바이트댄스 계열사에 프롬프트 이전

개인정보 포함 우려…‘즉각 파기’ 시정권고

서비스 재개 시 한국어 처리방침 공개

옵트아웃 기능 마련·키 입력 패턴 수집 없어

최장혁 개인정보보호위원회 부위원장이 23일 오후 서울 종로구 정부서울청사에서 개최된 2025년 제9회 개인정보보호위원회 전체회의에서 모두말씀을 하고 있다. [개인정보보호위원회 제공]
최장혁 개인정보보호위원회 부위원장이 23일 오후 서울 종로구 정부서울청사에서 개최된 2025년 제9회 개인정보보호위원회 전체회의에서 모두말씀을 하고 있다. [개인정보보호위원회 제공]

[헤럴드경제=권제인 기자] 개인정보보호위원회가 중국 인공지능(AI) 스타트업 ‘딥시크’에 국외 이전한 이용자의 개인정보를 즉각 파기하도록 시정권고 했다. 더불어 딥시크는 중국어, 영어로만 공개됐던 개인정보 처리방침을 한국어로도 공개한다.

개인정보위는 제9회 전체회의를 열고 딥시크가 중국 기업인 ‘볼케이노’로 이전한 이용자의 프롬프트(명령문) 입력 내용을 즉각 파기할 것을 시정권고하기로 심의·의결했다고 24일 밝혔다. 개인정보위가 딥시크에 대해 사전 실태점검을 진행한 뒤 후속 조치다.

사전 실태점검 결과 딥시크는 기기 정보, 네트워크 정보, 앱 정보 외에 이용자가 AI 프롬프트에 입력한 내용을 중국 바이트댄스의 계열사 볼케이노에 전송한 것으로 확인됐다. 딥시크는 개인정보를 중국, 미국 소재 다수 회사로 이전하면서도 이용자로부터 국외 이전에 대한 동의를 받거나 처리방침을 공개하지 않았다.

딥시크는 위원회의 지적에 따라 지난 10일부터 프롬포트 내용의 신규 이전을 차단한 것으로 확인됐다. 딥시크는 볼케이노가 바이트댄스의 계열사이지만 별도법인으로 바이트댄스와 무관하고, 처리위탁 정보는 서비스 운영·개선 외 마케팅 등의 목적으로는 이용하지 않고 있다고 소명했다.

개인정보위는 신규 이전 차단뿐만 아니라 이미 볼케이노로 이전한 프롬프트 입력 내용도 즉각 파기할 것을 시정권고 하기로 결정했다. 개인정보위는 프롬프트에 이용자가 입력한 개인정보가 포함됐을 수 있고, 볼케이노로 이전은 과도하다고 판단했다.

또한 딥시크는 국내 서비스 재개 시점에 한국어로 된 개인정보 처리방침과 관할조항 전문을 공개할 예정이다. 딥시크는 한국 앱 마켓에 출시 당시 중국어, 영어로만 개인정보 처리방침을 공개하고 개인정보 파기 절차 및 방법 등 국내법이 요구하는 사항들을 누락했다. 딥시크는 지난 2월 국내 앱 마켓에서 신규 다운로드를 중단한 뒤, 지난달 28일 한국어로 된 처리방침과 관할조항 등을 추가해 개인정보위에 제출했다.

과도한 개인정보 수집으로 지적됐던 키 입력 패턴은 수집한 사실이 없는 것으로 확인됐다. 입력 패턴은 개인마다 키보드 사용 방식이 달라, 개인 식별에 활용될 가능성이 있다. 딥시크는 키 입력 패턴은 서비스 준비 당시 수집할 정보과 확정되지 않은 상태에서 개인정보 처리방침에 기재했다며 실제 수집한 사실이 없다고 개인정보위에 해명했다.

프롬프트 입력 내용을 AI 개발·학습에 활용하지 않도록 거부하는 ‘옵트아웃’ 기능은 지난달 17일부터 마련했다. 딥시크는 개인정보위가 지난해 주요 AI 서비스 사전실태점검 후 권고한 ‘강화된 보호조치’도 모두 준수하기로 했다.

더불어 딥시크는 14세 미만 아동의 개인정보를 수집하지 않는다면서도 서비스 가입 시 아동 여부를 확인하는 절차가 없었으나, 점검과정에서 연령 확인 절차를 마련했다.

개인정보위는 딥시크에 대해 한국어 처리방침을 공개하는 등 서비스의 투명성을 지속 확보할 것을 시정권고 하기로 결정했다. 또한, ▷강화된 개인정보 보호조치 방안 준수 ▷아동 개인정보의 수집 여부 확인 및 파기 ▷개인정보 처리시스템 전반의 안전조치 향상 ▷국내대리인 지정도 개선권고 하기로 했다.

개인정보위는 시정 및 개선 권고 사항에 대해 딥시크의 이행 여부를 최소 2회 이상 점검하며 지속 관리해 나갈 계획이다. 시정권고는 딥시크가 10일 이내 수락하면 시정명령을 받은 것으로 간주되며, 시정 및 개선권고에 대한 이행 결과는 60일 이내에 개인정보위에 보고해야 한다.


eyre@heraldcorp.com