"딥시크가 '통째로' 수집한 개인정보, 中정부가 빼갈 수 있다"

[딥시크 차단]①

中 ‘데이터보안법·국가정보법’ 근거…개인정보 열람 가능

韓·美 '정보 보호 우선' vs 中 '국가안보 위해 정보제공 의무'

중국 정부가 중국의 인공지능(AI) 모델 딥시크가 수집한 개인정보들에 접근할 수 있는 법적 근거가 있는 것으로 나타났다. 딥시크는 가입자가 남긴 개인정보를 중국 내 서버에 저장할 수 있다고 약관에 명시했는데, 이를 중국 정부가 활용해도 법적으로 아무런 문제가 되지 않는다는 것이다.

개인정보보호위원회(개보위) 관계자는 18일 아시아경제와의 통화에서 "딥시크가 수집한 개인정보들이 한국이 아닌 중국 시스템에 저장된다는 점에서 우려가 더욱 크다"며 "중국 법에는 국가기관이 자국 시스템에 있는 데이터를 요청하는 경우 제공하도록 하는 규정이 있기 때문"이라고 밝혔다.

관련 규정은 중국의 '데이터 보안법'과 '국가정보법'이다. 국가 안보를 이유로 자국 내 서버에 저장된 데이터를 정부가 언제든 접근할 수 있는 법적 권한을 가지고 있다. 이 법들로 인해 중국이 2021년 만든 세계적으로 가장 엄격한 수준의 유럽 개인정보보호규정 수준의 개인정보보호법(PIPL)도 제 기능을 못 하고 있다. 한국의 딥시크 애플리케이션(앱) 주간 이용자 수는 121만명(1월 말 기준)에 달했다. 집계 이후 2주 가까이 흐른 만큼 더 많은 개인정보가 중국 정부 관할에 놓이게 된 셈이다.

최재식 카이스트(KAIST) AI대학원 교수는 "중국의 경우 우리나라와 미국과 달리 정부의 안전이 개인의 인권보다 훨씬 더 중요하다는 관점의 차이가 있기 때문에 개인정보가 상대적으로 보호받지 못할 여지가 더 크다"고 설명했다.

이용자 정보가 자국 서버로 정보가 넘어가는 건 챗GPT(오픈AI)나 제미나이(구글) 등 미국 빅테크(대형 정보기술 기업)들도 마찬가지다. 하지만 이들 서비스는 필요한 정보만 식별할 수 있도록 '토큰화' 작업을 거치는 반면, 딥시크는 '통째로' 정보를 수집하는 점이 다르다.

중국의 개인정보보호 관련 체계는 미국과 큰 차이를 보인다는 게 전문가들의 평가다. 미국은 정부와 공공기관의 민간 정보 접근을 엄격히 제한해왔다. 최경진 가천대 법학과 교수(한국인공지능법학회장)는 "1974년 연방 법인 개인정보보호법(Privacy Act)을 만들어서 접근을 막았다"며 "연방 법을 침해하는 하위 법령은 있을 수 없기 때문에 주별로도 민간 정보에 접근할 수 없다"고 했다. 최 교수는 "이런 법적 체계가 있기에 오픈AI와 같은 미국 기업들의 생성형 AI 서비스를 이용할 때는 상대적으로 개인정보 유출에 대한 우려가 덜한 것"이라고 설명했다.

우리나라의 개인정보보호법은 소위 '가명정보'처럼 식별할 수 없는 데이터라도 누군지 알아볼 수 있는 가능성이 있으면 정부 및 공공기관의 사용도 엄격히 제한한다. 통계, 연구, 공익적 기록 보존 같은 특정 목적으로만 쓸 수 있다. 이를 통해 개인을 재식별하려는 시도는 법으로 금지돼 있고 위반 시 과징금이나 형사처벌 등 제재를 받는다.

딥시크는 저비용·고성능으로 국내외에서 큰 주목을 받았지만 동시에 광범위한 개인정보 수집 등 보안 관련 우려를 불러일으켰다. 지난 15일 결국 국내 앱마켓에서 신규 다운로드가 차단됐다. 앱 분석 서비스 와이즈앱·리테일에 따르면 딥시크 앱의 1월 넷째 주 이용자 수는 121만명으로, 같은 기간 생성형 AI 앱 가운데 챗GPT(493만명)에 이어 두 번째로 많은 수치다.

이명환 기자 lifehwan@asiae.co.kr
전영주 기자 ange@asiae.co.kr
박유진 기자 genie@asiae.co.kr