SKT, 앤트로픽 IPO 앞두고 국민연금 지분 증가…AI 거버넌스 점검 필요

핵심 요약

- 국민연금이 SKT 지분을 확대하는 가운데, SKT가 투자한 AI 기업 앤트로픽의 2026년 10월 나스닥 IPO 추진으로 기업가치 증대 전망 - SKT는 2025년 대규모 해킹 사고로 개인정보보호위원회 과징금을 부과받은 이력이 있어, AI 사업 확장 시 개인정보보호 거버넌스 재점검 필요 - AI 투자 확대와 함께 AI 기본법 대응, AI 생성 코드 보안 취약점 관리 등 선제적 AI 거버�వవ스 체계 구축이 요구됨

주요 내용

국민연금이 SK텔레콤(SKT)의 지분을 늘리며 투자 확대에 나선 가운데, SKT가 지분 투자한 AI 기업 앤트로픽(Anthropic)이 2026년 10월 나스닥 상장을 추진하면서 SKT의 기업가치 상승이 기대되고 있다. 앤트로픽은 Claude AI 모델로 주목받는 주요 생성형 AI 기업으로, 성공적인 IPO가 이뤄질 경우 SKT의 투자 포트폴리오 가치도 함께 증가할 전망이다.

그러나 SKT는 2025년 대규모 해킹 사태를 겪으며 개인정보보호위원회로부터 과징금을 부과받은 이력이 있다. 통신 인프라 기업으로서 수천만 명의 개인정보를 보유한 SKT가 AI 기업 투자와 AI 기반 서비스를 확장하는 과정에서, 과거 보안 사고의 교훈을 AI 거버넌스 체계에 어떻게 반영하는지가 중요한 과제로 떠오르고 있다.

특히 2026년 현재 AI 기본법 시행을 앞두고 있는 시점에서, AI 서비스 제공자로서의 책임 있는 AI 개발·운영 체계 구축이 필수적이다. AI 모델 학습 데이터의 개인정보 처리, AI 생성 콘텐츠의 프라이버시 보호, AI 의사결정의 투명성 확보 등 다층적인 개인정보보호 이슈에 대한 선제적 대응이 요구된다.

앤트로픽의 경우 'Constitutional AI' 접근법으로 안전한 AI 개발을 표방하고 있지만, 투자자이자 파트너사인 SKT는 자사 서비스에 AI를 통합하는 과정에서 독립적인 개인정보보호 영향평가와 AI 리스크 관리 체계를 갖춰야 한다. 특히 고객센터 AI 상담, AI 기반 마케팅, 네트워크 관리 AI 등 다양한 영역에서 AI를 활용할 경우 각 시나리오별 개인정보 처리 위험을 세밀하게 평가해야 한다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, SKT와 같은 정보통신서비스 제공자가 AI 투자 및 사업을 확장할 때는 기존 정보보호 관리체계에 'AI 거버넌스 레이어'를 추가로 구축해야 한다. 2025년 해킹 사고 이후 강화된 침해사고 대응체계가 AI 시스템에도 동일하게 적용되는지, AI 모델 학습·추론 과정에서 개인정보 유출 위험은 없는지, AI 생성 코드나 콘텐츠의 보안 취약점 검증 프로세스가 마련됐는지 등을 점검해야 한다. 특히 바이브 코딩(Vibe Coding) 방식으로 AI가 자동 생성한 코드를 서비스에 적용할 경우, 인젝션 취약점, 인증·인가 누락, 경쟁조건(Race Condition) 등 보안 결함이 포함될 위험이 크다.

앤트로픽 IPO를 앞둔 현 시점에서 SKT는 투자 수익뿐 아니라 AI 거버넌스 모범 사례를 구축하는 기회로 삼아야 한다. 개인정보보호위원회의 '인공지능 개인정보보호 자율점검표'를 활용해 AI 서비스별 개인정보 처리 현황을 점검하고, AI 모델의 편향성·공정성 검증, AI 생성 결과물의 개인정보 필터링, AI 시스템 로그 관리 등 구체적인 통제 방안을 ISMS-P 인증 범위에 포함시켜야 한다. 또한 AI 공급망 관리 차원에서 앤트로픽과의 계약에 개인정보 처리 조항, 데이터 보안 의무, 사고 발생 시 책임 범위 등을 명확히 규정하는 것이 필요하다.

CPPG·ISMS-P 연계 포인트

AI 시스템 개인정보 영향평가(PIA)
AI 기본법 및 개인정보보호법에 따라 AI 시스템 도입 시 개인정보 처리 영향을 사전 평가해야 한다. 특히 고위험 AI 시스템의 경우 데이터 최소화, 목적 외 이용 제한, 자동화된 의사결정에 대한 정보주체 권리 보장 등을 평가 항목에 포함해야 하며, ISMS-P 인증 시 AI 서비스별 PIA 수행 여부가 심사 대상이 된다.

AI 생성 코드 보안 검증 프로세스
바이브 코딩으로 생성된 코드는 SAST(정적 분석), DAST(동적 분석), SCA(오픈소스 구성요소 분석)를 통해 취약점을 검증해야 한다. ISMS-P 통제항목 중 '보안 약점 제거', '소스코드 보안 점검' 항목과 연계되며, AI 생성 코드에 대한 코드 리뷰 프로세스, 보안 테스트 자동화, 개인정보 처리 구간 검증 등이 필수적으로 요구된다.