[디지털데일리 김보민기자] 개인정보보호위원회(이하 개인정보위)가 SK텔레콤의 통화녹음·요약 서비스 '에이닷'에 시정권고 조치를 내렸다. 시스템 접속기록을 보관하지 않았다는 이유인데, SK텔레콤 측은 이번 조치에 수용 의사를 밝힌 것으로 전해진다.

개인정보위는 13일 종로 정부서울청사에서 브리핑을 열고 전날 전체회의에서 의결한 인공지능(AI) 응용 서비스 사업자 대상 사전 실태점검 결과를 공유했다.

첫 화두는 SK텔레콤 에이닷이었다. 개인정보위는 에이닷이 개인정보 안전조치 의무를 준수하지 않았다고 진단해 시정권고 결정을 내렸다.

에이닷은 이용자 기기에서 통화 녹음이 끝나면 SK텔레콤 서버에서 이를 텍스트로 변환하고, 마이크로소프트(MS) 클라우드 내 챗GPT를 기반으로 요약을 진행하는 방식으로 작동한다. 개인정보위는 이 과정에서 텍스트 파일을 보관하는 시스템 등에 접속기록이 없었던 점을 문제점으로 꼽았다.

개인정보보호법에 따르면 개인정보처리자는 개인정보가 도난되거나 분실되지 않도록 접속기록을 보관하는 방식으로 안전성을 확보해야 한다. 강대현 개인정보위 조사1과장은 "개인정보처리시스템에 무단으로 누가 접속하는 상황을 방지하기 위해 접속기록을 1년 이상 보관하게 돼 있고, 그 여부에 대해 월 1회 이상 점검하도록 돼 있다"고 말했다.

개인정보위는 SK텔레콤이 에이닷 서비스에 대해 시스템상 접속기록의 보관 및 점검 등 안전조치 의무를 준수하도록 시정권고했다. 강 과장은 "(SK텔레콤 측도) 전날 피심인으로 출석해 위원회가 제시한 내용에 대해 수용하고 적극 조치했다는 의사를 밝혔다"고 말했다.

시정권고는 법적 수용 의무가 없는 개선권고와 달리 '법 위반 행위'에 대한 판단이 깔려있다는 점에 특징이다. 시정권고 조치가 내려진 기업은 10일 내 수락 여부를 밝혀야 한다. 수락 시 시정명령을 받은 것으로 간주되고, 거부할 시 정식 조사로 전환된다. 전환이 이뤄지면 위반 및 위법 행위에 대해 후속조치가 내려질 수 있다. 시정명령을 이행하지 않으면 3000만원 이하 과태료가 부과된다.

다만 SK텔레콤이 실제 시정권고를 선제적으로 반영했는지는 지켜볼 부분이다. 강 과장은 취재진과 별도로 만난 자리에서 "수용적인 의사를 표한 것은 맞지만, 실제 조치가 취해졌는지에 대해서는 이행점검이 필요하다"고 말했다. 이행점검은 개인정보위 측이 시행한다.

개인정보위는 정보주체가 에이닷 사용에 대한 내용을 명확히 인지할 수 있도록 세부 개선권고 사항도 밝혔다. 텍스트 파일 보관 기간을 최소화하고, 비식별 처리를 강화하는 것이 골자였다.

개인정보위는 상대방 의사 없이 통화내용을 녹음하는 에이닷 서비스가 통신비밀보호법을 위반할 소지가 있지 않느냐는 일부 의견에 대해서는 위원회 측이 확인할 수 있는 사항이 아니라고 단언했다. 강 과장은 "통신비밀보호법 위반 소지 여부는 과학기술정보통신부(이하 과기정통부)에서 판단할 사항"이라고 선을 그었다.

한편 개인정보위는 스노우, 딥엘(DeepL), 뷰노에 대해서도 사전 실태점검에 따른 조치를 내렸다.

스노우의 경우 생성형 AI 기술을 기반으로 AI 프로필 등 얼굴 사진을 변형한 이미지를 만드는 서비스를 제공 중이다. 개인정보위는 스노우가 제공하는 특정 기능이 이미지를 서버로 전송해 사용·처리하고 있지만, 처리 방침에는 이용자가 알기 어려운 형태로 공개하고 있다는 점을 지적했다. 이미지 필터링 등 외부 개발도구(SDK) 안전성을 검토하지 않은 점도 꼬집었다. 개인정보위는 위 내용을 점검해 보완할 것을 개선권고했다.

이 밖에 딥엘에 대해서는 위원회가 올 초 발표한 내용을 반영한 점을 고려해 별도 개선권고를 하지 않았다. 뷰노에 대해서는 AI 학습데이터 수집 및 처리 관련 보호법 위반 사항이 발견되지 않았다고 결론지었다.