SKT AI 에이전트, 핵심 통신 시스템 제어···개인정보보호 거버넌스 체계 구축 주목

핵심 요약

- SKT가 AI 에이전트를 통해 가입자 정보 활용 및 핵심 통신 업무 시스템 제어 기능 구현 - 개인정보 보호, 권한 확인, 가입자 동의 검증 등 철저한 보안·거버넌스 체계 병행 구축 - AI 자동화 시대, 개인정보 처리 전 과정에 대한 통제 가능성과 책임성 확보가 핵심 과제로 부상

주요 내용

SKT는 2026년 7월, AI 에이전트가 가입자 개인정보를 활용하고 실제 내부 핵심 업무 시스템을 직접 제어·호출하는 서비스를 선보이며 통신서비스의 AI 전환을 본격화했다. 이는 단순한 챗봇 수준을 넘어 요금제 변경, 부가서비스 신청, 고객 맞춤 추천 등 실질적인 업무 처리를 AI가 자율적으로 수행하는 구조다.

이러한 AI 에이전트 기반 서비스는 편의성과 효율성을 극대화하지만, 동시에 민감한 개인정보에 대한 AI의 직접적인 접근과 처리가 이루어지는 만큼 보안 위험도 함께 증가한다. 특히 AI 모델이 생성한 명령어가 실제 시스템에 반영되는 구조에서는 프롬프트 인젝션, 권한 우회, 비정상적인 데이터 접근 등의 취약점이 개인정보 유출이나 무단 변경으로 직결될 수 있다.

SKT는 이러한 위험을 인식하고 AI 에이전트 도입과 동시에 개인정보 보호 원칙, 권한 확인 메커니즘, 가입자 동의 여부 검증 절차 등 보안·거버넌스 기준을 함께 확립했다고 밝혔다. 이는 AI 기술 도입 시 개인정보보호법 및 정보통신망법상 요구되는 기술적·관리적 보호조치를 선제적으로 적용한 사례로 평가된다.

통신사와 같이 대규모 개인정보를 보유한 기관이 AI를 핵심 시스템에 통합할 때, 데이터 최소화, 목적 제한, 접근 통제, 로깅 및 모니터링 체계 구축은 필수 요건이다. SKT의 이번 접근은 AI 시대 개인정보보호 거버넌스의 실무 모델로서 의미를 갖는다.

전문가 시각

AI 에이전트가 실제 업무 시스템과 연동되는 환경에서는 '바이브 코딩(Vibe Coding)' 방식으로 생성된 코드나 AI 자동 생성 명령어가 보안 취약점을 내포할 가능성을 반드시 고려해야 한다. 특히 자연어 기반 프롬프트가 SQL 쿼리나 API 호출로 변환되는 과정에서 인젝션 공격, 권한 검증 누락, 경쟁 조건(race condition) 등이 발생할 수 있으며, 이는 개인정보 대량 유출이나 무단 변경으로 이어질 수 있다. ISMS-P 인증심사 관점에서 AI 에이전트 도입 시에는 ① AI 모델 출력값에 대한 입력 검증(input validation) ② 최소 권한 원칙 적용 ③ 모든 개인정보 처리 행위에 대한 로그 기록 및 모니터링 ④ 사용자 동의 및 고지 절차의 명확화가 필수적이다.

실무적으로는 AI 에이전트가 접근 가능한 데이터 범위를 명확히 정의하고, 민감 정보에 대한 접근은 2단계 인증이나 실시간 승인 절차를 거치도록 설계해야 한다. 또한 AI가 생성한 명령어나 코드를 실행 전 자동화된 보안 검증 도구로 스캔하고, 이상 패턴 탐지 시 즉시 차단하는 '안전 장치(guardrail)' 구축이 권장된다. SKT와 같은 선도 사례가 확산되면서, AI 거버넌스와 개인정보보호 체계의 통합 설계가 2026년 이후 모든 AI 도입 기업의 표준 요구사항이 될 것으로 전망된다.

CPPG·ISMS-P 연계 포인트

1. 자동화된 개인정보 처리에 대한 통제 가능성 (개인정보보호법 제37조의2) AI 에이전트가 자동으로 개인정보를 처리하는 경우, 정보주체는 처리 결과에 대한 설명과 이의제기 권리를 가진다. SKT 사례는 AI 자동 처리 전 동의 검증 및 권한 확인 절차를 통해 통제 가능성을 확보한 모범 사례다.

2. 접근 권한 관리 및 최소 권한 원칙 (ISMS-P 인증기준 2.8.1) AI 에이전트가 핵심 시스템을 호출할 때 필요한 최소 권한만 부여하고, 권한 부여·변경·말소 이력을 기록·관리해야 한다. 특히 개인정보 접근 시 역할 기반 접근통제(RBAC) 및 실시간 모니터링이 필수적이다.