개인정보 수집 논란으로 국내 신규 서비스를 잠정 중단한 중국의 생성형 인공지능(AI) 딥시크가 서비스 당시 중국과 미국 내 여러 업체에 국내 이용자 정보를 무단 이전한 것으로 파악됐다. 이용자가 프롬프트에 입력하는 내용도 중국 업체에 넘어간 것으로 조사됐다.

개인정보보호위원회는 24일 정부서울청사에서 브리핑을 갖고 전날 전체회의에서 딥시크 측에 이미 넘어간 프롬프트 입력 내용을 즉각 삭제하도록 하는 등 시정명령과 개선 권고사항을 심의·의결했다고 밝혔다.

개인정보위에 따르면 지난 1월 15일 국내 서비스를 개시한 딥시크는 서비스를 중단한 2월 15일까지 이용자 개인정보를 중국 내 회사 3곳과 미국내 1곳 등 총 4개 해외 업체로 이전했다. 이 과정에서 이용자로부터 국외 이전에 대한 동의를 받거나 개인정보 처리방침에 이를 공개하지 않았다. 다만 어떤 정보가 업체들로 넘어갔는지는 파악되지 않았다. 당시 국내 딥시크 이용자는 약 5만명으로 알려져 있어 한 달간 150만명에 달하는 이용자 정보가 해외로 무단 이전된 것으로도 볼 수 있다.

중국어와 영어로 된 해당 처리방침에는 개인정보 파기 절차 및 방법, 안전조치 등 개인정보보호법상 요구 사항도 누락됐다. 이용자가 프롬프트에 입력한 내용을 AI 학습·개발에 사용하지 못하도록 거부할 수 있는 ‘옵트아웃(opt-out)’기능과 14세 미만 아동의 개인정보를 수집하지 않는다면서도 서비스 가입 시 아동 여부를 확인하는 절차도 없었다. 딥시크는 그러나 점검 과정에서 이용자의 명령어 데이터를 AI 학습에 활용하지 않도록 거부할 수 있는 선택 기능을 추가했다.

딥시크는 또 이용자의 기기·네트워크·앱 정보 외에도 이용자가 프롬프트에 입력한 내용을 중국 내 업체 3곳 중 한 곳인 볼케이노에 전송했다. 볼케이노는 중국 소셜미디어 ‘틱톡’의 모회사인 ‘바이트댄스(Bytedance)’의 계열사다. 다만 개인정보위는 “볼케이노는 바이트댄스의 계열사이지만 별도 법인으로 바이트댄스와 무관하고, 처리 위탁한 정보는 서비스 운영·개선 외 마케팅 등 목적으로는 이용하지 않고 있으며 법령상 요건과 적법절차를 준수해 개인정보를 철저히 보호하겠다고 (딥시크가) 소명했다”고 전했다.

개인정보위는 딥시크에 볼케이노로 이전한 이용자의 프롬프트 입력 내용을 즉각 파기할 것 등을 시정 권고했다. 국내 대리인 지정과 개인정보 처리시스템 전반의 안전조치 향상 등도 개선 권고했다.

딥시크가 개인정보위의 시정 권고를 10일 내 수용하면 관련 법에 따라 시정명령을 받은 것으로 간주한다. 이후 시정 및 개선 권고에 대한 이행 결과는 60일 안에 개인정보위에 보고해야 한다. 남석 개인정보위 조사조정국장은 “이행 여부를 최소 2회 이상 점검하며 지속 관리할 계획”이라고 밝혔다.

개인정보위는 딥시크가 잠정 중단했던 국내 앱 다운로드 서비스가 언제 재개될지에 대해서는 “해당 업체가 판단할 문제”라며 구체적으로 언급하지 않았다. 다만 딥시크 측이 개인정보위 지적사항을 대부분 개선했다고 밝혀 조만간 국내 서비스를 재개할 것으로 예상된다.