개인정보 수집 논란을 빚다 국내 서비스를 잠정 중단한 중국의 생성형 인공지능(AI) '딥시크(DeepSeek)'가 서비스 당시 중국과 미국 내 업체 여러 곳에 국내 이용자 정보를 무단 이전한 것으로 파악됐다.

이용자가 생성형 AI를 통해 필요한 답을 얻고자 프롬프트에 입력하는 내용도 중국 업체에 넘어간 것으로 조사됐다.

개인정보보호위원회는 24일 정부서울청사에서 브리핑을 열고 전날 전체회의에서 심의·의결한 '딥시크 사전 실태점검 결과'를 발표했다.

개인정보위에 따르면 올해 1월 15일 국내 서비스를 개시한 딥시크는 서비스 중단 시점인 2월 15일까지 이용자 개인정보를 중국 내 회사 3곳과 미국 내 1곳 등 모두 4개 해외 업체로 이전했다.

이 과정에서 이용자로부터 국외 이전에 대한 동의를 받거나 개인정보 처리방침에 이를 공개하지 않았다.

딥시크가 국내 서비스를 중단하기 전까지 일평균 이용자는 약 5만명으로 알려져 있다. 이를 근거로 딥시크 서비스 제공 약 한 달간 150만명의 이용자 정보가 해외로 무단 이전된 것으로 추정해볼 수 있다.

다만 이용자의 어떤 정보가 중국과 미국 업체로 넘어갔는지는 파악되지 않았다.

중국어와 영어로 된 해당 처리방침에는 개인정보 파기 절차 및 방법, 안전조치 등 개인정보보호법상 요구 사항도 누락됐다.

딥시크는 이용자의 기기·네트워크·앱 정보 외에도 이용자가 프롬프트에 입력한 내용을 중국 내 업체 3곳 중 한 곳인 볼케이노에 전송했다. 이 업체는 중국 소셜미디어 '틱톡'의 모회사인 '바이트댄스(Bytedance)'의 계열사다.

다만 딥시크는 점검과정에서 빠뜨렸던 국외이전 관련 법정 사항을 새롭게 마련한 한국어 처리방침에 포함해 개인정보위에 제출했다.

딥시크는 이용자 동의 없이 볼케이노에 개인정보를 이전한 사실은 확인하면서도 보안 취약점과 이용자 인터페이스(UI)·경험(UX) 등의 개선을 위해 볼케이노의 클라우드 서비스를 이용한 것이라고 해명했다.

개인정보위는 이용자가 딥시크 프롬프트에 입력한 내용의 이전은 불필요하다고 지적했고, 딥시크는 이달 10일부터 신규 이전을 차단했다.

연합뉴스 제공