학교서 쓰는 AI앱 ‘제3자 연락처’까지 수집, 교육부는 ‘방기’

교육부가 ‘디지털 기반 교육혁신’을 성과로 내세우며 제작한 카드뉴스. | 교육부

전국 1000개 디지털 선도학교에서 쓰이는 교육 프로그램인 인공지능(AI) 코스웨어에서 학생들의 개인정보를 광범위하게 수집해온 것으로 확인됐다. AI 코스웨어 가입시 행태 정보 수집을 거부하면 프로그램 이용을 못 하게 하거나, ‘필수 동의’를 받은 뒤 학생들의 행태 정보를 온라인 광고업체에 제공한 업체도 있었다. 고위험 정보로 불리는 안면 데이터 등 생체 정보를 수집한 업체도 있었다. 교육부와 일선 교육청 모두 AI 코스웨어의 부실한 개인정보 보호방침을 알고서도 묵인했다는 지적이 나온다.

23일 교육부가 디지털 선도학교로 지정한 1000개 초·중·고교에서 쓰이는 AI 코스웨어 20개를 분석해보니, 학생 개인정보를 폭넓게 수집하는 AI 코스웨어가 여럿 확인됐다. AI 코스웨어는 교육과정(Course)과 소프트웨어(Software)의 합성어다. 보통 학교나 학원에서 쓰이는 학습보조용 소프트웨어를 뜻한다. EBS를 제외하면 스타트업인 에듀테크 기업이나 민간 교과서 제작사가 AI 코스웨어를 제작해 운영하는 경우가 대부분이다.

대표적으로 ‘AI 디지털 교육 플랫폼’을 표방하며 글쓰기 교육을 내세운 A사의 프로그램을 보면, A사 프로그램에선 지난달까지 ‘스마트폰 등 단말기 주소록 내에 저장된 연락처 정보(제3자의 전화번호·이름)’를 수집했다. 이밖에 성별, 사진, 개인 프로필 사진, 위치정보, 쿠키, ‘좋아요’ 수, ‘좋아요’를 누른 사람 등 교육 내용과 거리가 먼 개인정보까지 수집했다.

글쓰기 AI 코스웨어를 운영하는 한 에듀테크 기업의 개인정보 수집 범위. | 홈페이지 갈무리

한 시민이 A사의 과도한 개인정보 수집을 문제제기하면서 국민신문고에 민원을 넣자, 서울시교육청은 지난 1일에서야 개인정보 수집 범위를 축소했다. 서울시교육청 관계자는 “민간 AI 코스웨어를 학교에 배포할 때 개인정보 보호 장치가 미비했던 것은 사실”이라고 했다.

A사는 24일 “스마트폰 등 단말기 주소록 내에 저장된 연락처 정보(제3자의 전화번호·이름)와 성별 정보는 수집한 바 없다”며 “초창기 서비스 당시 약관에 불필요한 기재 사항이 포함돼 있었으나 이 부분은 현재 시정 조치된 상태”라고 밝혔다.

개인정보 수집 동의를 하지 않으면 서비스 접근을 하지 못하게 한 회사도 많았다. 학생과 학부모, 교원 입장에선 개인정보 수집을 거부하면 프로그램 사용이 불가능하기 때문에 사실상 선택권이 없는 것이나 마찬가지다. ‘(학생과 프로그램 사이) 대화 내용에 포함돼 있는 비정형적 개인정보가 수집될 수 있다’고 밝힌 업체 B사는 ‘개인정보의 수집 및 이용 동의를 거부할 권리가 있다’면서도 ‘동의를 거부할 경우 서비스에서 제공하는 AI 보조교사 기능 이용이 불가능하다’고 명시했다.

