LGU+ 익시오 통화내용, 해외로 빠져나가… "AI 학습용 제한"

온디바이스 AI 보안성 강조 불구
앱 고도화 위해 MS·구글 서버로
LGU+ "동의자 기록들만 이전"
금융·사생활 정보 포함됐을수도
전문가 "재식별 위험 통제해야"

LG유플러스가 인공지능(AI) 통화 앱 '익시오' 고도화를 위해 이용자 동의를 받은 통화내용 전문을 마이크로소프트(MS)와 구글의 해외 서버로 이전한다. 그동안 통화 보안을 강점으로 내세워 익시오의 주요 기능을 휴대폰 안에서 처리하는 '온디바이스 AI'를 강조해왔지만, AI 재학습과 서비스 고도화 과정에서는 글로벌 클라우드 인프라를 활용하기 때문이다.

통신사들의 AI 통화비서 경쟁이 치열해지면서 이용자의 통화 데이터가 해외 클라우드에서 처리되는 사례도 늘고 있다. 통화에는 금융·민감정보나 업무상 기밀 등이 포함될 가능성이 있는 만큼 국외 이전되는 데이터의 접근·이용·보관 과정에 대한 보다 엄격한 관리와 점검이 필요하다는 지적이 나온다.

■익시오 사용자 통화내용 전체, 31개국 해외서버로

15일 파이낸셜뉴스 취재내용을 종합하면 LG유플러스는 최근 익시오 개인정보처리방침을 개정하고 자동화된 비식별 처리 과정을 거친 통화내용 전문을 MS와 구글LLC에 이전하는 항목을 신설했다. 개정된 개인정보처리방침은 지난 14일부터 적용됐다.

구체적으로는 MS를 통해 미국·캐나다·브라질·영국·네덜란드·프랑스·독일·이탈리아·스페인·스위스·노르웨이·스웨덴·폴란드·호주·일본·싱가포르·인도·남아프리카공화국·아랍에미리트 등 19개국으로 이전된다. 구글LLC를 통해서는 미국·캐나다·멕시코·브라질·칠레·우루과이·영국·아일랜드·벨기에·네덜란드·독일·스위스·이탈리아·프랑스·스페인·폴란드·핀란드·스웨덴·덴마크·이스라엘·카타르·사우디아라비아·남아프리카공화국·인도·대만·홍콩·일본·싱가포르·인도네시아·태국·호주 등 31개국으로 이전된다. 다만 해당 정보는 수집일로부터 1년6개월간 보관한 뒤 파기된다.

통화전문은 사용자의 통화 내용을 텍스트로 전환한 기록이다. LG유플러스는 이를 서비스 품질 평가와 AI 학습용 정답 생성(라벨링), 데이터 분석 등에 활용해 익시오 AI 모델을 재학습하고 고도화할 계획이다.

■"익시오 고도화 위해서만 활용"

LG유플러스가 정보를 국외로 이전하는 배경에는 글로벌 클라우드 사업자의 데이터 처리구조가 있다. 익시오는 챗GPT와 제미나이, 클로드 등 글로벌AI 모델과 MS, 구글 등의 인프라를 활용하는데 데이터를 처리하는 서버가 해외에 있는 경우 통화전문도 해당 국가로 이전해 학습을 해야 하는 것이다. LG유플러스는 "통화전문은 (타 AI 모델 학습이 아닌) 익시오 고도화에만 활용된다"며 "통화 당사자와 상대방 모두 동의할 경우에 이전된다"고 설명했다.

개인정보 국외이전은 개인정보보호법 제28조의 8 개인정보처리자가 개인정보 국외 제공이나 처리·보관 위탁을 할 수 없도록 엄격하게 규정하고 있다. 단, 정보주체로부터 동의를 받은 경우에는 허용된다. 이전되는 개인정보 항목과 국가·시기·방법, 이전받는 사업자, 이용 목적과 보유 기간, 거부방법 등을 모두 정보주체에게 알려야 한다.

LG유플러스는 익시오 앱을 통해 관련 내용을 공지하고 이를 선택적 동의 사항으로 두고 있다. 동의하지 않아도 익시오 서비스를 이용할 수 있으며, 동의 거부와 철회방법도 안내하고 있다.

■민감정보 포함 국외이전…우려도

그러나 법적 요건을 충족했더라도 통화정보 특성상 보다 엄격한 관리체계를 갖춰야 한다는 게 보안업계의 지적이다. 통화에는 금융계좌, 사생활, 건강 등 다양한 개인·민감정보가 포함될 수 있어 비식별처리만으로 위험을 완전히 차단하기 어렵다는 의미다.

한 보안업계 전문가는 "통화에는 금융·건강정보, 업무상 기밀 등 일반적 개인정보보다 민감한 내용이 복합적으로 포함될 가능성이 높다"며 "이름과 전화번호 등 직접 식별자를 제거하더라도 대화 내용과 시간, 장소, 직업 등의 정보를 결합하면 개인을 다시 알아볼 수 있어 관리에 각별한 주의가 필요하다"고 강조했다. 특히 "데이터를 해외로 이전할 때는 학습에 필요한 정보만 최소화하고 재식별 가능성을 주기적으로 평가해야 한다"며 "전송·저장 구간 암호화와 암호키 분리, 최소권한 설정, 접근기록 관리, 재위탁 통제 등 국가·사업자별 데이터 처리 전 과정에 대한 관리·감독이 필요하다"고 지적했다.

아울러 "장기간 보관하는 데이터는 목적 외 이용과 이상 접근 여부를 지속적으로 점검하고, 이용자가 처리 현황과 삭제 절차를 명확히 알 수 있도록 해야 한다"고 강조했다.

[email protected] 최혜림 기자