내 정보는 어떻게…개보위, 딥시크 기술 분석 착수

딥시크, 데이터 수집 관련 질의에 답변 안 할 수도

영국·프랑스·아일랜드와 공동 대응에 나서기로

인터넷진흥원 “생성형 AI에 개인정보 입력 말라”

안전한 개인정보를 위한 생성형 AI 사용법. 개인정보보호위원회 제공

개인정보보호위원회가 개인정보 유출 우려가 불거진 중국 인공지능(AI) 스타트업 딥시크에 대한 자체 기술 분석에도 착수했다. 지난달 31일 개인정보위가 딥시크에 보낸 질의서 답변 내용과 점검 결과를 종합해 향후 대응 방안을 결정할 계획이다.

개인정보위는 7일 브리핑을 열고 딥시크의 개인정보 처리방침, 이용 약관 등에 대해 다른 AI 서비스와 비교 분석을 실시 중이라고 밝혔다. 실제 이용 환경에서 구체적으로 전송되는 데이터와 트래픽 등에 대한 기술 분석도 전문기관과 진행 중이다.

앞서 개인정보위는 딥시크 출시 직후 딥시크 중국 본사에 해당 서비스의 개발 및 제공 과정에서 데이터(개인정보 포함) 수집·처리 관련 사항을 공식 질의했으나, 아직 답변받지 못했다. 질의 당시 답변 기한을 근무일 기준 2주를 부여했는데, 회신이 오지 않는 경우도 배제할 수 없는 상황이다.

개인정보위는 그동안 협력 채널을 구축한 영국·프랑스·아일랜드의 개인정보 규제·감독기구와 공동 대응에 나서기로 했다. 중국 베이징에 있는 한·중 개인정보 보호 협력센터(KISA 북경 대표처)를 통해 현지에서도 소통을 시도 중이며, 공식 외교 채널을 통한 협조 요청도 이뤄질 예정이라고 설명했다.

딥시크는 출시 이래 이용자 정보를 과도하게 수집한다는 지적을 받아왔다. 딥시크의 ‘개인정보 보호정책’을 보면 AI 모델 학습 등을 위해 사용자의 생년월일과 이름, e메일 주소, 전화번호, 비밀번호 등을 수집한다고 고시됐다.

또 이용자들이 입력한 키보드 패턴, 오디오, 파일, 채팅 기록과 다른 콘텐츠를 수집하고, 회사 재량에 따라 해당 정보를 법 집행기관 및 공공 기관과 공유할 수 있다고 명시했다. 이렇게 수집한 정보는 중국에 있는 서버에 저장된다.

남석 개인정보위 조사조정국장은 “AI 모델 훈련 과정에서 국내 정보 포함 여부도 공식 질의에 포함했다”면서 “개인정보의 중국 정부와 공유 여부 등도 함께 살펴보고 있다”고 설명했다.

실제 개인정보 유출 우려가 크다고 판단되면 정보의 국외 이전을 중단하는 ‘국외 이전 중지 명령’이 필요하다는 의견도 있다. 남 국장은 “현재 단계에선 사실 관계 파악이 우선”이라며 “실제 위험성이 크다고 판단되면 사후에 (검토하겠다)”라는 입장을 밝혔다.

한국 정부 부처와 기관들은 지난 5일부터 외부 접속이 가능한 컴퓨터에서 딥시크 접속을 제한한 상태다. 기업들에서도 딥시크를 차단하는 사례가 늘고 있다. 개인정보위는 딥시크 관련 사실관계를 규명하는 입장이다보니 차단 조치를 하지는 않고, 행정안전부 지침에 따라 업무 목적 사용 주의를 당부한 상황이다.

다만 개인정보위는 “서비스 이용 과정에서 보안상 우려가 지속 제기되고 있는 상황을 고려해 신중한 이용을 당부드린다”는 입장을 밝혔다. 올해 1분기 내 생성형 AI의 업무 활용 과정에서 주의 사항을 안내하는 정책 자료도 배포할 계획이다.

한편 한국인터넷진흥원은 이날 보호나라 사이트에 올린 공지를 통해 생성형 AI 서비스에 주민등록번호, 전화번호, 주소 및 금융 정보 등 개인정보를 입력하지 않도록 주의할 것을 당부했다.

인터넷진흥원은 AI가 생성한 정보에 오류가 포함될 수 있으므로 사실 여부를 반드시 검증해 가짜뉴스나 딥페이크 영상 등을 주의하고, 출처가 불분명한 링크나 e메일을 클릭하기 전에 반드시 신뢰할 수 있는 발신자인지 확인하라고 권고했다. 기업을 대상으로는 AI 서비스에 회사 내부 문서, 소스 코드, 고객 정보 등 기밀 데이터를 입력하지 않도록 정책을 수립할 것을 당부했다.