2026년 4월, Meta는 화이트칼라 컴퓨터 작업을 수행할 수 있는 AI 에이전트를 구축하기 위해 설계된 프로그램인 'Model Capability Initiative'가 미국 직원들의 노트북에 키스트로크(keystroke) 및 화면 모니터링 소프트웨어를 배포했다고 밝혔습니다. Meta Superintelligence Labs 직원들에게 전달된 내부 메모에 기술된 이 도구는 Meta가 자율적인 컴퓨터 사용(autonomous computer use)을 위해 구축 중인 모델을 학습시키기 위해 마우스 움직임, 클릭, 키스트로크 및 스크린샷을 캡처합니다. 명시된 목적은 모델 개선이었으며, 명시된 안전장치는 해당 데이터가 성과 검토(performance reviews)에 사용되지 않을 것이라는 점이었습니다.

이 프로그램이 보여주는 것은 더 근본적인 문제입니다. 세계에서 가장 기술적으로 정교한 조직 중 하나가 자사 직원에 대한 상세한 행동 데이터를 처리하는 에이전트형 AI(agentic AI) 시스템을 구축했으며, 해당 시스템이 무엇을 수집하고 전송할 수 있는지를 규정하는 거버넌스 프레임워크(governance framework)는 데이터 정책이 아닌 프로그램 메모였다는 사실입니다.

대부분의 기업 데이터 거버넌스(data governance) 프레임워크는 고객의 PII(개인식별정보)를 위해 설계되었습니다. 이러한 프레임워크는 어떤 필드에 암호화가 필요한지, 어떤 기록이 GDPR 의무를 발생시키는지, 어떤 시스템에 감사 추적(audit trails)이 필요한지를 규정합니다. 해당 정책들은 데이터베이스와 정의된 애플리케이션 경계를 위해 작성되었습니다. 이는 내부 시스템 전반에서 작동하는 AI 에이전트를 위해 작성된 것이 아니며, 현재 에이전트들이 일상적으로 처리하는 직원 데이터는 대부분의 조직이 해결하지 못한 거버넌스 사각지대(governance blind spot)에 놓여 있습니다.

직원 데이터가 다른 범주의 PII 노출인 이유

조직은 고객 대상 PII를 위한 통제 장치, 즉 동의 흐름(consent flows), 침해 통지 절차, 특정 사용자와 연결된 액세스 로그(access logs) 등에 수년간 투자해 왔습니다. 이것들은 조직이 거래의 양 끝을 소유하고 데이터 주체가 고객인 데이터 흐름을 위해 설계되었습니다.

AI 에이전트에 의해 처리되는 직원 데이터는 세 가지 구조적인 이유로 인해 그러한 경계를 갖지 않습니다.

컨텍스트 윈도우 (Context windows)는 스스로 범위를 제한하지 않습니다. 에이전트가 작업을 완료하기 위해 문서를 검색할 때, 일반적으로 작업에 필요한 것보다 더 많은 정보를 검색합니다. 직원의 휴가 잔여 일수에 대한 쿼리가 해당 직원의 집 주소, 비상 연락처, 병가 기록이 포함된 기록을 불러올 수 있습니다. 모델은 이 모든 것을 처리합니다. 전송된 데이터는 사후에 되돌릴 수 없습니다. 어떤 로그 기록도 노출된 사실을 되돌릴 수 없습니다.

멀티 에이전트 아키텍처 (Multi-agent architectures)는 문제를 하류로 전파합니다. 오케스트레이터 (Orchestrator) 에이전트가 하위 작업 (Sub-task)을 위임할 때, 종종 하위 작업에 필요한 것보다 더 넓은 컨텍스트를 전달합니다. 오케스트레이션 체인의 상단에서 수집된 직원 데이터는 자신이 무엇을 처리하고 있는지 인지하지 못하는 워커 에이전트 (Worker agents)로 전파되며, 각 하류 단계에 관련 필드만 도달하도록 강제할 메커니즘도 없습니다.

제3자 어시스턴트 (Third-party assistants)가 데이터 경로에 존재합니다. Claude Desktop, GitHub Copilot, Cursor는 직원들이 내부 업무를 수행하기 위해 대규모로 사용합니다. 개발자가 MCP를 통해 벤더 어시스턴트를 거쳐 인사(HR) 관련 쿼리를 라우팅할 때, 연결된 시스템(디렉토리, 위키, 내부 포털 등)의 데이터는 조직의 직접적인 통제 범위를 벗어나 이동합니다. Cyberhaven의 2025 AI 도입 및 리스크 보고서 (2025 AI Adoption & Risk Report)에 따르면, 직원이 AI 도구에 입력하는 모든 기업 데이터 중 34.8%가 민감 정보이며, 이는 2년 전 10.7%에서 증가한 수치입니다. 직원 기록은 그중 상당한 비중을 차지합니다.