교과서 회사 C사, 스타트업 D사 등 대부분의 업체는 자사 AI 코스웨어 가입시 ‘쿠키 수집’을 ‘필수 개인정보 수집, 이용 동의’에 넣어놨다. 쿠키는 이용자가 온라인에서 남긴 행적 데이터로, 개인의 방문기록에 맞춰 노출 품목을 달리 하는 타깃형 광고 등에 쓰인다. D사는 아예 ‘쿠키의 저장을 거부하실 경우 로그인이 필요한 귀사의 모든 서비스는 이용하실 수 없게 된다’고 했다. 개인정보보호위원회 관계자는 “쿠키 설정을 필수 항목에 넣은 것은 부적절하다”고 했다. 김명주 서울여대 정보보호학과 교수는 “개인정보는 ‘최소한’으로 수집하는 게 원칙”이라며 “개인정보보호법상 동의 거부로 가입 자체를 못하게 하거나 전체 서비스를 못 쓰게 하면 안 된다”고 말했다.

한 교과서 업체가 운영 중인 AI 코스웨어는 가입시 ‘쿠키’가 필수 제공 정보로 명시돼 있다. | 홈페이지 갈무리

수집된 쿠키를 온라인 광고사업자가 쓸 수 있다고 공지한 회사도 있었다. B사는 개인정보 처리방침에서 학생이나 교원의 온라인상 행적 기록을 활용해 ‘온라인 맞춤형 광고 사업자가 형태 정보를 수집하도록 허용한다’고 밝혔다. 명시된 광고 사업자에는 네이버 등이 포함돼 있다. 에듀테크 기업 E사 또한 ‘수집된 비식별 행태정보는 구글 애드워즈 서비스, 페이스북의 비즈니스 도구, 카카오 모먼트를 통해 온라인 광고 목적으로 사용될 수 있다’고 했다.

유럽연합(EU)에선 ‘고위험’으로 분류한 생체 정보를 필수 개인정보로 분류한 회사도 발견됐다. 에듀테크 기업들은 학생의 시선 추적 등으로 학습 집중시간 등을 측정하려 한다. E사는 개인정보처리방침에서 ‘안면데이터’를 AI 연구목적으로 수집시 3년간 보관한다고 밝혔다. 교과서 회사 F사는 얼굴, 음성, 필적 등 정보를 ‘선택’ 제공이 가능한 개인정보로 분류했다. 염흥열 순천향대 정보보호학과 교수는 “생체 정보 수집은 위험스럽다”며 “국내에선 아직 생체 정보를 어떻게 다룰지에 대한 공론화가 이뤄지지 않았다”고 했다.

AI 코스웨어 제작사의 상당수가 스타트업으로 규모가 작아 이용자 개인정보 관리 역량까지 갖추지 못한 것이 일차적인 원인으로 파악된다. 근본적으로는 공교육에 AI 코스웨어 도입을 독려한 교육부와 교육청의 관리 소홀이라는 지적이 있다. 에듀테크 기업의 허술한 개인정보 보호를 이미 파악하고서도 묵인했다는 것이다. AI 코스웨어 업체 중에는 내년 도입되는 AI 디지털교과서 제작에 참여하는 곳도 있다.

교육부 관계자는 “현재는 AI 코스웨어 회사가 자체적으로 하지만 AI 디지털교과서 도입을 하면 그때는 상황이 달라질 것”이라며 “쿠키 수집도 못 하게 할 것이고 개인정보 보호 표준안을 만드는 연구를 하고 있다”고 했다. 서울시교육청 관계자는 “교육청이 지정한 AI 코스웨어 6종에 대해선 이달초부터 기준을 정해 심사를 하고 있다”며 “에듀테크 사업자는 보통 개인정보를 신경을 잘 안 쓰는데, 저희는 (사업자를) 계도하는 방향으로 가는 중”이라고 했다.

김원진 기자 onejin@kyunghyang.com, 탁지영 기자 g0g0@kyunghyang.com

▶ 매일 라이브 경향티비, 재밌고 효과빠른 시사 소화제!
▶ ’5·18 성폭력 아카이브’ 16명의 증언을 모두 확인하세요

©경향신문(www.khan.co.kr), 무단전재 및 재배포 금지