“딥시크, 中-美 4개 업체에 개인정보 넘겨… 즉시 파기 권고”

개인정보위 “이용자 사전동의 없이
AI에 입력 내용 고스란히 넘어가”
딥시크 “시정 조치” 서비스 재개할 듯

AP 뉴시스

중국의 생성형 인공지능(AI) ‘딥시크(DeepSeek)’가 한국 이용자 정보를 동의 없이 중국과 미국 등 4개 업체로 넘긴 사실이 새로 확인됐다. 기존에는 중국 업체 한 곳에만 개인정보를 넘긴 것으로 파악됐었다.

24일 개인정보보호위원회는 정부서울청사에서 브리핑을 열고 ‘딥시크 사전 실태점검 결과’를 발표했다. 딥시크는 올해 1월 15일 국내 서비스를 시작해 과도한 개인정보 수집 논란으로 2월 15일 중단하기까지 이용자 개인정보를 베이징 딥시크, 볼케이노 엔진테크놀로지(이하 볼케이노), 슈메이 테크놀로지 등 중국 업체 3곳과 미국 업체 인터컴에 이전한 것으로 드러났다. 이들은 주로 보안과 민원 서비스 등을 제공하는 업체다. 개인정보위는 스타트업들의 경우 일부 업무를 외부 기업에 위탁하는 경우가 많다고 설명했다.

문제는 정보가 이용자에게 사전 고지 없이 이전됐다는 점이다. 딥시크는 국외 이전에 대해 이용자의 동의를 받지 않았고 개인정보 처리 방침에 이를 공개하지 않았다. 중국어와 영어로 된 해당 처리 방침에는 개인정보 파기 절차 및 방법, 안전 조치 등 개인정보보호법상 요구 사항도 누락됐다. 이런 가운데 틱톡의 모회사인 ‘바이트댄스’ 계열사 볼케이노에는 이용자가 AI 대화창에 입력한 내용이 그대로 전달된 것으로 확인됐다.

딥시크는 이에 대해 이용 환경을 더 편리하게 바꾸고 보안을 강화하기 위해 클라우드 서비스(볼케이노)를 이용하던 과정에서 발생한 일이라 해명했다. 개인정보위는 볼케이노로 이전된 이용자 대화창 정보를 즉시 파기하고 신규 정보 이전도 중지하라고 권고했다. 딥시크가 이를 10일 내 수락하면 시정명령을 받은 것으로 간주한다. 이행 결과는 60일 내 제출돼야 한다.

이용자가 입력한 정보가 AI 학습에 사용되지 않도록 거부할 수 있는 기능(옵트아웃)이 없다는 지적에 따라 딥시크는 지난달 17일 ‘옵트아웃’ 기능을 도입했다. 또 개인정보위가 권고한 ‘강화된 보호 조치’를 모두 준수하기로 했다. 논란이 됐던 ‘키보드 패턴’ 정보는 실제 수집되지 않은 것으로 파악됐다. 딥시크 측은 아동의 연령 확인 절차도 마련했다. 딥시크는 문제가 시정되는 대로 국내 서비스를 재개할 것으로 전망된다.

이소정 기자 sojee@donga.com