사용자 명시적 동의가 있었다고 보기 어렵고, 수집 목적 벗어나 이용했다고 판단
깃허브에 공유한 대화 문장 및 AI 모델 역시 개인정보 보호법 위반
개인정보위, 향후 AI 개발과 서비스 제공 시 올바른 개인정보 처리방향 제시할 수 있을 것
[보안뉴스 이상우 기자] 개인정보 오남용 등으로 논란이 된 인공지능 챗봇 서비스 ‘이루다’에 대해 1억 330만 원의 과징금 및 과태료를 부과했다. 개인정보보호위원회(위원장 윤종인, 이하 개인정보위)는 4월 28일 열린 전체회의를 통해 챗봇 서비스 이루다의 개발사 ‘스캐터랩’에 대해 해당 과징금과 과태료 등을 부과했다.
이는 AI 기술 기업의 무분별한 개인정보 처리를 제재한 첫 번째 사례다. 이번 결과를 통해 기업이 특정 서비스를 목적으로 수집한 개인정보를 이용자의 명시적 동의 없이 다른 서비스에 이용하는 것을 제한하고, AI 개발과 서비스 제공 시 올바른 개인정보 처리 방향을 제시할 수 있을 것으로 보인다.
개인정보위는 지난 1월 12일 언론보도를 통해 조사에 착수했고, 이번 사건이 국민과 산업계에 미치는 영향을 고려해 AI 개발·서비스 제공에서 개인정보 처리현황과 법리적·기술적 쟁점에 대해 산업계, 법·학계, 시민단체 의견 수렴 및 위원회 논의를 거쳤다.
조사 결과, 스캐터랩은 자사의 앱 서비스인 ‘텍스트앳’과 ‘연애의 과학’에서 수집한 카카오톡 대화를 2020년 2월부터 2021년 1월까지 챗봇 서비스인 ‘이루다’의 AI 개발과 운영에 이용한 것으로 확인됐다. 스캐터랩은 이루다 AI 모델의 개발을 위한 알고리즘 학습 과정에서, 카카오톡 대화에 포함된 이름, 휴대전화번호, 주소 등의 개인정보를 삭제하거나 암호화하는 등의 조치를 전혀 하지 않고, 약 60만 명에 달하는 이용자의 카카오톡 대화문장 94억여 건을 이용했다. 이루다 서비스 운영 과정에서는, 20대 여성의 카카오톡 대화문장 약 1억 건을 응답 DB로 구축하고, 챗봇이 대화 중 한 문장을 선택해 대답할 수 있도록 운영해왔다.
개인정보위는 스캐터랩이 서비스 개발과 운영에 이용자의 카카오톡 대화를 이용한 것에 대해, 이용자의 명시적 동의가 없었다고 판단했다. ’텍스트앳‘과 ’연애의 과학‘ 개인정보처리방침에 ’신규 서비스 개발‘을 포함하면서 서비스 이용 시 동의한 것으로 간주하는 것만으로는 챗봇 등을 개발하는 데 사용하도록 동의했다고 보기 어렵다는 설명이다.
또한, 신규 서비스 개발이라는 기재만으로 이루다 개발과 운영에 카카오톡 대화가 이용될 것에 대해 예상하기도 어려우며, 이용자의 개인정보 자기결정권이 제한되는 등 예측할 수 없는 손해를 입을 우려가 있다는 이유로 스캐터랩이 이용자의 개인정보를 수집한 목적을 벗어나 이용한 것이라고 판단하였다.
스캐터랩은 소스코드 공유 및 협업 사이트 Github에 2019년 10월부터 2021년 1월까지 이름 22건(성은 미포함)과 지명정보(구·동 단위) 34건, 성별, 대화 상대방과의 관계(친구 또는 연인) 등이 포함된 카카오톡 대화문장 1,431건과 함께 AI 모델을 게시하기도 했다. 개인정보위는 이에 대해 가명정보를 불특정 다수에게 제공하면서 ‘특정 개인을 알아보기 위하여 사용될 수 있는 정보’를 포함했다는 이유로 개인정보 보호법 제28조의 2 제2항을 위반한 것이라고 판단했다.
