중국 생성형 인공지능(AI) 딥시크가 개인정보를 이용자들의 동의 없이 해외로 이전한 것으로 나타났다. 또 대화 입력창(프롬프트)에 입력된 이용자의 대화 내용을 AI 개발과 학습에 사용하면서도 이를 거부할 수 있는 ‘옵트아웃’ 기능을 마련하지 않았던 것으로 드러났다.
개인정보보호위원회는 23일 제9회 전체회의를 개최하고 이 같은 내용을 포함한 ‘딥시크 사전 실태점검 결과’를 심의 및 의결했다고 24일 밝혔다. 앞서 딥시크는 지난 1월 국내 서비스 출시 뒤 과도한 개인정보 수집 논란에 휩싸였다. 이에 개인정보위는 딥시크에 대한 실태점검에 1월 말 착수했다.
점검 결과 딥시크는 1월 15일부터 2월 15일까지 개인정보를 이용자 동의 없이 해외 기업(중국 3곳·미국 1곳)으로 이전했다. 특히 기기 정보, 네트워크 정보, 앱 정보 외에 이용자가 AI 대화창에 입력한 내용도 중국 바이트댄스(소셜미디어 틱톡 운영사) 계열사인 클라우드 업체 볼케이노로 전송했다.
딥시크는 이용자가 대화 입력창에 입력한 내용을 AI 개발과 학습에 활용되는 것을 거부할 수 있는 옵트아웃 기능도 제공하지 않았다. 다만 광범위한 수집 논란이 일었던 ‘키 입력 패턴 및 리듬’ 정보는 수집되지 않은 것으로 조사됐다.
딥시크는 아울러 개인정보 처리방침을 중국어와 영어로만 공개했던 것으로 나타났다. 한국 개인정보보호법이 요구하는 개인정보 파기 절차와 방법, 개인정보 보호책임자의 성명과 연락처 등의 사항도 처리방침에서 누락했다. 또 14세 미만 아동의 개인정보를 수집하지 않는다면서도 서비스 가입 시 아동 여부를 확인하는 절차를 마련하지 않았다.
개인정보위는 딥시크에 개인정보를 국외로 이전할 시 이용자 동의 및 고지 절차 등 합법적인 근거를 갖추고, 볼케이노로 이전한 이용자의 입력창 입력 내용을 즉각 파기할 것을 시정권고하기로 했다. 또 한국어로 된 처리방침을 공개하는 등 투명성을 지속적으로 확보할 것도 시정권고하기로 했다.
다만 딥시크는 점검 과정에서 국외 이전 관련 법정사항 등 개인정보보호법을 준수한 한국어 처리방침을 마련해 개인정보위에 제출했다. 또 입력창에 입력된 이용자의 대화 내용을 이전하는 것을 차단했다. 옵트 아웃 기능과 연령 확인 절차도 마련했다.
딥시크 서비스는 시정권고 이행 뒤 재개될 것으로 예상된다. 앞서 딥시크는 지난 2월 15일 국내 앱 마켓에서 신규 다운로드 서비스를 자체적으로 중단했다. 남석 개인정보위 조사조정국장은 “사업자 쪽에서 권고를 수용하고 이행한 뒤 자율적으로 (서비스 재개 여부를) 결정할 것”이라고 밝혔다.
김용헌 기자 yong@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
