개인정보보호위원회가 시스템 접속기록을 보관하지 않은 SK텔레콤 인공지능(AI) 개인비서 ‘에이닷’에 ‘안전조치 의무 준수’를 시정권고했다. 개인정보위는 지난 12일 제10차 전체회의를 열고 AI 응용서비스를 제공하는 에이닷, 스노우, 딥엘(DeepL), 뷰노에 대한 사전 실태점검 결과를 심의·의결했다고 13일 밝혔다.
SKT 에이닷은 통화녹음·요약 및 실시간 통역을 제공하는 서비스다. 녹음·요약 서비스는 이용자가 녹음한 음성파일이 SKT 서버에서 텍스트로 변환되고, 이를 마이크로소프트(MS) 클라우드가 요약해 이용자에게 전달하는 방식으로 이뤄진다.
개인정보위 실태점검 결과 이용자의 통화 녹음 텍스트 파일을 보관하는 시스템 등에 접속기록이 보관되지 않은 사실이 드러났다. 개인정보위는 SKT가 접속기록을 보관해야 한다고 규정한 개인정보보호법 제29조를 위반했다고 판단했다. 이에 시스템상 접속기록 보관·점검 등 안전조치 의무를 준수하도록 시정권고했다.
아울러 SKT에 텍스트 파일 보관 기간 최소화, 비식별 처리 강화, 서비스 내용을 정보주체들이 명확히 이해할 수 있는 조치를 마련하고 이행할 것을 개선권고했다. 다만 SKT는 이번 점검 기간 동안 국외이전 관련 고지 구체화, 학습데이터 보관기간 단축 등의 조치를 취했다고 개인정보위는 덧붙였다.
시정권고를 받은 SKT는 10일 이내에 수용 여부를 밝혀야 한다. 수용을 거부하면 실태점검이 아닌 일반조사로 전환돼 제재 처분이 내려진다. 시정권고를 수용하면 시정명령을 받는다. 시정명령을 이행하지 않으면 3000만원 이하의 과태료가 부과된다.
강대현 개인정보위 조사1과장은 “SKT가 점검 과정에서 지적된 내용을 수용하고 조치했다고 밝혔다”면서 “시정권고 이후에 실제로 개선됐는지 여부를 정밀하게 확인할 계획”이라고 밝혔다.
생성형 AI 기술로 얼굴 사진을 변형한 이미지를 생성해 주는 ‘스노우’는 개인정보처리방침을 이용자가 알기 어려운 형태로 공개하고 있는 사실이 드러났다. 이미지 필터링 등을 위한 외부 개발도구(SDK)의 안전성을 충실히 검토하지 않은 사실도 밝혀졌다.
이에 개인정보위는 스노우에 개인정보를 처리할 때 이용자가 쉽게 알 수 있도록 하고, 외부 SDK로 개인정보를 처리할 시 의도하지 않은 개인정보 처리·전송 가능성을 점검할 것을 개선권고했다.
AI 기술로 전 세계 31개 언어를 번역해 주는 ‘딥엘’은 이용자들이 무료 서비스에 입력한 정보로 AI 학습 및 인적 검토를 진행하면서 이를 명확히 공개하지 않았던 것으로 나타났다. 다만 개인정보위는 딥엘이 개인정보를 입력하지 않도록 안내하고. 인적 검토 사실을 처리 방침에 반영하면서 별도의 개선권고는 하지 않기로 했다.
AI 기반 의료영상·생체신호 판독·진단 보조·질환 예측 프로그램인 ‘뷰노’는 개인정보보호법 위반 사항이 드러나지 않았다.
앞서 개인정보위는 지난해 11월부터 국내·외 주요 서비스를 거대언어모델(LLM) 관련 사업자와 응용서비스 제공사업자로 나눠 점검했다. 지난 3월 LLM 관련 사업자 점검 결과를 발표하고 구글 등 6개 기업에 개인정보 처리 등에 일부 미흡한 사항이 있다며 개선권고했다. 이번 점검은 SKT 등 4개 응용서비스 제공사업자를 대상으로 했다.
김용헌 기자 yong@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