구조적 실패 모드 (The Structural Failure Mode)

에이전트 시스템에서 직원 PII 노출을 야기하는 패턴은 새로운 공격 벡터 (Attack vector)가 아닙니다. 이는 아키텍처상의 공백입니다. 즉, 에이전트가 광범위한 데이터 저장소에 대한 접근 권한을 가진 서비스 계정 자격 증명 (Service account credentials)을 보유하고 있지만, 특정 워크플로를 위해 해당 데이터의 어떤 하위 집합이 모델의 컨텍스트로 들어갈 수 있는지 지정하는 별도의 정책이 없는 상태를 의미합니다.

2025년 5월, 에이전트 기반 AI (Agentic AI) 기반 IT 관리 및 워크플로 소프트웨어 제공업체인 Serviceaide는 483,000명의 Catholic Health 환자에게 영향을 미친 데이터 유출 사고를 보고했습니다. 이 실패는 컨텍스트 윈도우 (Context Window) 유출이 아니라, 실수로 공개적으로 접근 가능하게 설정된 Elasticsearch 데이터베이스 때문이었습니다. 하지만 이 사건은 에이전트 기반 AI 배포에서 흔히 나타나는 거버넌스 (Governance) 패턴을 보여줍니다. 즉, 에이전트가 의존하는 데이터 인프라에는 에이전트의 실제 기능 범위로 지정되지 않은 민감한 기록들이 축적되며, 해당 스택의 어느 곳에서든 발생하는 거버넌스 공백은 컴플라이언스 (Compliance) 노출을 초래한다는 점입니다.

직원 데이터 버전의 이러한 실패는 환자 기록 노출보다 덜 눈에 띄지만, 구조적으로는 동일합니다. HR API에 접근 권한이 있는 재무 조정 에이전트 (Finance Reconciliation Agent)는 처리하도록 의도되지 않은 급여 필드에 접근할 수 있습니다. 이메일을 요약하는 생산성 에이전트 (Productivity Agent)는 인접한 스레드에서 성과 검토, 해고 통지서, 편의 제공 요청 등을 흡수할 수 있습니다. 급여 모듈을 디버깅하는 코딩 에이전트 (Coding Agent)는 테스트 데이터에 포함된 사회보장번호 (Social Security numbers)를 마주칠 수 있습니다. 이 중 어떤 경우에도 에이전트는 자신이 무엇을 축적했는지 또는 왜 그랬는지에 대해 명시하지 않습니다.

에이전트 시스템에서 직원 PII가 법적으로 구별되는 이유

대부분의 데이터 거버넌스 (Data Governance) 프레임워크는 직원 데이터를 내부 운영 데이터와 동일하게 취급합니다. 즉, 규제 대상이기는 하지만 고객 PII (개인식별정보)와 동일한 수준의 표준을 적용하지는 않습니다. 에이전트 기반 AI는 세 가지 방식으로 이 계산법을 변화시킵니다.

의료 기관의 직원 데이터에는 HIPAA가 적용됩니다. 건강 보험 혜택 선택, FMLA (가족 및 의료 휴가법) 문서, 그리고 편의 제공 기록은 HIPAA에 따른 보호 대상 건강 정보 (PHI)입니다. 고유 사용자 식별 표준 (45 CFR § 164.312(a)(2)(i))은 PHI 접근이 특정 개인으로 추적 가능할 것을 요구합니다. 여러 에이전트가 하나의 서비스 계정 (Service Account)을 공유할 때, 감사 추적 (Audit Trail)은 이 요구 사항을 충족할 수 없습니다. 즉, 관리 연속성 (Chain of Custody)은 존재하지 않고, 단지 자격 증명 로그 (Credential Log)만 남게 됩니다.

GDPR의 데이터 최소화 (Data Minimization) 의무는 선택 사항이 아닙니다. 제5조 1항 (c)에 따라 개인정보는 처리 목적에 있어 "적절하고, 관련이 있으며, 필요한 범위 내로 제한"되어야 합니다. 에이전트가 좁은 질문에 답하기 위해 광범위하게 정보를 가져오는 컨텍스트 윈도우 (Context Window) 구축 방식은, EU 직원의 데이터가 범위에 포함될 경우 이 표준과 직접적인 충돌을 일으킵니다. 2026년 3월 19일, 25개 유럽 데이터 보호 당국이 공동으로 시작한 집행 조치는 자동화된 처리 (Automated Processing)에서의 투명성 의무를 구체적으로 겨냥하고 있으며, 이는 에이전트형 AI (Agentic AI)까지 확장됩니다.

