딥시크, 한국 이용자 개인정보 해외 곳곳에 무단 이전

이용자가 작성한 프롬프트 내용 틱톡 계열사에도 보내
개인정보위, 수집한 내용 즉각 파기 등 시정 권고

(시사저널=정윤성 기자)

중국의 인공지능(AI) 스타트업 딥시크 로고 ⓒREUTERS

개인정보 수집 논란으로 국내 서비스를 잠정 중단한 중국의 생성형 인공지능(AI) '딥시크'가 중국과 미국 기업들에 국내 이용자 정보를 무단 이전한 것으로 파악됐다.

개인정보보호위원회는 24일 정부서울청사에서 브리핑을 열고 전날 전체회의에서 심의·의결한 '딥시크 사전 실태점검 결과'를 발표했다.

개인정보위에 따르면, 올해 1월15일 국내 서비스를 시작한 딥시크는 서비스를 중단한 2월15일까지 이용자 개인정보를 중국 회사 3곳과 미국 회사 1곳으로 무단 이전했다.

딥시크는 이용자로부터 개인정보 국외 이전에 대한 동의를 받지 않았고, 처리방침에도 이를 명시하지 않았다. 중국어와 영어로 된 처리방침에는 개인정보 파기 절차 및 방법과 안전조치 등 개인정보보호법상 요구 사항도 빠졌다.

특히 딥시크는 이용자의 기기·네트워크·앱 정보 외에도 이용자가 프롬프트에 입력한 내용을 틱톡 모회사인 바이트댄스의 계열사 볼케이노에 전송한 것으로 나타났다. 볼케이노는 바이트댄스 계열사이긴 하지만 별도 법인이고, 처리위탁 정보는 서비스 운영·개선 외 마케팅 등의 목적으로는 이용하지 않고 있다고 밝혔다. 이용자가 딥시크 프롬프트에 입력한 내용의 이전은 불필요하다고 개인정보위가 지적하자 이달 10일부터 신규 이전은 차단된 상태다.

또한 딥시크는 다른 AI 사업자와 유사하게 AI 학습과 개발에 이용자가 프롬프트에 입력한 내용을 이용했다. 하지만 이용자가 프롬프트에 입력한 내용을 이에 사용하지 못하도록 거부할 수 있는 '옵트아웃(opt-out)' 기능이 없었고, 딥시크는 이를 개인정보위 지적 이후에야 개선했다.

당초 처리지침에 기재했던 '키 입력 패턴·리듬' 정보에 대해서는 국내 서비스 준비 당시 기재된 것으로, 실제 수집한 사실은 없었던 것으로 확인됐다.

개인정보위는 딥시크에 볼케이노로 이전한 이용자의 프롬프트 입력 내용을 즉각 파기할 것 등을 시정 권고했다. 개인정보 처리시스템 전반의 안전조치 향상 등도 권고했다. 딥시크가 시정 권고를 10일 내 수용하면 시정 및 개선 권고에 대한 이행 결과는 60일 내 개인정보위에 보고해야 한다.

앞서 딥시크는 올해 1월 국내 서비스를 시작한 뒤로 과도한 개인정보 수집 논란 등에 휩싸이며 국내 앱 마켓에서 신규 다운로드 서비스를 잠정 중단한 바 있다. 개인정보위는 딥시크가 잠정 중단했던 국내 앱 다운로드 서비스가 언제 재개될지에 대해서는 구체적으로 언급하지 않았다.