SKT ‘에이닷’, 시스템 접속기록 미보관…개보위 시정권고

개보위, 에이닷·스노우·딥엘·뷰노 등 AI 서비스 사전 실태점검

SK텔레콤 에이닷 이미지. <출처=SKT>

SK텔레콤의 인공지능(AI) 개인비서 ‘에이닷’이 시스템 접속기록을 보관하지 않아 개인정보보호법을 위반해 개인정보보호위원회로부터 ‘안전조치 의무 준수’ 시정권고를 받았다.

13일 개인정보보호위원회는 전날 제10회 전체회의를 열고 에이닷, 스노우, 딥엘, 뷰노 등 AI 응용서비스를 제공하는 4개 사업자에 대한 사전 실태점검 결과를 심의·의결했다고 밝혔다. 이들 사업자의 개인정보 처리 과정이 점검 대상이었다.

에이닷의 통화 녹음 서비스는 SKT 서버에서 이용자의 통화 녹음 음성파일을 텍스트로 변환하고, 이를 마이크로소프트(MS)의 클라우드 시스템에서 챗GPT 모델로 요약해 이용자에게 전달하는 방식으로 운영되고 있었다. 이 과정에서 텍스트 파일을 저장하는 시스템에 접속기록이 보관되지 않은 사실이 드러났다.

개인정보보호법에 따르면 개인정보처리자는 개인정보가 분실되거나 도난당하지 않도록 접속기록 보관 등 안전성 확보에 필요한 조처를 해야 한다. 이에 따라 위원회는 SKT가 관련 법을 위반했다고 판단, 시스템상 접속기록의 보관 및 점검 등의 안전조치 의무를 준수할 것을 시정권고했다.

위원회는 또한 텍스트 파일의 보관 기간 최소화, 비식별 처리 강화, 서비스 내용에 대해 정보주체가 명확히 이해할 수 있는 조치 마련을 개선권고했다. SKT는 열흘 이내에 시정권고 수용 여부를 밝혀야 하며, 이를 거부할 경우 실태점검이 아닌 일반 조사로 전환되어 제재 처분을 받을 수 있다. 시정명령 이행하지 않을 시 과태료 3000만원이 부과된다.

강대현 개인정보위 조사1과장은 “SK텔레콤이 지적된 내용을 수용하고 적극적으로 조치하겠다는 의사를 밝혔다”며 “시정권고 이후 실제 개선 여부를 정밀히 확인할 계획”이라고 말했다. 다만, 통신비밀보호법 위반 여부는 과학기술정보통신부가 판단할 사항이라고 선을 그었다.

스노우의 경우, AI 기술로 얼굴 사진을 변형한 이미지를 만들어 주는 서비스에서 별도의 학습 데이터를 수집하지 않고, 생성된 이미지는 이용자 편의를 위해 일정 기간 서버에 보관할 뿐 다른 목적으로 이용하지 않은 것으로 확인됐다. 그러나 스노우는 개인정보 처리방침을 이용자가 알기 어렵게 공개했고, 이미지 필터링을 위한 외부 개발도구(SDK)의 안전성을 충분히 검토하지 않은 것으로 나타났다. 이에 위원회는 개인정보를 서버로 전송해 처리할 때 이용자가 쉽게 인지할 수 있도록 하고, 외부 SDK 사용 시 개인정보처리 전송 가능성을 점검할 것을 개선권고했다.

딥엘은 이용자가 무료 서비스에 입력한 텍스트를 AI 학습 데이터로 활용하면서 이를 명확히 공개하지 않았다. 그러나 이후 이를 개선해 별도의 개선권고는 하지 않기로 했다. 뷰노는 위반 사항이 발견되지 않았다.

개인정보보호위원회는 앞으로도 정보주체가 안심하고 AI 서비스를 활용할 수 있도록 지속적인 모니터링을 실시하고, 안전한 개인정보 활용 방안을 마련할 계획이다.

[CEO스코어데일리 / 김동일 기자 / same91@ceoscore.co.kr]

심층분석

CEO's PICK