AI 전화 서비스의 보안과 컴플라이언스: 개인정보보호법부터 통신법까지

AI 전화 에이전트를 만들다 보면, 어느 순간 이 질문이 옵니다.

"이거 법적으로 괜찮은 거야?"

전화 통화에는 개인정보가 오갑니다. 이름, 전화번호, 주소, 때로는 주민번호나 건강 정보까지. 그리고 이걸 AI가 처리합니다. 녹음도 되고요. 누군가의 음성 데이터가 서버에 저장됩니다.

기술적으로 만들 수 있는 거랑, 법적으로 운영할 수 있는 건 다른 문제입니다. 이 글에서는 한국에서 AI 전화 서비스를 운영할 때 반드시 알아야 할 법적·보안 요구사항을 정리합니다.

면책 조항부터 하자면, 저는 변호사가 아닙니다. 이 글은 개발자 관점에서의 가이드이고, 실제 서비스 출시 전에는 반드시 법률 전문가의 검토를 받아야 합니다.

1. 개인정보보호법 (PIPA)

한국의 개인정보 보호 기본법입니다. AI 전화 서비스에서 가장 직접적으로 적용되는 법률입니다.

핵심 원칙

• 수집 최소화: 목적에 필요한 최소한의 개인정보만 수집
• 목적 제한: 수집 목적 외의 용도로 사용 금지
• 동의 원칙: 개인정보 수집·이용·제공 시 정보 주체의 동의 필요
• 안전 관리: 개인정보의 안전한 관리를 위한 기술적·관리적 조치 의무

AI 전화에서의 적용

AI 전화 시스템이 수집하는 개인정보를 생각해보면:

수집 항목	유형	민감도
전화번호	개인정보	중
통화 음성	개인정보 (음성 데이터)	높음
STT 변환 텍스트	개인정보	높음
이름, 주소 등	통화 중 수집	높음
통화 시간, 빈도	이용 기록	중

특히 음성 데이터는 바이오메트릭 정보로 분류될 수 있습니다. 음성으로 개인을 식별할 수 있으니까요. 이건 일반 개인정보보다 더 엄격한 보호가 필요합니다.

실제로 해야 할 것들

개인정보 처리 방침 수립 및 공개

[필수 기재 사항]
1. 개인정보의 수집·이용 목적
2. 수집하는 개인정보의 항목
3. 개인정보의 보유 및 이용 기간
4. 개인정보의 파기 절차 및 방법
5. 개인정보 처리 위탁에 관한 사항
6. 정보 주체의 권리·의무 및 행사 방법

동의 획득 프로세스

전화 시작 시 자동 안내:

AI: "본 통화는 서비스 품질 향상을 위해 녹음되며,
     AI 상담 도우미가 진행합니다.
     통화 내용은 상담 목적으로만 활용되며
     6개월 후 자동 파기됩니다.
     동의하시면 '네', 상담원 연결을 원하시면 '상담원'이라고
     말씀해주세요."

이 안내가 빠지면 안 됩니다.

데이터 보관 기간 설정

통화 데이터를 무기한 보관하면 안 됩니다. 목적 달성에 필요한 최소 기간만 보관하고 파기해야 합니다. 보통 3~6개월이 적정선입니다. 법적 분쟁 가능성이 있는 경우는 관련 법률에 따라 연장할 수 있지만, 기본은 최소 보관입니다.

2. 통화 녹음 관련 법률

한국에서 통화 녹음은 통신비밀보호법이 적용됩니다.

핵심 규정

한국법상 통화 녹음은 당사자 일방의 동의가 있으면 합법입니다. 즉, 통화하는 두 사람 중 한 명이 동의하면 녹음할 수 있습니다.

