▲ 종이신문보기

국내 딥시크 AI 앱 설치 중단

중국의 인공지능(AI) 모델 딥시크가 사용자 정보를 중국 소셜미디어(SNS) 틱톡 모회사인 '바이트댄스'에 넘긴 사실이 확인됐다. 개인정보보호위원회는 17일 "딥시크 사용자 정보가 바이트댄스로 넘어간 것이 확인됐다"며 "딥시크가 개인정보 보호법상 미흡한 부분을 인정해 15일부터 앱 신규 다운로드를 중단했다"고 밝혔다. 국가 차원에서 딥시크 앱 다운로드가 전면 차단된 것은 지난달 말 이탈리아에 이어 두 번째다. 한국에서 딥시크 앱 금지 사실이 알려진 후 궈자쿤 중국 외교부 대변인은 정례 브리핑에서 "중국 정부는 일관되게 중국 기업에 현지 법규를 엄격히 준수할 것을 요구해 왔다"며 "관련 국가(한국)가 경제·무역·과학·기술 문제를 안보화·정치화하지 않기를 희망한다"고 말했다.

딥시크는 적은 비용으로 고성능 AI 모델을 개발한 사실이 알려지면서 전 세계 테크 업계에 큰 파장을 몰고 왔다. 하지만 사용자의 키보드 습관까지 파악하는 등 과도한 정보 수집으로 논란을 빚었다. 딥시크 앱 주간 사용자는 121만명(1월 말 기준)으로 챗GPT(493만명) 다음으로 많다.

개인정보위는 딥시크의 인터넷 접속 기록을 확인하는 과정에서 정보 유출 사실을 확인했다. 딥시크가 바이트댄스에 어떤 정보를, 얼마나 많이, 왜 넘겼는지는 확인되지 않았다. 국내 개인정보 보호법상 제3자에게 정보를 제공할 경우 처리 방식과 수집 목적을 구체적으로 알리고 동의를 받아야 한다. 딥시크는 이를 준수하지 않았다. 개인정보위는 "제3자에게 정보를 제공할 땐 정보 제공자의 동의를 받아야 하고 어떤 정보를 왜 수집하고, 언제까지 보유할 것인지 알려야 하지만 딥시크 개인정보 처리 방침과 이용 약관에는 이런 내용들이 반영돼 있지 않았다"고 밝혔다.

딥시크 보안 논란은 이번이 처음이 아니다. 미 ABC방송에 따르면, 북미 사이버 보안 업체 페루트 시큐리티가 딥시크의 코드를 해독한 결과, 중국 국영 통신사인 차이나모바일에 사용자 정보를 전송하는 기능이 숨겨져 있는 사실이 확인됐다.

◇딥시크, 키보드 입력 패턴까지 마구잡이 수집… 中기업에 줬다

개인정보보호위원회는 딥시크가 지난달 최신 AI 모델(R1)을 출시한 직후 딥시크의 개인정보 처리 방침, 이용 약관 등 주요 보안 정책을 검토하고 서비스 사용 시 전송되는 데이터, 트래픽(접속량) 등에 대해 기술 분석을 했다. 이 과정에서 위원회는 '틱톡'을 운영하는 중국의 바이트댄스로 딥시크 사용자 정보가 전달되고 있는 것을 확인했다. 문제를 확인한 개인정보위는 딥시크 측에 앱 다운로드를 중단할 것을 요구했고, 딥시크가 지난 15일 이를 수용하면서 국내에서 딥시크 앱 다운로드가 무기한 전면 차단됐다. 최장혁 개인정보위 부위원장은 "국내 개인정보 보호법에 따른 개선·보완이 이뤄진 후 서비스가 재개될 것"이라고 밝혔다.

◇딥시크 개인정보, 中 기업으로

개인정보위가 확인한 딥시크 보안의 문제는 크게 두 가지다. 개인정보보호법에 따르면, 제3자에게 사용자의 개인정보를 제공하기 위해서는 별도의 동의를 받고, 어떤 정보를 어느 기간 동안 보관할지를 알려야 한다. 하지만 딥시크는 이를 준수하지 않았다.