CCPA의 ADMT 요구 사항은 2026년 1월 1일부터 시행됩니다. 캘리포니아의 자동 의사결정 기술 (Automated Decision-Making Technology, ADMT) 규칙은 자동화된 시스템이 직원 등 개인에 대해 중대한 결정을 내릴 때 의미 있는 공개를 의무화합니다. 일정 관리, 성과 분석, 작업 할당 등 인사(HR) 워크플로에 사용되는 AI 에이전트는 대부분의 법무 팀이 기존 에이전트 배포 환경에 대해 아직 평가하지 않은 ADMT 의무를 촉발할 수 있습니다.

에이전트 시스템을 위한 실질적인 직원 PII 정책이 반드시 포함해야 할 사항

데이터 액세스 정책 (Data Access Policy)은 어떤 자격 증명 (Credentials)이 어떤 시스템에 접근할 수 있는지를 제어합니다. 에이전트 PII 정책은 이와 다릅니다. 이는 서비스 계정 자격 증명이 무엇을 검색할 수 있는지와 관계없이, 어떤 데이터가 모델의 컨텍스트 윈도우 (Context Window)에 들어갈 수 있는지를 제어합니다. 대부분의 조직은 첫 번째 정책만 보유하고 있습니다. 두 번째 정책이 바로 결여되어 있는 부분입니다.

사후 처리 탐지가 아닌, 실행 전 가로채기 (Pre-execution interception). 기업용 보안 도구는 탐지 (Detection)를 중심으로 구축되어 있습니다. 즉, 발생한 일을 기록하고, 위반 사항을 알리며, 사후에 조사하는 방식입니다. AI 에이전트의 경우, 탐지는 구조적으로 불충분합니다. PII가 일단 컨텍스트 윈도우에 진입하여 모델의 완성 (Completion)에 영향을 미치면, 이미 노출이 발생한 것이기 때문입니다. 효과적인 거버넌스 (Governance)를 위해서는 모델이 데이터를 보기 전에 가로채야 합니다. 즉, 검색 결과와 도구 호출 (Tool Call) 응답이 모델에 도달하기 전에 관련 없는 필드를 제거해야 합니다.

에이전트의 동작을 규정하는 데이터 처리 정책 (data handling policies)은 로깅 계층 (logging layer)이 아닌 검색 계층 (retrieval layer)에서 작동해야 합니다.

자격 증명 (credential) 수준이 아닌 에이전트 수준에서의 범위 강제 (Scope enforcement). 서비스 계정 (service account) 권한은 인프라 설정입니다. 에이전트 PII 정책은 워크플로(workflow)별로 어떤 데이터 유형이 에이전트의 컨텍스트 (context)에 들어오는 것을 허용할지 지정하는 별도의 계층입니다. 재무 조정 (finance reconciliation) 에이전트는 서비스 계정이 해당 데이터를 검색할 수 있더라도 직원의 집 주소를 처리해서는 안 됩니다. 이는 현재 어떤 RBAC (역할 기반 액세스 제어) 시스템도 AI 에이전트를 위해 강제하지 못하는 정책적 결정입니다. 왜냐하면 RBAC는 컨텍스트 윈도우 (context window) 구축이 아닌 인간 사용자를 위해 설계되었기 때문입니다.

액세스 감사 추적 (access audit trail)에서의 에이전트 식별. 여러 에이전트가 하나의 자격 증명을 공유할 때, 액세스 로그는 모든 데이터 액세스를 하나의 서비스 계정 이름으로 귀속시킵니다. 이것은 감사 추적 (audit trail)이 아니라, 귀속 정보가 없는 연결 로그 (connection log)일 뿐입니다. HIPAA 적용 워크플로의 경우, 액세스 감사 추적 내의 에이전트별 식별은 공유 자격 증명으로는 충족할 수 없는 필수 요구 사항입니다.

벤더 어시스턴트를 위한 MCP 네이티브 PII 필터링. 내부 에이전트는 SDK 계측 (instrumentation)을 통해 관리될 수 있습니다. 반면, 직원들이 이미 업무에 사용 중인 벤더 어시스턴트 (vendor assistants)는 전송 계층 (transport layer)에서의 거버넌스가 필요합니다. 벤더 어시스턴트의 컨텍스트로 유입되는 MCP 연결을 통한 데이터 흐름 (data flowing through those MCP connections)은 어떤 어시스턴트가 요청을 보내는지와 관계없이, 모델에 도달하기 전 전송 과정에서 PII 필터링이 적용되어야 합니다.

