SKT AI 개인비서 에이닷, 시스템 접속 관리 소홀…개보위 시정 권고

▲고학수 개인정보보호위원회 위원장이 12일 오후 서울 종로구 정부서울청사에서 개최된 제10회 개인정보보호위원회 전체회의에서 의사봉을 두드리고 있다. (사진제공=개인정보위)

SK텔레콤 AI 개인비서 서비스 A.(에이닷)이 시스템 접속 기록을 보관하지 않아 개인정보위원회로부터 시정 권고 조치를 받았다.

개인정보보호위원회는 12일 제10회 전체회의를 열고, 에이닷 등 인공지능(AI) 응용서비스를 제공하는 4개 사업자(SKT·스노우·DeepL·뷰노)에 대한 사전 실태점검 결과를 심의‧의결했다고 13일 밝혔다.

SKT는 통화녹음‧요약 및 실시간 통역 등을 제공하는 서비스의 시스템 접속 기록을 보관하지 않아 시정 권고 조치를 받았다. 시정 권고는 개인정보보호법 위반 사항을 발견할 경우 내려지는 권고 조치이다.

에이닷은 이용자의 기기에서 통화 녹음이 이루어지면 음성파일이 SKT의 서버에서 텍스트로 변환되고, 이를 다시 MS의 클라우드에서 요약해 이용자에게 전달한다. 에이닷은 그 과정에서 텍스트 파일을 보관하는 시스템에 접속 기록을 보관하지 않았다.

개인정보보호법 29조는 개인정보처리시스템에 무단 접속 등을 방지하기 위해 접속기록을 1년 이상 보관하게 돼 있고, 그 접속기록 여부에 대해서 월 1회 이상 점검하도록 하고 있다.

이번 심의에서 법 위반으로 시정 권고 조치를 받은 건 4개 회사 중 SKT가 유일하다. 12일 전체회의는 평소보다 길어진 것도 에이닷 심의 때문인 것으로 알려졌다.

개인정보위 관계자는 "SKT 에이닷의 통화 녹음 요약 및 통역 과정에서 기술 처리가 어떻게 이뤄지는 실제 동의 및 화면 제공 사안까지 확인하고, 시정권고 내용이 적정한 지에 대해 논의를 투명하고 명확하게 가감없이 했다"고 말했다.

개보위는 또 SKT에 텍스트 파일의 보관 기간 최소화, 비식별 처리의 강화, 서비스 내용에 대해 정보주체들이 명확히 이해할 수 있는 조치를 마련‧시행할 것을 개선 권고하기로 했다.

시정권고를 받은 기업은 통보받은 날부터 10일 이내에 해당 권고를 수락하는지에 관하여 보호위원회에 통지해야 한다. SKT 관계자는 "개보위의 사전 시정권고를 받아 시정 조치 완료한 사안"이라면서 "재발 방지를 위해 시스템 개선 등 노력하겠다”고 밝혔다.

한편, 스노우는 개인정보 처리‧전송 가능성을 점검할 것을 개선 권고를 받았다. 개선권고는 사업자들이 반드시 수용할 의무는 없지만, 개인정보호호 취지에 따라서 조치를 해야 된다는 권고적 성격이다.

개보위는 스노우가 제공하는 특정 기능 관련해 이미지를 서버로 전송해 사용‧처리 중이나, 처리방침에는 이용자가 알기 어려운 형태로 공개하고 있고, 이미지 필터링 등을 위한 외부 개발도구(Software Development Kit, SDK)의 안전성을 충실히 검토하지 않았다고 설명했다. 번역 서비스 DeepL과 의료 AI 기업 뷰노는 별도의 권고 조치를 받지 않았다.