[PIS FAIR 2026] 사전 예방 불가능한 AI 시대... “사후 입증 중심 방어 거버넌스 확립해야”

PIS FAIR 2026 법률 세션... 김진환 대표·최신영 변호사 강연
개인정보보호법 개정안에 CEO 총괄 책임 명문화... 이사회 중심 연대 방어망 구축 필요
미국 최신 판례 속 AI 쟁점 조명

[보안뉴스 조재호 기자] 22일 서울 코엑스에서 개최된 PISFAIR 2026 법률 세션에서는 AI 시대 기업 생존을 위한 법률적 방어 전략이 심도 있게 다뤄졌다. 기술적 방어망을 우회한 사이버 위협이 일상화되면서 사전 차단 위주의 보안 정책은 한계를 드러내고 있다.

법률 전문가들은 기업 보안의 무게 중심을 컴플라이언스 기반의 사후 방어와 법적 입증으로 즉각 이동시켜야 한다고 조언했다.

▲김진환 지키다 대표(법률사무소 웨일앤썬 변호사)가 세션 발표하고 있다. [출처: 보안뉴스]

첫 강연자로 나선 김진환 지키다 대표(법률사무소 웨일앤썬 변호사)는 26년 차 프라이버시 전문 변호사의 관점에서 개인정보보호의 미래를 다뤘다.

김 대표는 “IT 환경이 고도화됨에 따라 사이버 공격을 100% 사전에 막아내는 것은 물리적으로 불가능하다”며 “사고가 터졌을 때 징벌적 손해배상과 과징금의 늪에서 빠져나올 수 있는 유일한 방패는 법률을 철저히 지켰음을 증명하는 규범적 사후 방어 역량”이라고 조언했다.

특히 그는 개인정보보호법 제30조3의 신설로 CEO의 총괄적 관리책임이 명문화된 점을 짚었다. 김 대표는 “과거와 달리 보안 사고 발생 시 대표가 형사처벌이나 연대책임을 지는 구조적 변화가 생겼다”며 “최고정보보호책임자(CISO)는 실무 부서에 고립된 사일로에서 벗어나 경영진과 소통하며 면책 규정과 비용 선급 약정 등을 선제적으로 채택해 운명을 함께할 거버넌스를 구축해야 한다”고 말했다.

아울러 김 대표는 전사적 보안의 사각지대로 수탁자 영역을 꼽았다. 글로벌 통계에 따르면 전체 보안 사고의 48%가 공급망에서 발생한다. 그는 “ISMS-P 등 기존 인증 제도는 샘플링 기반의 일회성 점검해 불과해 사고 방지 기여도가 낮았다”며 “수탁자 관리를 자동화된 전수·상시 점검으로 실질화해 기업의 면책 조건을 충족해야 한다”고 강조했다.

또 그는 실무진을 향해 “IT 지식에만 매몰되지 말고 유연한 규범적 통찰력을 지닌 이른바 ‘라이선스 없는 변호사’가 돼야 한다”고 말했다.

▲최신영 법무법인 LKB평산 파트너 변호사가 세션 발표하고 있다. [출처: 보안뉴스]

최신영 법무법인 LKB평산 파트너 변호사는 올해 쏟아진 미국 최신 판례를 해부하며 AI 리스크를 집중 조명했다.

최 변호사는 “임직원이 AI 모델에 업무 기밀을 무분별하게 입력하면 자발적 공개로 간주돼 영업 비밀성 특권마저 부정된다”며 “이용자가 대화 로그를 삭제하더라도 법원의 보존 명령 앞에서는 모든 데이터가 법적 증거로 고스란히 부활하는 치명적 맹점이 확인됐다”고 말했다.

글로벌 규제와 최신 판례를 통해 ‘사전에 갖추고, 사후에 입증하라’는 대원칙의 중요성이 확인되고 있다는 설명이다.

맹목적 솔루션 도입을 넘어 기획 단계부터 탐지 및 복구의 전 과정을 규범적으로 문서화하는 ‘시큐리티 파운데이션’ 내재화가 개인정보 담당자의 과제로 떠오르고 있다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다