기업 보안 투자는 자동화로 이동
OECD(경제협력개발기구)의 최신 보고서는 기업의 인공지능(AI) 보안 투자와 개인의 프라이버시 방어가 같은 방향으로 움직이지 않았다는 사실을 수치로 확인해 줬다. 기업은 사이버 보안 비용 절감과 대응 속도 향상을 위해 AI 기반 도구 채택을 늘렸다. 반대로 개인은 쿠키 제한, 위치 정보 차단, 광고 목적 데이터 사용 거부로 디지털 서비스 기업의 데이터 수집 여지를 좁혔다.
두 흐름이 동시에 강해지면서 시장의 구조가 바뀌었다. AI 보안 산업은 성장 조건을 얻었지만, 데이터 기반 광고와 플랫폼 사업자는 더 높은 동의 비용을 감수해야 하는 국면에 들어섰다.
기업이 AI 보안 자동화 예산만 늘리고 데이터 신뢰 설계를 미루면, 같은 변화가 수익성 훼손으로 되돌아온다는 것이 이 보고서의 핵심 메시지다. 이번 보고서가 산업적으로 중요한 이유는 AI가 기업 보안의 보조 수단을 넘어 운영 체계의 일부로 이동했다는 데 있다. OECD는 특히 정보 집약적 산업에서 사이버 위험과 디지털 시스템 의존도가 큰 기업들이 AI 기반 사이버 보안 도구를 더 넓게 채택했다고 분석했다.
이는 보안관제센터(SOC), 위협 탐지, 대응 자동화, 취약점 분석 시장의 구매 기준이 바뀌었다는 뜻이다. 과거 기업은 보안 인력을 늘리거나 장비를 추가하는 방식으로 방어 체계를 키웠다. 이제는 로그와 행위 데이터를 AI가 읽고, 사람은 판단과 정책 설계에 집중하는 구조가 확산될 여지가 커졌다.
수치가 보여주는 다른 축은 개인의 행동 변화다. OECD 보고서에 따르면 2020년부터 2025년 사이 쿠키 제한을 위해 브라우저 설정을 바꾼 개인의 비율은 26.8% 증가했다. 소셜미디어 프로필 접근을 제한한 비율은 11.3% 늘었고, 안티 트래킹 소프트웨어 사용 비율은 7.0% 증가했다.
광고
2025년까지 절반을 넘는 개인이 지리적 위치 접근을 제한하거나 광고 목적의 개인 데이터 사용을 거부했다. 이 숫자는 단순한 소비자 인식 개선이 아니라, 광고 기술(AdTech)과 데이터 브로커, 개인화 추천 엔진의 원가 구조를 흔드는 신호다.
기업 입장에서 AI 보안 도입은 방어 효율을 높이는 투자다. 랜섬웨어, 계정 탈취, 공급망 공격은 사람이 모든 알림을 검토하는 방식으로 감당하기 어렵다.
정보 집약적 산업일수록 데이터 흐름이 복잡하고 외부 접점이 많아진다. AI 도구는 대량 이벤트를 분류하고 위험 우선순위를 매기는 데 강점을 보인다.
다만 이 흐름은 보안 기업 간 경쟁을 더 거칠게 만든다. 고객은 탐지 기능 목록만 보지 않는다. 오탐률, 대응 자동화 수준, 기존 보안정보이벤트관리(SIEM)·확장탐지대응(XDR) 체계와의 연동성, 개인정보 처리 방식까지 함께 따진다.
한국 기업에도 이 변화는 멀리 있는 통계가 아니다. 본지 분석에 따르면, 금융·통신·전자상거래·게임·클라우드 서비스 기업은 이용자 행동 데이터와 결제 정보, 인증 기록을 동시에 다룬다.
이들 업종은 OECD가 지목한 정보 집약적 산업의 조건과 맞닿아 있다. AI 보안 도입은 선택형 실험보다 운영 리스크 관리에 가까워졌다. 보안 인력을 충분히 확보하기 어려운 중견·중소 기업에는 자동화 도구가 특히 유인이 크다.
그러나 구매 부서가 가격만 보고 도입하면 새로운 위험을 만들 수 있다. AI 보안 솔루션이 어떤 데이터를 학습·처리하는지, 로그에 개인식별정보가 포함되는지, 외부 클라우드로 전송되는 정보가 무엇인지 확인하지 않으면 보안 투자가 개인정보 리스크로 되돌아올 수 있다.