개인정보위는 조사 과정에서 정보주체가 명확히 인지할 수 있도록 알리고 동의를 받지 않은 사실 등 추가 위반사실을 확인했으며, 이루다와 관련한 사항을 포함해 총 8가지 개인정보 보호법 위반행위에 대해 총 1억 330만 원의 과징금과 과태료를 부과하고 시정조치를 명령했다.
개인정보위 윤종인 위원장은 “이루다 사건은 전문가들조차 의견이 일치되지 않아 그 어느 때보다도 격렬한 논쟁이 있었고, 매우 신중한 검토를 거쳐 결정했다”며, “이번 사건은 기업이 특정 서비스에서 수집한 정보를 다른 서비스에 무분별하게 이용하는 것이 허용되지 않고, 개인정보 처리에 대해 정보주체가 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다는 것을 분명히 했다는 점에 의미가 있다”고 밝혔다.
이어, “본 건에 대한 처분 결과가 AI 기술 기업이 개인정보를 이용할 때에 올바른 개인정보 처리 방향을 제시하는 길잡이가 되고, 기업이 스스로 관리·감독을 강화해 나가는 계기가 되기를 바란다”고 덧붙였다.
한편, 개인정보위는 AI 기술 기업이 스스로 개인정보 보호 역량을 높일 수 있도록 AI 개발자나 운영자가 현장에서 활용 가능한 ‘AI 서비스의 개인정보보호 자율점검표’를 발표하고 현장 컨설팅을 지원하는 등, AI 기술 기업이 국민의 개인정보를 보호하면서 AI·데이터 기반 산업을 발전시킬 수 있도록 적극 지원해 나갈 계획이다.
[이상우 기자(boan@boannews.com)]
깃허브에 공유한 대화 문장 및 AI 모델 역시 개인정보 보호법 위반
개인정보위, 향후 AI 개발과 서비스 제공 시 올바른 개인정보 처리방향 제시할 수 있을 것
[보안뉴스 이상우 기자] 개인정보 오남용 등으로 논란이 된 인공지능 챗봇 서비스 ‘이루다’에 대해 1억 330만 원의 과징금 및 과태료를 부과했다. 개인정보보호위원회(위원장 윤종인, 이하 개인정보위)는 4월 28일 열린 전체회의를 통해 챗봇 서비스 이루다의 개발사 ‘스캐터랩’에 대해 해당 과징금과 과태료 등을 부과했다.
[이미지=스캐터랩]
이는 AI 기술 기업의 무분별한 개인정보 처리를 제재한 첫 번째 사례다. 이번 결과를 통해 기업이 특정 서비스를 목적으로 수집한 개인정보를 이용자의 명시적 동의 없이 다른 서비스에 이용하는 것을 제한하고, AI 개발과 서비스 제공 시 올바른 개인정보 처리 방향을 제시할 수 있을 것으로 보인다.
개인정보위는 지난 1월 12일 언론보도를 통해 조사에 착수했고, 이번 사건이 국민과 산업계에 미치는 영향을 고려해 AI 개발·서비스 제공에서 개인정보 처리현황과 법리적·기술적 쟁점에 대해 산업계, 법·학계, 시민단체 의견 수렴 및 위원회 논의를 거쳤다.
