(서울=뉴스1) 이기림 기자 = 중국 인공지능(AI) 스타트업 딥시크가 개인정보를 중국·미국 소재 회사들로 이전하면서 이용자로부터 국외 이전 동의를 받거나 처리방침에 공개하지 않고 있는 것으로 조사됐다.

특히 딥시크는 기기 정보, 네트워크 정보, 앱 정보 외 이용자가 AI 프롬프트에 입력한 내용을 틱톡 모회사 바이트댄스의 계열사인 볼케이노에 전송한 것으로 확인됐다.

정부는 딥시크에 개인정보 국외 이전 시 합법근거를 충실히 구비하고, 볼케이노로 이전한 이용자의 프롬프트 입력 내용을 즉각 파기할 것과 함께 한국어 처리방침 공개 등 서비스의 투명성을 확보할 것을 시정권고하기로 했다.

개인정보보호위원회는 지난 23일 전체회의를 열고 이같은 딥시크 사전 실태점검 결과를 심의·의결했다고 24일 밝혔다.

앞서 개인정보위는 지난 1월 서비스를 출시한 딥시크에서 다른 사업자와의 통신 기능 및 개인정보 처리방침상 미흡한 부분을 확인했다.

이후 사전 실태점검을 시작하자, 딥시크는 개인정보 보호법에 대한 고려가 일부 소홀했음을 인정하고 국내 앱마켓에서 신규 다운로드를 잠정 중단했다.

개인정보위는 사전 실태점검 결과를 바탕으로 개인정보 국외이전 관련 내용을 시정권고하고, 강화된 개인정보 보호조치 방안 준수·아동 개인정보 수집 여부 확인 및 파기·개인정보 처리시스템 전반의 안전조치 향상·국내대리인 지정을 권고하기로 했다.

사전 실태점검 결과, 딥시크는 볼케이노로 개인정보를 전송한 것에 대해 보안 취약점 및 이용자 인터페이스(UI)와 경험(UX) 등 개선을 위해 클라우드 서비스를 이용한 것이라고 설명했다.

볼케이노는 바이트댄스 계열사이긴 하지만 별도법인이고, 처리위탁 정보는 서비스 운영·개선 외 마케팅 등의 목적으로는 이용하지 않고 있다고 밝혔다.

이용자가 AI 프롬프트에 입력한 내용의 이전은 불필요하다는 개인정보위 지적에 따라 지난 10일부터 신규 이전을 차단했다고도 설명했다.

또한 딥시크는 중국어, 영어로만 처리방침을 공개하고 개인정보 보호법이 요구하는 사항을 누락하는 등 미흡했던 처리방침 전반에 관해 개선된 내용을 지난달 28일 추가 제출했다.

문제가 된 키 입력 패턴을 수집한다고 명시한 내용은 서비스 준비 당시 수집할 정보가 확정되지 않은 상태에서 기재했다면서 '실제 수집한 사실은 없다'고 설명했다.

아울러 이용자가 프롬프트에 입력한 내용을 개발·학습에 이용했지만 거부 기능이 없던 딥시크는 관련 기능 마련 등 강화된 보호조치를 준수키로 했다.

보호조치로는 사전학습 시 한국인터넷진흥원에서 제공하는 개인정보 노출 페이지에 대한 삭제·차단 반영, 이용자 입력 데이터 사용목적의 분명한 알림 및 사용 선택권 보장 등이 있다.

14세 미만 아동의 개인정보를 수집하지 않는다고 했지만 서비스 가입 시 확인 절차가 없던 점도 이번에 개선했다.

딥시크가 시정권고를 10일 이내에 수락하면 시정명령을 받은 것으로 간주된다. 시정 및 개선 권고에 대한 이행 결과는 60일 이내에 개인정보위에 보고 해야 한다.

lgirim@dqdt.shop