개인 프라이버시 통제가 광고 시장 압박
개인의 프라이버시 통제 확대는 플랫폼 기업의 성장 방정식도 바꾼다. 브라우저, 운영체제(OS), 온라인 플랫폼이 개인정보 보호 기능을 강화하면서 이용자는 더 쉽게 쿠키를 차단하고 위치 정보 제공을 거부할 수 있게 됐다.
광고
OECD는 이런 기능 확대와 인식 변화가 개인의 통제 행위를 늘린 배경이라고 분석했다. 광고주는 이용자 추적 데이터가 줄어들수록 문맥 광고, 자체 고객 데이터, 충성 고객 프로그램 같은 대체 전략에 더 많은 비용을 투입해야 한다. 한국의 쇼핑·콘텐츠·앱 서비스 기업도 같은 압력을 받는다.
데이터 수집 동의를 더 투명하게 설계하고, 동의하지 않은 이용자에게도 서비스 품질이 급격히 낮아지지 않도록 제품 구조를 고쳐야 한다. 세대별 차이는 기업 전략을 더 복잡하게 만든다. OECD 보고서는 연령대가 어린 개인이 AI 사용에 대한 우려는 상대적으로 적지만, 개인정보 보호 통제는 자주 사용하고 개인 데이터 접근을 제한하는 경향을 보였다고 밝혔다.
교육 수준이 높은 개인도 온라인 개인정보 보호 조치를 더 많이 취했다. 이 조합은 기술 친화적인 이용자가 반드시 데이터 제공에 관대하다는 통념을 흔든다.
젊은 이용자는 생성형 AI 서비스를 자연스럽게 쓰면서도 소셜미디어 공개 범위와 위치 접근 권한은 세밀하게 조정한다. 기업은 'AI를 좋아하는 고객은 데이터 제공에도 적극적일 것'이라는 단순 가정에서 벗어나야 한다.
더 주목할 대목은 생성형 AI 미채택 사유다. OECD 수치에서 2025년 생성형 AI 도구를 쓰지 않는 주된 이유로 프라이버시·보안·안전 문제를 꼽은 개인은 4.5%에 그쳤다. 이는 소비자가 위험을 몰라서라기보다 편의성과 효용을 더 크게 평가했을 가능성을 보여준다.
기업에는 기회와 부담이 동시에 생긴다. AI 서비스 확산의 장벽은 생각보다 낮지만, 실제 이용 과정에서 데이터 통제권 요구는 더 강해진다.
시장 진입은 쉬워질 수 있으나 장기 유지 비용은 높아진다.
광고
고객이 서비스를 떠나지 않게 만들려면 기능 경쟁과 함께 데이터 거버넌스 경쟁을 해야 한다. 반론도 있다.
개인의 쿠키 제한이나 위치 차단이 늘어도 이용자는 여전히 편리한 서비스를 선택하고, 생성형 AI 미채택 사유에서 보안 우려가 4.5%에 불과했다면 기업이 과도하게 프라이버시 투자에 매달릴 필요가 없다는 주장이다. 이 주장은 단기 매출 관점에서는 설득력이 있다.
그러나 구조를 보면 빈틈이 크다. 프라이버시 우려가 AI 사용을 막는 1차 요인이 아니더라도, 이용자는 서비스 안에서 데이터 접근 권한을 더 적극적으로 조절했다. 기업이 이 변화를 무시하면 광고 효율 저하, 동의 철회 증가, 규제 대응 비용 상승을 동시에 떠안을 수 있다.
프라이버시는 구매 장벽이 아니라 운영 비용을 결정하는 변수로 이동했다.
한국 기업의 데이터 전략 재설계 필요
투자 관점에서 보면 수혜와 부담이 갈린다. AI 기반 사이버 보안 기업에는 탐지 자동화와 대응 자동화 수요가 붙는다.
브라우저·운영체제·모바일 플랫폼에서 개인정보 보호 기능을 제공하는 기업은 이용자 신뢰를 제품 경쟁력으로 전환할 수 있다. 반면 제3자 쿠키와 세밀한 행태 추적에 의존해 온 광고·마케팅 기술 기업은 데이터 품질 저하와 측정 방식 변화에 직면한다. 투자자는 AI라는 단어가 붙은 보안 기업을 무조건 좋게 볼 일이 아니다.
실제 매출을 좌우하는 것은 모델 성능보다 기업 고객의 기존 인프라에 얼마나 낮은 마찰로 붙는지, 그리고 개인정보 처리 설명을 감사와 규제 검토 앞에서 견딜 수 있는지다. 산업 생태계의 장기 변화는 더 선명하다. 사이버 보안은 AI 공급 기업, 클라우드 사업자, 규제 담당 조직, 개인정보보호 책임자가 함께 설계하는 영역으로 바뀌었다.
