개인정보보호위원회(이하 개인정보위)가 중국 인공지능(AI) 서비스 ‘딥시크(Deepseek)’의 개인정보 수집·처리 방식에 대한 우려가 지속적으로 제기됨에 따라, 이에 대한 면밀한 기술적 검토를 진행 중이라고 7일 밝혔다. 개인정보위는 최종 검토 결과가 발표되기 전까지 이용자들에게 신중한 사용을 당부했다.
개인정보위는 이날 정부서울청사에서 브리핑을 열고 딥시크 본사(항저우 및 베이징 딥시크 AI)에 개인정보 처리 주체, 수집 항목, 저장 및 공유 방식 등을 확인하는 공식 질의서를 지난달 31일 발송했으며, 현재 딥시크 측의 회신을 기다리고 있다고 밝혔다. 또한, 딥시크의 개인정보 처리방침과 이용약관을 정밀 분석하는 한편, 실제 이용 환경을 구성해 서비스 사용 시 전송되는 데이터와 트래픽을 기술적으로 검토하고 있다고 설명했다.
이 과정에서 국내 전문기관 및 관계 부처와 협력하고 있으며, 영국 ICO, 프랑스 CNIL, 아일랜드 DPC 등 주요국 개인정보 감독기구와도 협의를 진행 중이다. 또한, 중국 내 한-중 개인정보 보호 협력센터(KISA 북경 대표처)를 통해 딥시크 측과의 직접적인 소통을 시도하는 한편, 한국 정부의 공식 외교 채널을 활용한 협조도 요청할 계획이다.
남석 개인정보위 조사조정국장은 “중국의 법과 규제가 한국과 달라 개인정보가 중국 정부로 넘어갈 가능성에 대한 우려가 많다”며 “이에 따라 개인정보의 국외 이전이 합법적 처리 근거를 갖추었는지, 중국 국내법과의 관계에서 중국 정부의 개입 가능성이 있는지를 면밀히 검토 중”이라고 말했다.
이어 “이러한 부분에 대해 해외 주요 개인정보 보호 기관들과도 논의하고 있으며, 필요 시 공동 대응 방안을 마련할 계획”이라고 덧붙였다.
개인정보위는 딥시크의 개인정보 수집 방식이 국내법과 국제 기준을 준수하는지 검토하는 과정에서, 딥시크가 이용자의 키보드 입력 패턴, 오디오, 파일, 채팅 기록 등 민감한 정보를 수집할 가능성이 있다는 점도 주목하고 있다.
남 국장은 “이러한 정보들이 어떤 방식으로 저장되고 활용되는지 명확한 확인이 필요하다”며 “이용자가 자신의 정보를 관리하고 삭제할 수 있는 권한이 보장되는지도 중요한 검토 대상”이라고 밝혔다.
또한, 딥시크와 같은 해외 기반 AI 서비스에 대한 관리·감독 체계를 강화할 필요성도 언급했다. 남 국장은 “현재 딥시크가 국내에 공식 사업장을 두고 있지 않아, 기존 개인정보 보호법의 적용을 받는 데 한계가 있다”며 “이러한 문제를 해결하기 위해 해외 AI 서비스에 대한 규제 방향을 마련하고 있으며, 국내 이용자 보호를 위한 추가적인 제도적 대안도 검토 중”이라고 말했다.
개인정보위는 공공·민간 조직을 대상으로 생성형 AI 사용 시 개인정보 보호 조치를 안내하는 정책 자료를 1분기 중 배포할 예정이다. 다음은 남 국장과의 일문일답.
― 딥시크 본사에 보낸 질의서에 대한 회신이 아직 오지 않았는데, 진행 상황을 설명해달라.
“1월 31일 딥시크 본사에 질의서를 송부했으며, 일반적으로 답변 기한은 워킹데이 기준 2주 정도다. 현재까지 답변을 받지 못한 상황이며, 회신을 기다리고 있다. 이와 별개로 자체적인 기술 분석을 진행하고 있으며, 해외 주요 개인정보 감독 기구들과 협력 체계를 구축하고 있다.”
― 만약 딥시크가 답변을 주지 않으면 이후 대응 방안은 무엇인가.
“현재 단계에서는 공식적인 조사로 보기 어렵지만, 향후 답변 내용에 따라 추가 조치를 검토할 수 있다. 구체적인 대응 방안은 가정적인 상황이기 때문에 지금 단계에서 확정적으로 말하기 어렵다. 다만 해외 규제 기구들과 협력을 강화하고 있으며, 필요 시 추가 질의를 할 수도 있다.”
― 딥시크에 대한 기술 분석은 언제부터 시작했나.
“딥시크가 1월 말 출시되었고, 관련 보도가 나온 직후부터 질의서 작성과 동시에 자체적인 기술 분석을 시작했다. 현재 보안 관련 기관 및 전문가들과 협력해 데이터를 분석하고 있다.”
― 딥시크의 개인정보 수집 방식이 다른 생성형 AI와 비교해 과도하다고 보는가.