하지만 AI 전화 서비스에서는 이것만으로 충분하지 않습니다. 왜냐하면:

1. AI는 "당사자"가 아닙니다: AI가 통화의 한쪽이라고 볼 수 있는지는 아직 법적으로 명확하지 않습니다
2. 녹음의 주체가 기업입니다: 기업이 고객 동의 없이 녹음하면 문제가 될 수 있습니다
3. 개인정보보호법과의 교차: 녹음 자체는 통신비밀보호법, 녹음 내용의 활용은 개인정보보호법

안전한 접근법

결론적으로, 양쪽 모두에게 녹음 사실을 고지하고 동의를 받는 것이 가장 안전합니다.

[통화 시작 시 자동 안내]
"이 통화는 서비스 품질 관리를 위해 녹음됩니다."

이 한 문장이 없으면 나중에 큰 문제가 될 수 있습니다. 기존 콜센터에서도 이 안내를 하고 있으니까, AI 전화에서도 당연히 해야 합니다.

추가로, 고객이 녹음을 거부할 경우의 대안도 준비해야 합니다. "녹음을 원하지 않으시면 상담원에게 연결해드리겠습니다" 같은 옵션.

3. 통신 규제: 070 번호

한국에서 AI 전화 서비스를 운영하려면 보통 070 인터넷전화 번호를 사용합니다.

070 번호 관련 규정

• 별정통신사업자 등록: 070 번호를 대량으로 발급·운영하려면 별정통신사업자 등록이 필요할 수 있습니다
• 발신번호 표시: 발신 시 070 번호가 표시되어야 하며, 발신번호 조작은 불법입니다
• 스팸 방지: 대량 아웃바운드 발신 시 스팸 관련 규제를 준수해야 합니다

아웃바운드 전화 규제

AI가 자동으로 전화를 거는 아웃바운드의 경우 더 엄격한 규제가 있습니다:

• 사전 수신 동의: 광고·마케팅 목적의 전화는 수신자의 사전 동의 필요 (정보통신망법)
• 야간 발신 제한: 오후 9시 이후 ~ 오전 8시까지는 광고성 전화 발신 금지
• 수신 거부 기능: 수신자가 전화를 거부할 수 있는 방법을 제공해야 함

# 아웃바운드 발신 전 체크 예시
def can_make_outbound_call(customer, call_type):
    # 1. 수신 동의 여부 확인
    if call_type == "marketing" and not customer.marketing_consent:
        return False, "마케팅 수신 미동의"

    # 2. 야간 시간 체크
    current_hour = datetime.now().hour
    if call_type == "marketing" and (current_hour >= 21 or current_hour < 8):
        return False, "야간 발신 제한 시간"

    # 3. 수신 거부 이력 확인
    if customer.has_opt_out:
        return False, "수신 거부 고객"

    # 4. 일일 발신 제한 확인
    today_calls = get_today_call_count(customer.phone)
    if today_calls >= MAX_DAILY_CALLS:
        return False, "일일 발신 한도 초과"

    return True, "발신 가능"

이런 체크 로직을 아웃바운드 시스템에 반드시 넣어야 합니다.

4. 의료·건강 데이터 보호

병원, 약국, 건강 관련 서비스에서 AI 전화를 쓸 경우, 추가 규제가 적용됩니다.

한국의 의료 데이터 규제

미국에 HIPAA가 있다면, 한국에는 의료법과 개인정보보호법이 교차 적용됩니다.

• 의료법 제21조: 환자의 진료 기록은 본인 또는 동의 없이 열람·제공 불가
• 개인정보보호법 제23조: 건강 정보는 "민감정보"로 분류, 별도 동의 필요
• 보건의료기본법: 보건의료 데이터의 안전한 관리·활용에 대한 기본 원칙

AI 전화에서 의료 데이터가 오가는 경우

병원 예약 AI, 건강 상담 AI 등에서는 통화 중 다음과 같은 정보가 오갈 수 있습니다:

• 증상 설명
• 진료 이력
• 투약 정보
• 검사 결과

이런 정보는 암호화된 채널로 전송되어야 하고, 접근 권한이 제한되어야 하고, 감사 로그가 남아야 합니다.

