개인정보위, '시스템 접속 기록 미보관' SKT 에이닷에 시정권고

스노우·딥엘·뷰노 등 4개 업체 실태점검

스노우 "외부 SDK 안정성 검토할 것" 권고

개인정보보호위원회가 주요 인공지능(AI) 서비스 운영 실태를 점검한 결과 몇몇 업체에 시정권고 조치를 내렸다. 사진=연합뉴스 제공

개인정보위원회가 SK텔레콤의 인공지능(AI) 개인비서 '에이닷'에 시정권고 조치를 내렸다.

개인정보위원회는 12일 제10회 전체회의를 열어 에이닷, 스노우, 딥엘(DeepL), 뷰노 등 AI 응용서비스를 제공하는 4개 사업자에 대한 사전 실태점검 결과를 심의·의결했다고 13일 밝혔다.

개인정보위는 작년 11월부터 거대언어모델(LLM) 사업자와 응용서비스 제공사업자로 나눠 점검을 진행하고 있다. 지난 3월 LLM 사업자에 대한 우선 점검 결과를 발표한 데 이어 이날 SKT, 스노우 등 4개의 응용서비스 사업자 점검 결과를 발표했다.

개인정보위는 이번 사전 실태점검이 각 산업·서비스 분야에서 빠르게 AI를 도입하는 가운데 개인정보 처리 과정에서의 취약점을 선제적으로 점검하고 개선을 유도하였다는 데 목적이 있다고 설명했다.

현재 에이닷은 통화녹음과 요약 기능 사용 시 이용자의 기기에서 녹음을 진행, 음성파일이 SKT 서버에서 텍스트로 변환해 마이크로소프트 클라우드에서 요약한 뒤 이용자에게 전달하는 방식으로 운영되고 있다.

이 과정에서 개인정보위는 텍스트 파일을 보관하는 시스템 등에 접속기록이 보관되지 않는다는 점을 문제 삼았다.

현행 개인정보보호법에 따르면 개인정보처리자는 개인정보가 분실되거나 도난당하지 않도록 접속기록 보관 등 안전성 확보에 필요한 조처를 해야 한다

이에 개인정보위는 시스템상 접속기록의 보관·점검 등 안전조치 의무를 준수하도록 시정권고하기로 결정했으며, 개인정보보호 원칙 등에 따라 텍스트 파일 보관 기간 최소화, 비식별 처리 강화, 서비스의 정보 주체들이 명확히 이해할 수 있는 조치를 마련·시행할 것을 개선권고하기로 했다.

AI로 얼굴 사진을 변형된 이미지로 만들어 주는 서비스인 스노우의 경우 '개인정보 처리방침'을 이용자가 알기 어려운 형태로 공개했고, 이미지 필터링 등을 위한 외부 개발도구(SDK)의 안전성을 충실히 검토하지 않은 사실이 밝혀졌다.

이에 개인정보를 서버로 전송해 처리할 때 이용자가 이를 쉽게 인지할 수 있도록 하고, 외부 SDK를 사용해 개인정보를 처리하는 경우 의도치 않은 개인정보처리 전송 가능성을 점검할 것을 개선권고했다.

전 세계 31개 언어를 AI로 번역해 주는 서비스 '딥엘'은 공개된 데이터와 이용자가 무료 서비스에 입력한 텍스트를 AI 학습데이터로 활용했다.

딥엘은 이용자가 무료 서비스에 입력한 정보에 대해 AI 학습 및 인적 검토를 진행하면서 이를 명확하게 공개하지 않았던 사실을 확인했으나, 추후에 이를 개선한 것을 감안해 별도의 개선권고는 하지 않기로 했다.

AI 기반의 의료영상(X-RAY, CT, MRI 등)과 심전도 등 생체신호 판독·진단을 보조하고 질환을 예측하는 프로그램인 '뷰노'는 위반 사항은 발견되지 않았다.

개인정보위는 앞으로도 정보주체가 안심하고 AI 서비스를 활용할 수 있도록 AI 응용서비스에 대한 지속적인 모니터링을 실시하고, 안전한 개인정보 활용 방안을 마련할 계획이다.