조사 결과, 스캐터랩은 자사의 앱 서비스인 ‘텍스트앳’과 ‘연애의 과학’에서 수집한 카카오톡 대화를 2020년 2월부터 2021년 1월까지 챗봇 서비스인 ‘이루다’의 AI 개발과 운영에 이용한 것으로 확인됐다. 스캐터랩은 이루다 AI 모델의 개발을 위한 알고리즘 학습 과정에서, 카카오톡 대화에 포함된 이름, 휴대전화번호, 주소 등의 개인정보를 삭제하거나 암호화하는 등의 조치를 전혀 하지 않고, 약 60만 명에 달하는 이용자의 카카오톡 대화문장 94억여 건을 이용했다. 이루다 서비스 운영 과정에서는, 20대 여성의 카카오톡 대화문장 약 1억 건을 응답 DB로 구축하고, 챗봇이 대화 중 한 문장을 선택해 대답할 수 있도록 운영해왔다.
개인정보위는 스캐터랩이 서비스 개발과 운영에 이용자의 카카오톡 대화를 이용한 것에 대해, 이용자의 명시적 동의가 없었다고 판단했다. ’텍스트앳‘과 ’연애의 과학‘ 개인정보처리방침에 ’신규 서비스 개발‘을 포함하면서 서비스 이용 시 동의한 것으로 간주하는 것만으로는 챗봇 등을 개발하는 데 사용하도록 동의했다고 보기 어렵다는 설명이다.
또한, 신규 서비스 개발이라는 기재만으로 이루다 개발과 운영에 카카오톡 대화가 이용될 것에 대해 예상하기도 어려우며, 이용자의 개인정보 자기결정권이 제한되는 등 예측할 수 없는 손해를 입을 우려가 있다는 이유로 스캐터랩이 이용자의 개인정보를 수집한 목적을 벗어나 이용한 것이라고 판단하였다.
스캐터랩은 소스코드 공유 및 협업 사이트 Github에 2019년 10월부터 2021년 1월까지 이름 22건(성은 미포함)과 지명정보(구·동 단위) 34건, 성별, 대화 상대방과의 관계(친구 또는 연인) 등이 포함된 카카오톡 대화문장 1,431건과 함께 AI 모델을 게시하기도 했다. 개인정보위는 이에 대해 가명정보를 불특정 다수에게 제공하면서 ‘특정 개인을 알아보기 위하여 사용될 수 있는 정보’를 포함했다는 이유로 개인정보 보호법 제28조의 2 제2항을 위반한 것이라고 판단했다.
개인정보위는 조사 과정에서 정보주체가 명확히 인지할 수 있도록 알리고 동의를 받지 않은 사실 등 추가 위반사실을 확인했으며, 이루다와 관련한 사항을 포함해 총 8가지 개인정보 보호법 위반행위에 대해 총 1억 330만 원의 과징금과 과태료를 부과하고 시정조치를 명령했다.
개인정보위 윤종인 위원장은 “이루다 사건은 전문가들조차 의견이 일치되지 않아 그 어느 때보다도 격렬한 논쟁이 있었고, 매우 신중한 검토를 거쳐 결정했다”며, “이번 사건은 기업이 특정 서비스에서 수집한 정보를 다른 서비스에 무분별하게 이용하는 것이 허용되지 않고, 개인정보 처리에 대해 정보주체가 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다는 것을 분명히 했다는 점에 의미가 있다”고 밝혔다.
이어, “본 건에 대한 처분 결과가 AI 기술 기업이 개인정보를 이용할 때에 올바른 개인정보 처리 방향을 제시하는 길잡이가 되고, 기업이 스스로 관리·감독을 강화해 나가는 계기가 되기를 바란다”고 덧붙였다.
한편, 개인정보위는 AI 기술 기업이 스스로 개인정보 보호 역량을 높일 수 있도록 AI 개발자나 운영자가 현장에서 활용 가능한 ‘AI 서비스의 개인정보보호 자율점검표’를 발표하고 현장 컨설팅을 지원하는 등, AI 기술 기업이 국민의 개인정보를 보호하면서 AI·데이터 기반 산업을 발전시킬 수 있도록 적극 지원해 나갈 계획이다.
[이상우 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
이상우기자 기사보기
[2024-04-24] 
.jpg)