마케팅 부서는 더 적은 추적 데이터로 고객을 이해해야 하고, 보안 부서는 더 많은 내부 데이터를 AI에 맡겨야 한다.
광고
두 부서의 요구는 충돌할 수 있다. 그래서 기업 전략의 중심은 데이터의 양을 늘리는 경쟁에서 데이터 사용의 정당성과 통제 가능성을 입증하는 경쟁으로 이동한다.
한국 기업이 이 지점을 놓치면 AI 보안 투자와 개인정보 보호 대응을 별도 프로젝트로 쪼개 예산을 낭비할 가능성이 크다. 이번 OECD 보고서가 말하는 시장의 승자는 'AI를 많이 쓰는 기업'이 아니다. 승자는 AI 보안으로 운영 효율을 높이면서도 이용자 데이터 통제를 제품 설계에 반영하는 기업이다.
개인은 이미 버튼 몇 개로 쿠키를 막고 위치 제공을 끊는 법을 익혔다. 기업은 그 행동을 불편한 예외가 아니라 새 표준으로 받아들여야 한다. AI 보안 시장의 성장은 확실한 기회지만, 프라이버시를 비용 항목으로만 보는 기업에는 같은 변화가 수익성 훼손으로 되돌아온다.
보안 자동화 예산을 늘리는 데서 멈추는 기업과 데이터 신뢰를 경쟁 우위로 바꾸는 설계까지 함께 하는 기업 사이의 격차는 앞으로 더 벌어질 것이다. ※ 이 기사는 OECD(경제협력개발기구)의 보고서 관련 자료를 참조하여 작성했다.
보고서의 정확한 제목·공개 월 및 별도 관계자 발언은 원자료에서 확인되지 않았다.
FAQ
Q. 일반 이용자는 이번 OECD 수치를 어떻게 해석해야 하나
A. OECD 자료는 2020년부터 2025년 사이 쿠키 제한을 위한 브라우저 설정 변경률이 26.8% 늘었다는 사실을 통해, 개인이 온라인에서 자신의 데이터를 더 적극적으로 통제하는 방향으로 행동이 실제로 바뀌었음을 보여준다. 일반 이용자는 브라우저 쿠키 설정, 앱 위치 권한, 광고 목적 데이터 사용 동의 항목을 정기적으로 점검하는 것이 실용적이다. 다만 모든 추적 차단이 서비스 품질을 동일하게 유지한다는 뜻은 아니므로, 자주 쓰는 서비스별로 필요한 권한과 불필요한 권한을 구분해야 한다. 2025년 기준으로 절반 이상의 개인이 위치 접근 제한이나 광고 목적 데이터 거부를 선택했다는 점은, 이 같은 통제 행동이 소수의 행동이 아닌 대세로 자리 잡았음을 뜻한다.
Q. 기업은 AI 보안 도구를 도입할 때 무엇을 먼저 봐야 하나
A. 기업은 탐지 성능만이 아니라 데이터 처리 구조를 먼저 확인해야 한다. AI 보안 도구가 로그, 계정 정보, 접속 기록을 분석하는 과정에서 어떤 정보가 외부로 전송되는지 확인하지 않으면 개인정보 리스크가 커진다. 기존 보안정보이벤트관리(SIEM), 확장탐지대응(XDR), 클라우드 보안 체계와의 연동성도 총 도입 비용을 좌우한다. 구매 전에는 기술검증(PoC) 단계에서 오탐률, 대응 자동화 범위, 감사 로그 보존 방식을 함께 점검하는 것이 합리적이다. AI 도구가 처리하는 데이터에 개인식별정보가 포함되는지 여부는 보안 투자가 새로운 규제 리스크로 되돌아오지 않게 하는 최소 점검 항목이다.
Q. 생성형 AI 미채택 사유에서 보안 우려가 4.5%에 그친 것은 기업에 호재인가
A. 단기적으로는 AI 서비스 확산의 심리적 장벽이 낮다는 의미로 해석할 수 있다. 그러나 같은 OECD 보고서에서 개인의 쿠키 제한, 위치 접근 제한, 광고 목적 데이터 거부가 동시에 늘었다는 점을 함께 봐야 한다. 이용자는 AI 사용 자체를 피하지 않더라도 서비스 안에서 데이터 권한을 더 세밀하게 통제한다. 기업에는 사용자 확보보다 이용 과정의 데이터 신뢰 관리가 더 큰 과제로 남는다. 시장 진입 장벽은 낮아질 수 있지만, 장기 고객 유지를 위한 데이터 거버넌스 비용은 구조적으로 높아지는 방향이다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