더 큰 문제는 중국의 거대 플랫폼 기업인 바이트댄스로 딥시크 사용자의 개인정보가 넘어가고 있다는 것이다. 위원회 관계자는 "프록시 서버(인터넷 중계 서버)로 통신 기록을 분석해 보니, 사용자가 딥시크에 접속하면 딥시크뿐만 아니라 바이트댄스로도 사용자 정보가 전달되고 있었다"며 "구체적으로 어떤 정보가 넘어가고 있는지, 왜 바이트댄스와 연결이 되는지 등은 향후 조사 과정에서 확인할 것"이라고 밝혔다.

개인정보위는 딥시크에 개인정보 처리 방침 개정 등을 요구하고 추가적인 실태 점검에 들어갔다. 딥시크 측이 시정 조치를 제대로 하지 않을 경우 위원회는 과징금·과태료 부과 및 시정명령을 내릴 수 있다. 실태 점검 결과는 이르면 한두 달 내 나올 것으로 전망된다.

신규 다운로드는 중단됐지만, 보안 문제가 해소된 것은 아니다. 기존 사용자와 PC 등을 통한 웹사이트 접속은 가능하다. 남석 개인정보위 조사조정국장은 "기존에 앱을 다운받은 경우 강제로 삭제할 수 없고, 인터넷 역시 차단이 쉽지 않다"며 "실태 점검 과정에서 보호법상 준수 의무 등을 살펴보고 결과 발표 시 대책을 발표할 것"이라고 밝혔다.

◇中 정부가 악용 가능성

그동안 딥시크는 사용자 개인정보를 무차별적으로 수집하고 활용한다는 지적을 받아왔다. 딥시크는 사용자의 생년월일, 이름, 이메일, IP 주소 같은 개인정보는 물론이고 사용자가 입력하는 글귀, 음성, 사진, 파일 등 데이터를 수집한다. 이는 챗GPT·제미나이 같은 다른 AI도 수집하는 정보다. 딥시크는 더 나아가 개인 식별을 위해 키보드 입력 패턴 정보까지 수집했다. 사람들이 스마트폰 키보드로 문자를 입력할 때, 타자 속도와 리듬이 모두 다른데 이를 수집해 분석하면 개인을 특정할 수 있고, 경우에 따라 비밀번호를 추론하는 데 사용될 수 있다. 논란이 커지자 딥시크는 지난 14일 사용자의 키보드 입력 패턴 등 일부 정보의 수집을 중단하겠다고 밝혔다.

딥시크는 다른 AI 모델과 달리 사용자에게 정보 수집 거부 권한(옵트 아웃)을 허용하지 않는다. 또 사용자 정보를 전부 중국 내 서버에 저장하고, 광고 목적 등으로 제3자에게 정보를 넘길 수 있다는 조항이 있다. 북미 사이버 보안 업체 페루트 시큐리티가 딥시크의 코드를 해독한 결과, 딥시크 내에 사용자 정보를 중국 국영 통신사로 전송하는 코드가 숨겨져 있다는 것을 확인했다.

현재 중국은 데이터 보안법을 통해 정부가 국가 안보를 이유로 기업에 데이터를 요구하면 이를 지체 없이 제공해야 한다. 이 때문에 중국이 사용자 정보를 악용할 가능성이 크다. 기사 A2·3면

☞프록시 서버

사용자가 스마트폰 등 기기를 통해 웹사이트에 접속할 때 중간에서 중계기 역할을 해주는 서버다. 적절하지 않은 콘텐츠나 위험한 웹사이트를 차단하고, 인터넷 트래픽을 관리해 인터넷 속도를 높여준다. 프록시 서버를 분석하면, 데이터를 실제로 주고받은 곳이 어디인지 확인할 수 있다.

[그래픽] 딥시크에 제기된 개인 정보 유출 의혹 / 딥시크에 대한 주요국 대응 기고자 : 윤진호 기자
본문자수 : 3139
표/그림/사진 유무 : 있음
웹편집 : 보기