“현재 단계에서는 사실관계를 확인하는 것이 우선이다. 딥시크의 개인정보 처리방침과 이용약관을 다른 서비스들과 비교해 분석 중이며, 기술적인 데이터 전송 방식도 함께 검토하고 있다. 분석 결과에 따라 위법성이 발견될 경우 적절한 조치를 취할 것이다.”
― 딥시크가 한국 내 사업장이 없는데, 개인정보위가 제재를 할 수 있는지.
“국내 사업장이 없더라도 한국 이용자에게 서비스를 제공하면 개인정보 보호법상 개인정보 처리자로 간주된다. 과거에도 해외 기업이 개인정보 보호법을 위반한 사례에 대해 처분을 내린 전례가 있다. 예를 들어, 챗GPT 관련 개인정보 유출 사건에서도 유출 통지 의무 위반으로 과태료를 부과한 바 있다.”
― 딥시크가 중국 서비스라 보안 위험이 더 크다고 보나.
“중국의 법과 규제가 한국과 다르기 때문에, 개인정보가 중국 정부로 넘어갈 가능성에 대해 우려하는 목소리가 많다. 이에 따라 개인정보의 국외 이전이 합법적 처리 근거를 갖추었는지, 중국 국내법과의 관계에서 중국 정부의 개입 가능성이 있는지를 면밀히 검토 중이다. 이러한 점은 해외 주요 개인정보 보호 기관들과도 논의하고 있다.”
― 딥시크의 개인정보 국외 이전을 막을 방안이 있나.
“국외 이전 중지 명령을 내릴 수 있는 법적 근거는 마련되어 있지만, 이는 사후 조치로 적용될 수 있다. 현재는 개인정보 처리방침과 데이터 이동 경로 등을 확인해 국외 이전 문제를 보다 구체적으로 파악하는 과정이다.”
― 개인정보위가 협력 중인 해외 개인정보 보호 기관은 어디인가.
“현재 영국의 ICO, 프랑스의 CNIL, 아일랜드의 DPC와 협력하고 있으며, 이들과 지속적인 정보 공유를 하고 있다. 일부 기관과는 향후 공동 대응 가능성도 논의 중이다.”
― 국내 공공기관들도 딥시크 사용을 금지하는 조치를 하고 있는데, 개인정보위도 내부적으로 사용을 차단했나.
“개인정보위 자체적으로 차단 조치를 내린 것은 아니다. 다만, 행정안전부에서 각 부처에 업무 목적으로 딥시크 사용을 자제할 것을 권고하는 공문을 보냈고, 이에 따라 내부적으로 직원들에게 관련 내용을 주지시킨 상태다.”
― 딥시크 외에도 유사한 해외 AI 서비스들이 계속 등장할 텐데, 매번 같은 방식으로 대응할 것인가.
“현재 딥시크와 관련한 긴급 이용 수칙을 마련 중이며, 장기적으로 해외 AI 서비스에 대한 관리·감독 체계를 구축할 필요성이 있다. 지난해에도 주요 AI 서비스에 대한 사전 실태 점검을 진행한 바 있으며, 향후 개인정보 보호 가이드라인을 더욱 구체화할 계획이다.”
― 각 부처마다 개별적으로 딥시크를 차단하고 있다. 누가 전체적으로 조치를 하고 어떻게 진행될 건지, 차후에는 대통령 지시가 있어야만 가능한 건지.
“부처 간의 협력이나 정보 공유는 지금도 충분히 이뤄지고 있다. 전체적인 차원에서 논의가 이뤄진 걸로 알고 있고 그 부분은 말씀드리기에는 적절치 않은 것 같다.”
― 딥시크의 LLM(대규모언어모델) 학습 데이터에 한국 이용자의 개인정보가 포함되었는지도 조사 대상인지.
“현재 가상의 이용 환경을 마련해, 서비스 이용 중 어떤 개인정보가 수집되는지 분석하는 것이 주요 목표다. 학습 데이터 문제도 함께 검토하고 있으며, 이를 확인하기 위해 공식 질의를 보낸 상태다.”
― 개인정보 보호법 개정으로 행태정보도 개인정보로 분류될 수 있는데, LLM에 입력되는 데이터도 규제 대상인지.
“LLM 모델에서 수집되는 정보가 개인정보에 해당하는지 여부는 처리방침과 이용약관을 종합적으로 검토한 후 판단해야 한다. 단순히 LLM에 행태정보가 포함된다고 해서 무조건 금지 대상이 되는 것은 아니다. 검토 결과에 따라 필요한 조치를 취할 것이다.”
- 컬링 믹스더블, 중국 꺾고 결승 진출… 8일 일본과 金 ‘격돌’
- 샤오미, AI 안경 상반기 출시 임박… 4월 공개 전망
- 제주항공 무안참사 후 LCC 국제선 여객 수 전년比 14% 감소
- 미디어프론트, 韓中 협력 실감콘텐츠 공간 ‘베리랜드’ 흥행 성공
- LX인터내셔널, 작년 영업익 4892억원… 전년比 13% 증가
댓글0