[이데일리 최연두 기자] 중국의 생성형 인공지능(AI) 서비스 ‘딥시크’가 한국 이용자 약 5만 명의 기기 및 네트워크 정보를 국외로 이전하면서 이에 대한 동의나 명확한 공지 없이 처리를 진행한 사실이 확인됐다.

최장혁 개인정보보호위원회 부위원장이 지난 23일 오후 서울 종로구 정부서울청사에서 개최된 2025년 제9회 개인정보위 전체회의에서 의사봉을 두드리고 있다.(사진=개인정보위)

이에 따라 개인정보보호위원회는 딥시크에 대해 한국어 개인정보 처리방침 마련 등 시정 권고를 내렸고, 향후 지속적인 모니터링을 통해 이행 여부를 점검하겠다고 밝혔다.

개인정보위 “법적 근거 미비… 시정권고 이행 여부 최소 2회 점검”

개인정보위는 지난 23일 열린 제9회 전체회의에서 딥시크 개발사인 ‘항저우 딥시크 인공지능 기초기술연구유한회사’에 대한 사전 실태점검 결과를 심의·의결했다고 밝혔다.

딥시크는 한국 이용자의 기기·네트워크 정보를 중국과 미국의 협력 업체에 이전한 것으로 드러났다. 해당 업체는 △베이징 딥시크 △볼케이노엔진테크놀로지(중국) △슈메이테크놀로지(중국) △인터컴(미국) 등이다. 특히 딥시크는 UI·UX 개선과 보안 점검을 이유로 볼케이노에 정보를 위탁했으며, 배터리 잔량 등 기기 정보도 포함된 것으로 조사됐다.

딥시크는 개인정보위에 “위탁된 정보는 마케팅 목적으로 사용되지 않았다”며, 관련 법에 따라 개인정보 보호에 최선을 다하겠다고 해명했다.

한국어 처리방침·AI 학습 거부 기능 도입

이번 점검을 통해 딥시크는 한국어로 된 개인정보 처리방침을 새롭게 마련했다. 기존에는 중국어·영어로만 처리방침을 제공했으며, 개인정보 파기 절차, 보호책임자 연락처 등의 필수 사항이 누락돼 있었다. 새 처리방침에는 이러한 정보가 모두 포함됐다.

이용자의 명령어 데이터를 AI 학습에 활용하지 않도록 거부할 수 있는 선택 기능도 추가됐다. 딥시크는 서비스 초기 한 달간 이용자의 명령어를 AI 학습에 사용해 왔으나, 이번 조치로 개선됐다.

남석 개인정보위 조사조정국장은 “딥시크가 이전한 프롬프트 데이터를 즉시 파기하고, 국외 이전 시 법적 근거를 충실히 갖출 것을 권고했다”며 “이행 여부를 최소 2회 이상 점검하며 지속 관리할 계획”이라고 밝혔다.

개인정보위는 이미 오픈AI의 챗GPT, 구글의 제미나이 등 해외 생성형 AI 서비스에 대해서도 실태점검을 실시한 바 있으며, 이들에도 한국어 처리방침 마련 등을 권고한 상태다.