지고 있다.

실제 AI 확산 속도만큼 보안 위협도 진화하고 있다. 딥페이크를 이용한 금융 사기, 변종 악성코드 생성, 자동화된 피싱 메일 등 AI 기반 공격은 기존 보안 체계가 가정한 위협 수준을 넘어서는 양상으로 나타난다. 방어 체계 역시 인공지능을 기반으로 전환되고 있지만 공격과 방어 모두 AI로 무장하는 국면에서 보안은 더 이상 운영 비용의 범주를 벗어나 AI 경쟁력의 핵심 요소가 되고 있다.

보안 전문가들이 보안 없는 AI를 브레이크 없는 고성능 차량에 비유하는 이유도 같은 맥락이다. AI의 분석 능력과 속도가 아무리 뛰어나도 데이터가 유출되거나 변조되면 시스템 신뢰성과 안정성은 동시에 흔들리게 된다.

AI 서비스의 성능을 결정하는 핵심은 데이터다. 기업과 기관이 축적해온 운영 정보와 고객 데이터는 AI 학습 과정에 직접 활용되며 서비스 품질을 좌우한다. 그러나 데이터가 안전하게 보호되지 않으면 인공지능 시스템이 공격의 통로가 될 수 있고, 잘못된 데이터가 학습 과정에 유입되면 AI가 오작동을 일으킬 수도 있다. 개인정보나 내부 정보가 유출될 경우 신뢰도 하락이 발생하며, 이는 AI 활용 전략 전반에 직접적 제약으로 이어진다. 이 때문에 데이터 보안 역량이 곧 AI 경쟁력이라는 평가가 나온다.

특히 개인정보 유출을 경험한 기업은 AI 시대 경쟁에서 뒤처질 가능성이 높다. 데이터 유출은 단순한 정보 노출이 아니라 기업의 신뢰 기반 자체를 흔드는 사건이기 때문이다.

글로벌 조사에서도 이 같은 경향이 확인되고 있다. 시스코의 데이터 프라이버시 조사에서 소비자의 76퍼센트는 개인정보를 보호하지 못한 기업의 제품이나 서비스를 이용하지 않겠다고 응답했다. IBM의 데이터 유출 비용 보고서에서도 피해 기업의 절반 이상이 브랜드 신뢰도 하락을 가장 큰 후폭풍으로 지목했고, 고객 이탈은 평균 30퍼센트 이상 증가한 것으로 나타났다.

딜로이트 분석에서는 데이터 유출을 겪은 기업의 주가가 다음 1년 동안 시장 평균보다 낮게 움직이는 경향이 확인됐다. 신뢰 상실로 인해 데이터 확보와 활용이 어려워지면 AI 학습 품질도 떨어지고 서비스 경쟁력 역시 약화된다. 결과적으로 개인정보 보호 실패는 기업의 AI 도입과 활용 전략 전반의 걸림돌로 작용할 수밖에 없다.

정부는 이러한 변화에 대응하기 위해 2025년을 기점으로 기존의 폐쇄적 보안 정책에서 활용 중심의 보안 체계로 전환을 추진하고 있다. 오랫동안 유지돼온 망 분리 방식은 외부 위협 차단에 효과적이었지만 생성형 AI 활용과 클라우드 기반 서비스 도입에는 제약으로 작용해 왔다.

정부가 데이터 중요도에 따라 등급을 나누고 중요도가 낮은 영역에서 외부 클라우드와 AI 서비스를 허용한 것은 이러한 구조적 한계를 해소하기 위한 조치다. 필요한 기능을 차단하는 방식이 아니라 안전하게 활용할 수 있도록 재설계된 보안 정책으로 이동하고 있다는 평가다.

다만 정책 변화만으로는 충분하지 않다는 지적도 있다. 기업 내부의 인식 변화와 보안 투자 확대가 병행되지 않으면 AI 활용이 확산될수록 보안 리스크도 함께 커질 가능성이 크기 때문이다.

물론 기업의 보안인식 제고와 투자를 이끌어내기 위해 정부의 정책도 다변화되고 있다. 최근 개인정보보호법 개정에 따라 과징금 상한이 ‘위반행위 관련 매출의 3%’에서 ‘전체 매출에서 관련 없는 매출을 제외한 금액의 3%’로 확대되는 등 규율 강도가 강화되고 있다. 개인정보 유출과 관련한 징벌적 손해배상 역시 최대 5배까지, CEO·CISO 등 경영진 형사책임 또한 양벌규정상 가능하도록 했다.

인센티브 측면에서는 정보보호 투자 세액공제, ISMS·ISMS-P 인증의 공공 입찰 가점 등 기업의 보안 투자 유인을 강화하는 제도도 병행되고 있다. 공공부문에서는 개인정보 고의 유출에 대해 1회 위반에도 파면·해임이 가능한 ‘원스트라이크 아웃’ 원칙이 도입되기도 한 상황이다.

하지만 업계에선 보다 강화된 정책이 필요하다고 보고 있다. 중대재해처벌법처럼 단순히 처벌을 강화하기 위한 법이 아니라, 사고를 미리 막기 위한 최소한의 안전 장치가 필요하다는 지적이다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -