가트너가 개인정보 침해 위협의 중심이 직접적인 데이터 유출에서 AI 기반 추론으로 이동하고 있다고 경고했다. 익명·집계 데이터만으로도 건강 상태나 행동 패턴 등 민감 정보를 유추할 수 있어, 기존 데이터 보호 체계만으로는 대응에 한계가 있다는 분석이다.

가트너는 3일 2029년까지 대부분의 개인정보 침해 사고가 개인식별정보(PII)의 직접 유출이 아닌 AI가 개인에 대해 생성한 추론에서 비롯될 것이라고 밝혔다.

또한 2028년까지 데이터 무결성 보호 지출이 기밀성 보호 투자와 같은 수준에 이를 것으로 전망했다.

바트 빌렘센 가트너 수석 애널리스트는 “개인정보 침해 양상이 데이터 유출에서 인사이트 유출로 바뀌고 있다”며 “AI는 기존 데이터 통제에 구애받지 않고도 개인의 심층적인 인사이트를 재현할 수 있다”고 말했다.

이어 “추론 공격은 기존 탐지 체계에 포착되지 않는 경우가 많아 더욱 위험하다”며 “실제 기록이 유출되지 않더라도 AI가 도출한 결론을 통해 민감 정보가 드러날 수 있다”고 설명했다.

기업들이 규제·비용 부담을 이유로 개인 데이터 보유량을 줄이면서, 위협 행위자들은 AI를 통한 추론 기반 공격 수단을 확보하게 됐다고 가트너는 분석했다.

가트너는 새롭게 부상하는 추론 기반 개인정보 보호 위험에 대응하기 △AI 개발·배포 전 과정에 프라이버시 중심 설계(privacy by design) 원칙 적용 및 알고리즘 편향·의도치 않은 추론 위험 정기 점검 △차등 프라이버시 기술·합성 데이터·개인정보 보호형 머신러닝 등 개인정보 보호 강화 기술(PET) 도입 △데이터 수집을 필요한 범위로 제한하고 엄격한 접근 통제와 적시 삭제로 공격 노출면 최소화 △추론 기반 위협 식별을 위한 고급 모니터링·이상 징후 탐지 역량 강화 △AI 추론 결과를 민감 데이터 처리 전에 검증하는 ‘휴먼 인 더 루프(human in the loop)’ 의무화 등의 조치를 권고했다. 빌렘센 애널리스트는 “향후 개인정보 보호 위험은 기업의 데이터 저장 방식보다 AI의 데이터 해석 방식에 더 크게 좌우될 것”이라고 말했다.