“우려하던 일 터져” 개인정보 中에 넘긴 딥시크, 처벌 방식 한국만 달랐다

중국 생성형 AI 딥시크 개인정보 유출
현행 북한을 위한 간첩 행위만 처벌 대상
美·中 모두 ‘외국’에 간첩죄 적용 가능

최근 중국의 인공지능(AI) 모델 딥시크가 사용자 정보를 중국 소셜미디어(SNS) 틱톡 모회사인 ‘바이트댄스’에 넘긴 사실이 확인돼서 충격이다. 이는 17일 개인정보보호위원회가 “딥시크 사용자 정보가 바이트댄스로 넘어간 것이 확인됐다”라며 “딥시크가 개인정보 보호법상 미흡한 부분을 인정해 15일부터 앱 신규다운로드를 중단했다”라고 밝힌 것이다.

특히 국가 차원에서 딥시크 앱 다운로드가 전면 차단된 것은 이탈리아에 이어 한국이 두 번째다. 이날 이러한 정부 차원의 제제가 전해지자 궈자쿤 중국 외교부 대변인은 정례 브리핑을 통해 “중국 정부는 일관되게 중국 기업에 현지 법규를 엄격히 지킬 것을 요구해 왔다”라며 “관련 국가(한국)가 경제·무역·과학·기술 문제를 안보화·정치화하지 않기를 희망한다”라고 전했다.

다만, 개인정보위원회가 “몇 명의 이용자 정보가 넘어갔는지 등은 아직 조사하지 않아 알 수 없다”라고 밝히며 개인정보 유출에 대한 논란은 이어질 전망이다. 당초 딥시크는 적은 비용으로 고성능 AI 모델을 개발한 사실이 알려지면서 전 세계 테크 업계에 큰 파장을 몰고 온 서비스다. 다만, 당시 사용자의 키보드 습관까지 파악하는 등 과도한 정보 수직으로 인해 논란을 빚기도 했다.

개인정보 유출에 대한 논란이 확산함에 따라 이에 따른 처벌 역시 주목된다. 현재 국내 개인정보 보호법에 따르면 제삼자에게 정보를 제공할 때 처리 방식과 수집 목적을 구체적으로 알리고 동의를 받아야 한다고 규정되어 있다. 다만, 딥시크는 이를 준수하지 않은 것으로 확인됐다.

이에 대해 개인정보위는 “제삼자에게 정보를 제공할 땐 정보 제공자의 동의를 받아야 하고 어떤 정보를 왜 수집하고, 언제까지 보유할 것인지 알려야 하지만 딥시크 개인정보 처리 방침과 이용 약관에는 이런 내용들이 반영돼 있지 않았다”라고 설명했다.

실제로 개인정보보호위원회는 딥시크가 지난달 최신 AI 모델(R1)을 출시한 직후 딥시크의 개인정보 처리 방침, 이용 약관 등 주요 보안 정책을 검토하고 서비스 사용 시 전송되는 데이터, 트래픽(접속량) 등에 대해 기술 분석을 진행한 것으로 확인됐다.

기술 분석을 진행하는 과정에서 위원회는 ‘틱톡’을 운영하는 중국의 바이트댄스로 딥시크 사용자 정보가 전달되고 있는 사실을 파악했다. 이에 문제를 확인한 개인정보 위는 딥시크 측에 앱 다운로드를 중단할 것을 요구했고, 딥시크가 지난 15일 이를 수용하면서 국내에서 딥시크 앱 다운로드가 무기한 전면 차단된 상황이다.

이에 대해 최장혁 개인정보위 부위원장은 “국내 개인정보 보호법에 따른 개선·보완이 이뤄진 후 서비스가 재개될 것”이라고 덧붙였다. 업계에 따르면 개인정보 위는 딥시크에 개인정보 처리 방침 개정 등을 요구하고 추가적인 실태 점검에 들어간 것으로 전해졌다. 이에 딥시크 측이 시정 조치를 제대로 하지 않을 때 위원회는 과징금·과태료 부과 및 시정명령을 내릴 것으로 전망된다.

다만, 딥시크가 사용자의 생년월일, 이름, 이메일, IP 주소 같은 개인정보는 물론이고 사용자가 입력하는 글귀, 음성, 사진, 파일 등 데이터를 수집한다는 점에서 개인정보 유출이 악용될 가능성이 높다. 이는 딥시크가 다른 AI 모델과 달리 사용자에게 정보 수집 거부 권한(옵트 아웃)을 허용하지 않기 때문이다.

여기에 사용자 정보를 전부 중국 내 서버에 저장하고, 광고 목적 등으로 제삼자에게 정보를 넘길 수 있다는 조항이 있는 것으로 확인됐다. 즉, 중국이 데이터 보안법을 통해 정부가 국가 안보를 이유로 기업에 데이터를 요구하면 이를 바로 제공해야 한다는 점을 미루어 보아 사용자 정보를 악용할 가능성이 큰 것으로 추측된다.

한편, 미국은 연방 의회가 정부 기관 기기에서 아예 쓰지 못하도록 ‘딥시크 금지법’ 제정 작업을 진행 중인 것으로 확인됐다. 미국 정부는 딥시크를 통해 중국으로 정보가 유출될 우려가 나오자마자 공화·민주 양당 의원이 초당적 협력으로 딥시크 금지법을 공동 발의한 바 있다. 즉, 국익이 걸린 외교·안보 분야를 두고 초당적인 협력이 이어진 것이다.

다만, 한국의 경우는 다르다. 현재 중국이 딥시크를 통해 사용자의 정보를 수집하고 악용해도 ‘간첩죄’를 적용할 수 없기 때문이다. 현행법상 간첩죄가 ‘적국’인 북한을 위한 간첩 행위만 처벌 대상으로 삼고 있기 때문이다. 실제로 지난해 국군정보사령부 군무원의 해외 블랙 요원 정보 유출 사건과 ‘공산당원’ 중국인 유학생의 부산 해군작전사령부 일대 불법 드론 촬영 사건에서 간첩죄를 적용하지 못한 바 있다.

당시 현행 간첩죄가 ‘적국’인 북한을 위한 간첩 행위만 처벌 대상으로 삼고 있다는 점에서 간첩죄 범위 확대 논의가 이어지기도 했다. 실제로 미국과 중국 역시 ‘외국’에 간첩죄 적용이 가능한 상황이다. 이에 따라 지난해 11월 국회 법제사법위원회 법안심사소위를 통과했으나 더불어민주당이 태도를 바꾼 뒤 이후 절차가 멈춰 선 것으로 전해졌다.

즉, 만일 딥시크를 통해 유출된 정보가 국가안보와 관련된 기밀 사항이라도 간첩죄를 적용할 수 없다는 것이다. 실제로 딥시크의 개인정보 유출 사건은 주로 개인정보 보호법에 따라 처벌될 가능성이 높으나, 국가 기밀 유출에 대한 부분 역시 안심할 수 없는 상황이다. 이에 국가 차원의 해결 방안 모색과 더불어 간첩죄 처벌 대상 확대에 대한 논의에 속도를 내야 한다는 목소리가 높아진다.