[의료 AI 전화 시작 안내]
"본 통화에서 수집되는 건강 관련 정보는 민감정보에 해당하며,
진료 예약 및 상담 목적으로만 활용됩니다.
동의하시면 '네'라고 말씀해주세요."

민감정보에 대한 별도의 동의가 필요합니다. 일반 개인정보 동의와는 구분되어야 합니다.

5. 기술적 보안 조치

법적 요구사항을 코드와 인프라 레벨에서 어떻게 구현해야 하는지 살펴보겠습니다.

통신 암호화

[필수 적용 항목]
- SIP 통신: TLS/SRTP 암호화
- 음성 데이터: AES-256 암호화 전송 및 저장
- API 통신: HTTPS (TLS 1.2 이상)
- 데이터베이스: 저장 시 암호화 (at-rest encryption)

전화 통화는 기본적으로 SIP 프로토콜을 쓰는데, 암호화하지 않으면 음성 데이터가 평문으로 전송됩니다. **SRTP(Secure Real-time Transport Protocol)**으로 음성을 암호화하고, TLS로 시그널링을 암호화해야 합니다.

접근 제어

# 통화 데이터 접근 제어 예시
class CallDataAccess:
    ROLE_PERMISSIONS = {
        "agent": ["read_own_calls"],
        "supervisor": ["read_team_calls", "listen_recordings"],
        "admin": ["read_all_calls", "listen_recordings", "export_data"],
        "system": ["process_calls", "transcribe"]
    }

    def can_access(self, user_role, action, call_id):
        if action not in self.ROLE_PERMISSIONS.get(user_role, []):
            log_unauthorized_access(user_role, action, call_id)
            return False
        return True

누가 어떤 통화 데이터에 접근했는지 모든 기록이 남아야 합니다.

데이터 보관 및 파기

# 자동 파기 스케줄러
async def purge_expired_call_data():
    """보관 기간이 지난 통화 데이터를 자동 파기"""
    retention_days = {
        "recording": 180,      # 녹음 파일: 6개월
        "transcript": 180,     # STT 텍스트: 6개월
        "metadata": 365,       # 통화 메타데이터: 1년
        "personal_info": 180,  # 개인정보: 6개월
    }

    for data_type, days in retention_days.items():
        cutoff = datetime.now() - timedelta(days=days)
        count = await delete_data_before(data_type, cutoff)
        log_data_purge(data_type, count, cutoff)

보관 기간이 끝나면 복구 불가능한 방식으로 파기해야 합니다. 단순 DELETE가 아니라 물리적 삭제 또는 암호화 키 폐기입니다.

감사 로그 (Audit Log)

# 모든 데이터 접근·처리 기록
def audit_log(action, user, resource, details):
    log_entry = {
        "timestamp": datetime.utcnow().isoformat(),
        "action": action,           # read, write, delete, export
        "user": user,               # 접근한 사용자 또는 시스템
        "resource": resource,       # 통화 ID, 녹음 파일 등
        "details": details,         # 상세 내용
        "ip_address": get_client_ip(),
        "result": "success"
    }
    # 감사 로그는 별도 저장소에 보관 (변조 방지)
    audit_store.append(log_entry)

개인정보보호법에서는 개인정보 처리 기록을 3년간 보관하도록 하고 있습니다.

6. SOC 2 컴플라이언스

B2B로 AI 전화 서비스를 제공하는 경우, 기업 고객이 SOC 2 인증을 요구하는 경우가 많습니다.

