연합뉴스중국이 개발한 인공지능 챗봇인 딥시크의 과도한 개인정보 수집과 정보 국외이전 문제에 대해 개인정보보호위원회가 실태를 점검하고 이미 국외이전한 국내 이용자 정보를 즉각 파기하고 서비스 투명성을 높이도록 개선을 권고했다.
개인정보위는 딥시크가 10일 내 시정권고를 수락하면 시정명령을 받은 것으로 간주하고 시정 및 개선 권고내용을 지속적으로 관리해 나갈 계획이라고 밝혔다.
"딥시크 개인정보호법 요구사항 누락… 키 입력패턴 실제 수집은 안 해"
개인정보보호위원회는 23일 전체회의를 열고 딥시크에 대한 사전 실태점검 결과를 심의 의결하고 딥시크에 개인정보 보호를 위한 시정 및 개선을 권고하기로 결정했다고 24일 밝혔다.
올해 1월 딥시크 서비스 출시 직후 국내외에서 개인정보 침해 우려가 제기됨에따라 개인정보위는 딥시크에
개인정보 수집·처리 방식에 관한 질의서를 보내고 기술분석을 진행한 바 있다.
개인정보위의 실태점검 결과 딥시크는 올해 1월 한국 앱 마켓에 출시하면서 중국어, 영어로만 처리방침을 공개했고 처리방침에서도 개인정보 파기 절차 및 방법, 안전조치, 개인정보 보호책임자의 성명‧연락처 등 개인정보보호법이 규정한 사항을 누락했다.
이용자의 키 입력패턴도 정보수집 대상이었는데 개인정보위는 "(딥시크가) 서비스 준비 당시 수집할 정보가 확정되지 않은 상태에서 기재한 것으로, 실제 수집한 사실은 없으며 정확한 수집 항목으로 처리방침을 정비했다고 알려와 확인했다"고 밝혔다.
한국어 처리방침 및 관할조항 전문은 딥시크 서비스 재개 시점에 웹‧앱을 통해 공개될 예정이다.
딥시크는 또 개인정보를 서비스 개선 등을 이유로 중국 및 미국 소재 다수 회사로 이전하면서도 서비스 개시 시점에 이용자로부터 국외 이전에 대한 동의를 받거나 처리방침을 공개하지 않았다.
특히 기기 정보, 네트워크 정보 외 이용자가 AI 프롬프트에 입력한 내용도 볼케이노라는 회사에 전송했는데 개인정보위는 이전된 정보를 즉각 파기하도록 시정을 권고했다.
딥시크는 일단 프롬프트에 입력한 내용의 이전은 불필요하다는 위원회의 지적에 따라 지난 10일부터 신규이전을 차단해 확인했다고 개인정보위는 전했다.
또 볼케이노는 처리위탁 정보는 서비스 운영‧개선 외 마케팅 등의 목적으로는 이용하지 않고 있으며, 관련 법령상 요건과 적법절차를 준수해 개인정보를 철저히 보호하겠다고 소명했다.
" AI 개발·학습 관련 정보 수집 이용자가 거부할 수 있는 기능 마련"
스마트이미지 제공점검 결과 딥시크는 다른 AI회사와 마찬가지로 이용자가 프롬프트에 입력한 내용을 AI(인공지능) 개발‧학습에 이용하고 있었으나 이용자가 AI 개발·학습 활용에 거부할 수 있는 기능이 없었다.
처리방침‧이용약관에도 '서비스 제공‧개선'으로만 표시해 충분한 설명 또는 고지로 보기 어려웠다.
이에 대해 딥시크는 AI 프롬프트 입력 내용 활용을 이용자가 거부할 수 있는 기능을 마련했다고 알려와 확인했으며 지난해 3월 주요 AI 서비스 사전 실태점검 후 권고한 '강화된 보호조치'를 모두 준수하기로 했다고 개인정보위는 전했다.
딥시크는 또 아동 개인정보 및 안전조치와 관련해서는 14세 미만 아동의 개인정보를 수집하지 않는다면서도 서비스 가입시 아동 여부를 확인하는 절차가 없었으나, 점검과정에서 연령 확인 절차 등을 마련한 것으로 파악됐다.
개인정보위는 이런 점검 결과를 근거로 딥시크에 개인정보 국외 이전시 합법근거를 충실히 구비하고 이미 볼케이노로 이전한 이용자의 프롬프트 입력 내용을 즉각 파기할 것과 한국어 처리방침 공개 등 서비스의투명성을 지속 확보할 것을 시정권고하기로 했다고 밝혔다.
딥시크가 개인정보위의 시정권고를 10일 이내에 수락하면 시정명령을 받은 것으로 간주되며 시정 및 개선 권고에 대한 이행 결과를 60일 이내에 개인정보위에 보고해야 한다.
개인정보위는 향후 시정 및 개선 권고 사항에 대한 딥시크의 이행 여부를 최소 2회 이상 점검하며 지속 관리해 나갈 계획이라고 밝혔다.