통념: 예약을 부탁하면 정보 전달에도 동의한 걸까
AI 비서에게 “식당을 예약해줘”라고 말하면 예약에 필요한 정보 제공까지 허락한 것처럼 느끼기 쉽다. 하지만 예약 요청과 개인정보를 특정 외부 서비스에 전달하는 동의는 같은 의사표시가 아니다. 김병필 KAIST 교수는 1일 ‘제3회 모두의 토론회’에서 이 둘은 법적으로 다르다고 설명했다.
AI 비서가 예약 플랫폼과 연동되면 이름, 전화번호, 방문 인원과 예약 일시가 전달될 수 있다. 사용자는 예약을 원했더라도 어떤 정보가 누구에게 전달되는지 미리 알지 못할 가능성이 있다.
놓치기 쉬운 함정: 편리함과 동의는 별개다
뉴스에 따르면 한국은 개인정보를 제3자에게 제공할 때 동의를 받도록 하고, EU는 계약 이행에 필요하면 별도 동의 없이 처리할 수 있다. 캘리포니아주도 합리적으로 필요한 범위에서는 별도 동의가 필요하지 않다. 법의 차이가 곧 어느 한쪽이 옳다는 뜻은 아니다. 김 교수도 한국 법이 엄격하다고 단정하지 않으면서, 국가별 차이가 해외 사업자의 서비스 출시 판단에 영향을 줄 가능성을 언급했다.
반대 방향의 우려도 있다. 전달할 때마다 상세 동의를 받으면 사용자의 의사를 확인하는 데 도움이 될 수 있지만, 예약의 편의는 줄어들 수 있다. 반대로 처리방침에 전달 대상을 알리고 거부 의사를 따르는 방식은 절차를 간소화할 수 있지만, 사용자가 그 정보를 실제로 확인하고 선택했는지가 쟁점으로 남는다.
AI가 정보를 처리하는 ‘작업판’은 AI가 글을 쓰며 생각하고 행동하는 공간을 가리킨다. 장기 기억의 선호 정보, 위치 정보, 외부 예약 서비스가 한 요청에서 연결될 수 있다는 설명은 동의의 범위가 단순한 문장 하나로 정해지기 어려운 이유를 보여준다.
최악의 리스크: 누구에게 무엇이 갔는지 놓치는 것
가장 큰 리스크는 예약은 완료됐지만 이용자는 이름과 전화번호가 어느 서비스로 넘어갔는지 알아차리지 못하는 상황이다. 전달 정보와 대상이 예상과 다르면 사생활 통제권을 잃을 수 있고, 문제가 생겨도 어느 단계에서 정보가 전달됐는지 파악하기 어려울 수 있다. 다만 뉴스는 실제 유출이나 피해 사례를 제시하지 않는다. 이는 연결 구조에서 따져볼 가능성이지, 이미 발생한 피해에 대한 주장은 아니다.
‘예약 요청이면 충분하다’는 통념은 의심해볼 필요가 있다. 예약을 실행할 권한과 정보를 제3자에게 제공할 권한은 구분될 수 있기 때문이다.
결론
AI 예약을 사용할 때는 어떤 정보가 누구에게 전달되는지, 전달 전 별도 동의를 받는지, 거부할 방법이 있는지를 확인하는 편이 현실적이다. 서비스 제공자도 예약 요청과 정보 제공 의사를 어떻게 구분하는지 분명히 안내해야 한다. 편의가 커질수록 동의의 범위도 구체적으로 확인해야 한다.
- #김병필교수
- #AI비서
- #개인정보보호
- #제3자제공
- #서비스예약