Waxell이 에이전트 시스템에서 직원의 PII를 처리하는 방법

Waxell Observe는 단 2줄의 코드만으로, 시스템 재구축 없이 컨텍스트 인제스션 (Context Ingestion) 계층에서 AI 에이전트를 모니터링합니다. LangChain, CrewAI, AutoGen, OpenAI, Anthropic을 포함하여 200개 이상의 지원되는 라이브러리 및 프레임워크 전반에 걸쳐, 데이터가 모델에 도달하기 전에 이를 가로챕니다. 그 후 PII, 개인정보 보호 (Privacy), 컴플라이언스 (Compliance), 신원 (Identity)을 아우르는 50개 이상의 정책 카테고리에서 추출한 탐지 및 비식별화 (Redaction) 규칙을 적용하며, 무엇이 왜 비식별화되었는지를 포함한 전체 실행 트레이스 (Execution Trace)를 기록합니다. 이를 통해 GDPR의 책임 원칙 (Article 5(2)) 및 HIPAA의 액세스 감사 요구 사항이 요구하는 직원 데이터에 대한 관리 연속성 (Chain of Custody)을 생성합니다.

벤더 어시스턴트 및 MCP 연결 도구의 경우, Waxell의 MCP 게이트웨이 (MCP Gateway)가 전송 계층 (Transit Layer)에서 작동합니다. PII는 어시스턴트 모델에 도달하기 전 전송 과정에서 탐지 및 비식별화됩니다. API 키, 토큰, 임베디드 자격 증명과 같은 비밀 정보 (Secrets)는 완전히 차단되어 게이트웨이를 절대 벗어나지 않습니다. 도구 핑거프린팅 (Tool Fingerprinting)을 통해 조직이 승인한 연결이 어시스턴트가 실제로 사용 중인 연결임을 보장합니다. PII 정책은 어떤 어시스턴트가 요청을 시작하든 관계없이 강제 적용됩니다.

의료 인사 (HR), 금융 보상 시스템, 잘못된 처리가 되돌릴 수 없는 규제 신고와 같이 위험도가 높은 직원 데이터 워크플로우의 경우, Waxell Runtime은 각 단계가 실행되기 전 실행 전 정책 강제 적용 (Pre-execution Policy Enforcement)을 제공합니다. 정책 게이트 (Policy Gates), 예산 제한, 내구성 있는 워크플로우 체크포인트 (Workflow Checkpoints)는 거버넌스가 사후에 적용되는 것이 아니라 실행 환경 자체에 내장되도록 보장합니다.

이 결합된 아키텍처는 현재 대부분의 배포 환경에서 부족한 요소, 즉 서비스 계정 권한과 모델 컨텍스트 사이에서 작동하며 GDPR 감사, HIPAA OCR 조사, CCPA 집행에서 요구할 컴플라이언스 산출물을 생성하는 범위가 제한된 감사 가능한 개인정보 보호 강제 적용 (Privacy Enforcement) 계층을 만들어냅니다.

FAQ

왜 AI 에이전트 내의 직원 PII는 고객 PII보다 거버넌스(Governance)를 구축하기가 더 어려운가요?

고객 PII 거버넌스는 동의 흐름 (Consent flows), 구조화된 데이터 저장소 (Structured data stores), 명확한 경계가 있는 규제 대상 애플리케이션과 같이 정의된 경계가 존재합니다. 하지만 AI 에이전트 시스템 내의 직원 데이터는 이러한 경계가 결여되어 있습니다. 내부 에이전트는 인사 디렉토리 (HR directories), 생산성 스위트 (Productivity suites), 코드베이스 (Codebases), 그리고 운영 데이터베이스 (Operational databases)를 동시에 가로지르며 작동합니다. 이 중 그 어느 것도 AI가 해당 콘텐츠로부터 컨텍스트 윈도우 (Context windows)를 구성할 것이라는 가정하에 설계되지 않았습니다. 직원 PII는 기존의 어떤 데이터 정책도 구체적으로 다루지 않는 경로를 통해 모델 컨텍스트 (Model contexts)로 유입됩니다.

AI 에이전트에 의해 처리되는 직원 PII에 GDPR이 적용되나요?

네, 적용됩니다. GDPR의 데이터 최소화 의무 (Data minimization obligation, 제5조 제1항 (c)) 및 책임성 원칙 (Accountability principle, 제5조 제2항)은 직원을 포함하여 EU 개인에 관한 모든 개인정보 처리에 적용됩니다. 직원 기록을 검색하는 AI 에이전트는 처리를 명시된 목적에 필요한 범위로 제한해야 하며, 준수 여부를 입증할 수 있어야 합니다. 25개 유럽 데이터 보호 당국 (DPAs)이 참여한 EDPB의 2026년 3월 합동 집행 조치 (Coordinated enforcement action)는 자동화된 처리에서의 투명성 의무를 구체적으로 조사했으며, 이는 에이전트형 AI (Agentic AI) 시스템에도 확장 적용됩니다.

HIPAA의 고유 사용자 식별 표준 (Unique user identification standard)은 AI 에이전트에 어떻게 적용되나요?