[단독] 앤트로픽, 정보 유출 인지 21일 뒤 신고…'72시간 의무' 위반 논란

고객사 통지도 침입 인지 28일 만에…신고·통지 지연 여부 도마 위
개인정보 보호법 위반 시 각각 최대 3000만원 과태료

[아이뉴스24 서효빈·최효경 기자] 미국 인공지능(AI) 기업 앤트로픽이 기업용 AI 서비스에 대한 정보 유출을 인지한 지 21일 만에 개인정보보호위원회(개보위)에 유출 사고를 신고한 것으로 파악됐다. 현행 개인정보 보호법상 신고 기한인 72시간을 크게 넘긴 만큼 신고 의무 위반 가능성이 제기된다.

앤트로픽 웹사이트 [사진=AP/연합뉴스]

11일 아이뉴스24가 입수한 앤트로픽의 고객사 안내 이메일에 따르면 앤트로픽은 지난달 10일 기업용 AI 서비스 '클로드 엔터프라이즈'와 관련된 외부 침입 사실을 인지했다. 이후 같은 달 31일 개보위에 개인정보 유출 사고를 신고했다. 외부 침입 사실을 인지한 지 21일 만이다.

현행 개인정보 보호법 제34조와 시행령 제40조에 따르면 개인정보처리자는 일정 요건에 해당하는 개인정보 유출 사실을 알게 된 때부터 72시간 이내에 개보위 또는 한국인터넷진흥원(KISA)에 신고해야 한다. 이를 위반하면 3000만원 이하의 과태료가 부과될 수 있다.

해외사업자도 예외는 아니다. 앞서 개보위는 지난 2023년 7월 오픈AI가 '챗GPT' 이용자의 개인정보 유출을 인지하고도 당시 법정 신고 기한인 24시간을 지키지 않았다며 과태료 360만원을 부과한 바 있다.

또한 개인정보 보호법은 개인정보 유출 사실이나 법에서 정한 유출 가능성을 인지한 경우 72시간 이내에 정보주체에게 통지하도록 규정하고 있다. 이 부분도 앤트로픽이 위반했을 가능성이 제기된다.

앤트로픽은 외부 침입 사실을 인지한 지난달 10일로부터 28일이 지난 이달 7일에야 고객사에 관련 사실을 통지해 통지했다. 통지 의무를 위반하면 3000만원 이하의 과태료가 부과될 수 있다.

이와 관련해 앤트로픽 측에 입장을 문의했으나 별도의 답변을 하지 않았다.

이번 사고로 국내 기업용 계정 100여 건의 정보가 유출된 것으로 파악됐다. 유출 데이터에는 이름과 이메일 주소를 비롯해 계정 ID와 조직 ID, 요금제 등급, 사용량 및 지출 지표 등이 포함됐다.

개보위는 10일 앤트로픽에 대한 정식 조사에 착수했다. 구체적인 사고 경위와 개인정보 유출 규모를 파악하고 개인정보 보호법 위반 여부를 살펴볼 예정이다.

/서효빈 기자(x40805@inews24.com),최효경 기자(hyomirror@inews24.com)