[심층] 딥시크 사태로 본 AI 시대 개인정보 보호의 조건

올 초 한국 AI 시장에 혜성처럼 등장한 딥시크(DeepSeek)는 한 달 만에 모바일 사용자 121만 명을 확보하며 챗GPT에 이어 국내 2위에 올라섰다. 무료 제공, 빠른 성능, 정확한 응답이라는 강점을 앞세운 딥시크는 전 세계적으로도 17000% 이상의 트래픽 증가율을 기록하며 AI 서비스 시장의 판도를 바꿨다. 그러나 급속한 성장의 이면에는 개인정보 보호라는 중대한 공백이 도사리고 있었다.

딥시크는 지난 1월 20일 버전 R1을 출시한 이후 불과 3주 만에 한국에서 급성장했다. 시장조사업체 와이즈앱에 따르면 지난 1월 4주차 기준 딥시크는 챗GPT(493만 명)에 이어 121만 명으로 2위에 올랐으며, 뤼튼(107만 명), 에이닷, 코파일럿, 클로드 등을 제쳤다. 글로벌 시장에서도 지난 1월 말 기준 2주 전 대비 17694%의 트래픽 증가를 기록했고, 이후 지난 2월 14일에는 17701%까지 치솟았다. 그러나 지난 2월 중순부터 개인정보 유출 의혹이 제기되면서 상승세는 8658%로 꺾였다.

이러한 성장세는 기존 AI 서비스에 영향을 주었다. 마이크로소프트의 코파일럿은 딥시크 등장 이후 8주 연속 마이너스 성장률을 기록했고, 클로드 역시 비슷한 하락세를 보였다. 반면 챗GPT는 일시적인 주춤 이후 다시 반등하며 주간 활성 사용자가 4억 명을 돌파했다.

딥시크에 대한 이용자 평가는 엇갈린다. 빠른 응답 속도와 높은 편의성, 저사양 기기에서의 원활한 작동 등은 긍정적 반응을 이끌어냈다. 그러나 일부 질문에서 답변 회피 현상과 뉴스성 정보에 대한 오류율이 최대 83%에 이르는 점은 신뢰도를 떨어뜨렸다. 특히 입력 프롬프트나 앱 외부 활동, IP·위치 정보 등을 수집하며, 이 데이터가 중국 내 서버로 전송된다는 우려는 공공기관의 접속 차단 조치로 이어졌다.

개인정보보호위원회는 서비스 출시 직후 딥시크의 데이터 수집 방식에 대해 조사에 착수했고, 지난 2월 15일에는 국내 앱마켓에서 신규 다운로드를 중단하라는 권고를 내렸다. 이후 위원회는 개인정보 처리방침 미비, 국외 이전 동의 부재, 학습용 데이터 활용에 대한 opt-out 기능 부재 등을 확인하고 시정 권고를 내렸다. 딥시크는 한국어 처리방침 추가, 불필요한 정보 이전 차단, opt-out 기능 마련 등 개선 조치를 이행 중이며, 개인정보위는 국내 대리인을 통해 이행 여부를 점검하고 있다.

특히 개인정보보호위원회는 실태점검을 통해 딥시크의 개인정보 처리 전반에 대해 항목별로 점검을 진행했으며, 처리방침 공개 미흡, 국외 이전 합법 근거 부재, 아동 연령 확인 절차 미비, 프롬프트 입력값 활용 관련 안내 부족 등 다수 항목에서 법적 미비점을 확인했다. 이에 따라 위원회는 딥시크에 10일 이내 이행 결과를 보고하도록 했고, 최소 2회 이상 후속 점검을 실시할 계획이다. 아울러 향후 해외 사업자 대상 안내서에 법정 준수사항을 체크리스트 형태로 제공하고, 9월 서울에서 열릴 글로벌 프라이버시 총회를 통해 국제 규범 형성에도 주도적으로 참여할 방침이다.

보안 전문가와 산업계는 딥시크의 개인정보 수집 범위와 저장 위치에 대해 지속적으로 문제를 제기하고 있다. ExpressVPN은 사용자가 데이터 공유 범위를 반드시 인지해야 한다고 경고했으며, 일부 전문가들은 "AI에게 의제인격을 부여해 법적 책임을 묻자"는 주장을 내놓기도 했다.

딥시크 사례는 AI 서비스의 투명성 기준 정립 필요성을 부각시켰다. 입력 프롬프트 수집 여부 및 학습 활용 고지, 개인정보 저장 위치 및 제3자 제공 여부의 공개, 정보주체의 삭제·정정 요청권 보장, 알고리즘 설명과 외부 검증 절차 등이 주요 기준으로 제시되고 있다. 개인정보보호위원회는 향후 해외사업자 대상 안내서에 체크리스트 형태로 이러한 기준을 포함시킬 계획이다.

AI 기술의 급속한 발전과 함께 개인정보 보호법의 현실적 적용 한계도 드러났다. 단일 국가의 법만으로는 글로벌 AI 플랫폼을 통제하기 어렵다는 현실 앞에서, 한국 개인정보보호위원회는 프랑스·영국 등 주요국 감독기구와 협력을 강화하고 있다. 9월 서울에서 열릴 글로벌 프라이버시 총회를 통해 국제적 기준 마련이 본격화될 전망이다.

딥시크는 AI 시장의 혁신성과 파급력을 증명한 사례이자, 동시에 개인정보 규제 공백의 위험성을 드러낸 사례다. 이 사례를 통해 한국은 기술 혁신과 정보 주권이 충돌하는 접점에서 규제의 방향성을 모색하고 있다.  /이승현 기자