중국 인공지능(AI) 서비스 '딥시크'가 한국인 사용자의 개인정보를 중국과 미국 소재 다수 회사로 무단 이전하면서 이와 관련한 처리방침을 공개하지 않는 등 국내 개인정보보호법을 따르지 않은 것으로 나타났다. 올해 초부터 조사에 나선 개인정보보호위원회는 딥시크에 다양한 시정조치를 권고했다. 딥시크는 이런 시정조치를 따르고 국내 서비스에 본격 나설 전망이다.
개인정보위는 24일 정부서울청사에서 브리핑을 열고 지난 23일 전체회의에서 심의·의결한 딥시크 관련 사전 실태점검 결과를 이같이 밝혔다.
개인정보위에 따르면 딥시크는 서비스 개선·보안·고객 서비스 대응 등의 목적으로 개인정보를 중국·미국 소재 다수 회사로 이전하면서, 이용자로부터 동의를 받지 않았고 처리방침 역시 공개하지 않았다.
특히 딥시크는 기기·네트워크·앱 정보뿐 아니라 이용자가 AI 서비스에 입력한 내용(프롬프트)을 '틱톡'을 운영하는 중국기업 바이트댄스의 계열사 '볼케이노'에 전송하고 있었던 것으로 확인됐다. 또한 딥시크는 이용자가 프롬프트로 입력한 내용을 AI 개발·학습에 이용하고 있었는데, 이용자가 이를 거부할 수 있는 기능(opt-out)도 갖추지 않았다.
이에 대해 딥시크 측은 "볼케이노는 바이트댄스의 계열사이나, 별도 법인이고 바이트댄스와는 무관하다"며 "처리위탁 정보는 서비스 운영, 개선 외 마케팅 등의 목적으로는 이용하지 않았고, 앞으로 관련 법령상 요건과 적법절차를 준수해 개인정보를 철저히 보호하겠다"고 개인정보위에 전달했다.
또한 딥시크는 올해 1월15일 한국 앱 마켓에 자사 AI 서비스를 출시하면서 중국어, 영어로만 개인정보 처리방침을 공개했는데 이조차도 개인정보 파기 절차 및 방법, 안전조치, 개인정보 보호책임자의 성명·연락처 등 현행법이 요구하는 사항을 누락했다.
딥시크는 14세 미만 아동의 개인정보를 수집하지 않는다면서 서비스에 가입할 때 아동 여부를 확인하는 절차도 갖추지 않았다. 남석 개인정보위 조사조정국장은 "연령 확인 절차 자체가 없었기 때문에 수집된 아동의 정보가 어느 정도 규모인지는 현재로서는 파악된 바가 없다"며 "아동 정보가 파악되면 즉시 파기하는 것으로 협의됐다"고 설명했다.
개인정보위는 이같은 점검 결과를 바탕으로 딥시크에 개인정보 국외 이전시 합법근거를 충실히 구비하고 볼케이노로 이전한 이용자의 프롬프트 입력 내용을 즉각 파기할 것과 한국어 처리방침 공개 등 서비스의 투명성을 확보할 것을 시정권고하기로 했다.
이와 함께 지난해 주요 AI 서비스 사전 실태점검 결과를 바탕으로 마련한 '강화된 개인정보 보호조치 방안' 준수, 아동 개인정보의 수집 여부 확인 및 파기, 개인정보 처리시스템 전반의 안전조치 향상, 국내대리인 지정을 개선권고했다.
남 국장은 "딥시크가 개인정보위의 시정권고를 10일 이내에 수락하면 시정명령을 받은 것으로 간주된다"며 "향후 개인정보위는 시정 및 개선 권고 사항에 대한 딥시크의 이행 여부를 최소 2회 이상 점검하면서 지속 관리할 것"이라고 말했다.
딥시크는 개인정보위가 권고한 시정 조치들을 완료하고 한국 서비스 재개에 나설 것으로 관측된다.
남 국장은 "개인정보위가 처분해서 딥시크의 국내 신규 다운로드가 중단된 게 아니고 피심인(딥시크) 쪽이 한국법상 미흡한 점이 있는 것을 인정하고 보완하겠다고 하면서 스스로 중단한 것"이라며 "따라서 시정 권고·시정명령에 대한 수용과 이행이 되면 (신규 다운로드 재개에 대한) 자체 결정이 가능할 것으로 보고 있다"고 전했다.
