딥시크에 물어본 내용까지, 본인 몰래 중국 업체로 넘겼다

“국외 이전 정보 파기” 시정권고

로이터 연합뉴스

지난 2월 국내 신규 다운로드가 중단된 중국 인공지능(AI) 스타트업 딥시크가 챗봇 입력창에 넣은 정보 등을 이용자 동의 없이 중국 바이트댄스 계열사에 전송한 사실이 확인됐다. 개인정보보호위원회(개인정보위)는 딥시크에 이미 국외로 이전한 이용자 정보를 즉각 파기할 것을 시정 권고했다. 딥시크는 개인정보위의 시정·개선 권고를 이행한 뒤 국내 신규 앱 다운로드 서비스를 재개할 전망이다.

개인정보위는 24일 딥시크 서비스의 사전 실태점검 결과, 다른 사업자와의 통신 기능 및 개인정보 처리방침에 미흡한 부분을 일부 확인했다고 밝혔다.

점검 결과 개인정보위는 딥시크가 이용자로부터 국외 이전에 대한 동의를 받지 않은 채 개인정보를 중국·미국 소재 회사 4곳(중국 3곳, 미국 1곳)에 이전한 점을 확인했다. 특히 딥시크는 이용자의 기기 및 네트워크 정보, 앱 정보 이외에도 챗봇 입력창에 쓴 내용을 중국 바이트댄스가 소유한 클라우드 플랫폼 ‘볼케이노 엔진’에 전송해왔던 것으로 드러났다.

딥시크 쪽은 개인정보위에 “보안 취약점 및 이용자 인터페이스와 경험(UI/UX) 등의 개선을 위해 클라우드 서비스를 이용한 것”이라며 서비스 운영·개선 이외 목적으로는 개인정보를 이용하지 않고 있다고 소명했다. 하지만 개인정보위는 보안 문제와 사용자 경험 개선 목적으로 이용자의 입력 내용을 수집할 이유는 없다고 지적했고, 이에 딥시크는 지난 10일부터 이들 정보의 신규 이전을 차단했다.

지난 1월 국내 서비스 출시 이후 광범위한 정보 수집 의혹이 일었던 키 입력 패턴과 리듬은 실제 수집되지 않은 것으로 나타났다. 딥시크의 개인정보 처리방침에는 회사가 이들 정보를 수집하는 것으로 명시됐으나, 이는 서비스 출시 전 수집 정보를 확정하지 않은 상태에서 처리방침을 먼저 작성했기 때문이라는 게 회사 쪽 설명이라고 개인정보위는 전했다. 아울러 딥시크는 이용자가 프롬프트에 입력한 내용이 인공지능 개발·학습에 활용되는 것을 거부할 수 있는 기능인 ‘옵트아웃’ 옵션도 지난달 17일 국내 서비스에 추가했다.

개인정보위는 그동안 국내외 언론 등이 제기한 딥시크의 개인정보 침해 우려와 관련해 시스템 전반을 점검했지만, 딥시크 쪽이 이용자의 민감 정보를 의도적으로 수집했다고 볼 수 없는 만큼 조사로 전환해 시정명령 및 과징금 처분 등을 하진 않았다고 설명했다. 이용자들이 프롬프트에 입력한 민감 정보가 국외로 이전됐을 가능성을 배제할 순 없지만, 개인정보위가 입력 데이터를 확인할 방법은 없기 때문이다. 또 페이스북 프로필에 종교와 결혼 여부 등 민감 정보 입력을 유도한 뒤 이를 무단 수집해 맞춤 광고에 활용해 과징금 처분을 받은 메타와 달리 딥시크 챗봇은 이용자 스스로 정보를 입력한 탓에 문제 삼기 어렵다는 점도 고려됐다.

선담은 기자 sun@hani.co.kr