SOC 2는 5가지 신뢰 서비스 원칙을 기반으로 합니다:

1. 보안 (Security): 비인가 접근 방지
2. 가용성 (Availability): 서비스 가용성 보장
3. 처리 무결성 (Processing Integrity): 데이터 처리의 정확성
4. 기밀성 (Confidentiality): 기밀 정보 보호
5. 개인정보 (Privacy): 개인정보의 적절한 수집·이용·보관·폐기

AI 전화 서비스에서 SOC 2를 준비하려면:

• 접근 제어: 역할 기반 접근 제어 (RBAC) 구현
• 암호화: 전송 중 및 저장 시 암호화
• 모니터링: 이상 탐지 및 실시간 알림
• 인시던트 대응: 보안 사고 대응 절차 수립
• 감사 추적: 모든 시스템 활동에 대한 로그 기록

7. AI 고지 의무

2025년부터 한국에서도 AI를 활용한 고객 응대 시 AI 사용 사실을 고지해야 한다는 논의가 활발합니다.

EU의 AI Act에서는 이미 AI와 상호작용하고 있다는 사실을 알려야 할 의무를 명시하고 있습니다.

한국에서도 방향성은 같습니다. 안전한 접근:

AI: "안녕하세요, AI 상담 도우미입니다.
     사람 상담원과 통화를 원하시면 '상담원'이라고
     말씀해주시면 바로 연결해드리겠습니다."

AI라는 사실을 숨기지 마세요. 고객이 사람과 통화하고 있다고 착각하게 만들면 법적 리스크가 큽니다.

ClawOps의 컴플라이언스 접근

ClawOps는 한국 시장에 특화된 AI 전화 API라서, 한국법 기반의 컴플라이언스가 기본으로 고려되어 있습니다.

• 암호화 통화: SIP TLS/SRTP 기본 적용
• 한국 070 번호: 정식 통신 사업 등록을 통한 번호 발급
• 녹음 동의 관리: 통화 시작 시 자동 고지 및 동의 확인 기능
• 데이터 보관/파기: 설정한 기간 이후 자동 파기
• 접근 로그: API 호출 및 데이터 접근에 대한 감사 로그

직접 SIP 서버를 운영하면서 이 모든 보안·컴플라이언스를 구현하는 것과, 이미 준비된 API를 쓰는 것은 공수 차이가 어마어마합니다.

체크리스트: 출시 전 확인사항

AI 전화 서비스를 출시하기 전에 확인해야 할 항목들입니다:

법적 요구사항

• 개인정보 처리 방침 작성 및 공개
• 개인정보 수집·이용 동의 프로세스 구현
• 통화 녹음 고지 안내 적용
• AI 사용 고지 안내 적용
• 아웃바운드 발신 동의 관리 시스템 구축
• 야간 발신 제한 로직 구현
• 민감정보(건강, 금융) 별도 동의 프로세스 (해당 시)

기술적 보안

• SIP TLS/SRTP 암호화 적용
• API 통신 HTTPS 적용
• 데이터 저장 시 암호화 (AES-256)
• 역할 기반 접근 제어 (RBAC) 구현
• 감사 로그 시스템 구축
• 데이터 자동 파기 스케줄러 구현
• 보안 사고 대응 절차 수립

운영

• 사람 상담원 연결 옵션 상시 제공
• 녹음 거부 고객 대응 절차 마련
• 개인정보 열람·정정·삭제 요청 처리 절차 수립
• 정기 보안 점검 및 취약점 진단 계획

마무리

AI 전화 서비스의 보안과 컴플라이언스는 "나중에 하면 되는 것"이 아닙니다. 설계 단계부터 반영해야 합니다. Privacy by Design.

한국은 개인정보보호법이 꽤 엄격한 편이고, 위반 시 과징금이 매출의 3%까지 나올 수 있습니다. 통신 관련 규제도 계속 강화되고 있습니다.

귀찮고 복잡해 보이지만, 결국 이 부분을 제대로 해놓은 서비스가 시장에서 신뢰를 받고 살아남습니다. 특히 B2B로 기업 고객을 상대할 때, 보안·컴플라이언스 인증이 없으면 첫 미팅에서 탈락입니다.

기술은 되는데 법이 안 되면 서비스 못 합니다. 반대로, 법을 잘 지키면서 기술도 좋으면 그게 경쟁력입니다.