SK텔레콤이 전사 개인정보 업무 프로세스를 한눈에 파악할 수 있는 '인공지능(AI) 개인정보보호 포털'을 구축한다. 사후 점검에 머물던 개인정보보호 업무를 서비스 기획 단계부터 체계적으로 식별·관리하는 사전 예방체계로 전환하려는 조치다.
25일 차호범 SK텔레콤 개인정보보호책임자(CPO)는 “개인정보가 어디로 이동하고 어떻게 처리되는지 파악할 수 있어야 위험을 미리 차단할 수 있다”면서 “흩어진 개인정보 처리 업무를 통합 관리할 수 있는 사내 시스템을 구축 중”이라고 밝혔다.
통신사 특성상 개인정보를 다루는 서비스는 수백개에 이르지만 처리 경로가 여러 시스템에 분산돼 있다보니 루프홀(허점)이 발생해 개인정보 유출 및 오남용에 취약할 수 있다는 우려가 많았다.
SK텔레콤이 구축 중인 AI 개인정보 포털은 서비스 기획부터 수집·이용·보관·파기까지 개인정보 처리 전 과정을 한곳에 모았다. 여기에 AI 에이전트를 탑재했다. AI가 서비스별 개인정보 흐름을 도식화해 알려주고 위험 요인을 체크한다.
차 CPO는 “현업은 믿고 업무를 진행할 수 있고 CPO 조직은 사업 단계별 개인정보 취약요소를 쉽게 점검할 수 있다”고 설명했다. SK텔레콤은 AI 거버넌스 원칙과 책임체계, 신뢰성 강화 성과를 정리한 AI 거버넌스 리포트도 발간했다.
회사는 지난해 침해사고 이후 CISO가 겸직하던 CPO를 분리 선임했다. CPO 조직은 IT·네트워크·마케팅·외부 협력사까지 영역 제한 없이 개인정보를 관리·감독하고 이사회에 분기마다 보고한다. 주요 서비스 출시·개발 안건에도 배석해 개인정보 리스크를 사전 점검한다.
SK텔레콤의 개인정보보호 전략 핵심은 사전 예방과 피해 최소화다. AI 해킹으로 완벽한 방어를 전제할 수 없는 상황에서 불필요한 정보를 수집하지 않고 필요한 기간만 보관하며 접근 권한을 최소화하는 것이 최선이라는 판단이다. 데이터를 암호화하고 분리 보관해 침해가 실질적 피해로 이어지지 않는데도 중점을 뒀다.
CPO의 남은 핵심 과제는 에이전틱 AI 환경에 적합한 개인정보 처리기준 마련이다.
AI 에이전트는 과업(태스크) 단위로 개인정보를 처리한다. 이용자가 출장 준비를 맡기면 일정 확인부터 항공권·숙소 예약까지 진행하며 항공사·호텔에 개인정보를 넘긴다. 수집·이용·제공마다 사전 동의를 받는 현행 체계로는 대응이 어렵다. 단계마다 동의를 받으면 서비스가 멈추고, 한 번의 동의로 모든 후속 행동을 허용하는 것은 과도하다.
차 CPO는 개인정보보호위원회가 마련 중인 에이전틱 AI 개인정보 처리 안내서에 구체적 실행 권한 통제 기준이 담겨야 한다고 밝혔다. 과업 수행에 필요한 범위 내에서 합리적 처리는 허용하되, AI가 그 정보로 무엇을 할 수 있는지에 대한 명확한 관리 기준이 필요하다는 것이다.
특히 이용자가 위임한 목적과 권한 범위, 처리의 필요성, 이용자 예측가능성을 함께 고려한 기준을 정부가 민간에 제시해줘야 실행형 에이전트 개발이 본격화할 수 있다고 강조했다.
차 CPO는 “AI 에이전트에 필요한 것은 무제한 자율이 아닌 이용자가 신뢰할 수 있는 범위 내 자율성”이라며 “위임한 범위 안에서는 AI가 자유롭게 업무를 수행하되, 중요한 행동에 대한 최종 통제권은 이용자에게 보장하는 것이 바람직하다”고 말했다.
박준호 기자 junho@etnews.com
