중국의 인공지능(AI) 모델 딥시크가 최근 개인정보 처리방침 일부를 개정했지만, 중국 사법당국이나 기업 등으로의 사용자 개인 정보유출이 우려되는 대목이 곳곳에 숨어있는 것으로 나타났다. 개인정보보호위원회가 딥시크의 신규 다운로드를 막았지만, 미리 설치한 사용자들의 이용은 자유로운 만큼 각별한 주의가 필요하다고 전문가들은 조언한다. 

18일 중앙일보는 전문과들과 함께 지난 14일 개정된 딥시크의 개인정보 정책 전문을 수정 전과 대조 분석했다. 김명주 AI안전연구소장, 김승주 고려대 정보보호대학원 교수, 염흥열 한국개인정보보호책임자협의회 회장이 참여했다. 새로운 개인정보 처리방침은 총 3625단어로 2420단어였던 기존에 비해 50% 늘었다. 쿠키정책에 관한 파트(716단어)가 새로 추가됐다. 보안을 우려하는 목소리가 높아지면서 문구를 세밀하게 수정한 것으로 전문가들은 풀이했다.   

전문가들은 “전반적으론 개선됐다”고 했다. '사용자로부터 수집한 데이터가 더는 필요하지 않을 때, 데이터를 삭제하고 익명 형태로 전환한다'는 문구도 추가됐다. 정보 저장·관리국도 기존에는 딥시크 항저우 본사와 베이징 거점 두 군데로 지정했지만, 개정을 통해 항저우 본사로만 한정했다.  

하지만 우려스러운 문구는 여전했고 일부는 추가됐다. '법적 의무 준수, 공익을 위한 업무 수행, 사용자나 타인의 중요한 이익을 보호하는데 필요한 경우에는 수집된 데이터를 활용할 수 있다'는 문구는 바뀌지 않았다. ‘건강과 생명을 보호하기 위한 긴급상황에서 법 집행기관이나 응급시설에 정보를 제공할 수 있다’는 내용은 추가됐다. 경우에 따라 중국 사법당국에 정보가 흘러갈 수 있다는 점을 문서에 명시화한 것이다. 챗GPT 등 다른 생성AI 서비스도 비슷한 정책은 있지만 개인정보 처리에 대한 민감도가 상대적으로 낮은 중국이기에 우려된다는 것이 전문가들의 지적이다. 염흥렬 회장은 “목적을 긴급상황이라고 한정했지만, 이를 빌미로 그 외 다른 목적으로 넘기는 정보가 없는지는 추가 확인이 필요할 것”이라고 말했다.  

상업정보에 관한 문구들은 통으로 빠졌다. 광고나 온라인 쇼핑 사이트의 구매 정보를 수집하고 광고·분석을 하는 비즈니스 파트너들에게 이런 정보를 수집한다는 부분이다. 김명주 소장은 “현재 딥시크가 광고 모델을 적용하지 않기 때문에 관련 이야기를 뺀 것으로 보인다”라고 말했다. 하지만 이 역시 안심할 수 없다. 염 회장은 “수집된 정보를 연구를 위해 사용한다는 문구를 명확히 추가한 것으로 볼 때 여기에 상업적 연구가 포함할 가능성도 있다”라며 “광고 및 비즈니스 관련 정보가 빠진 것도 여기에 통합됐을 수 있다”고 설명했다. 개인정보보호위원회는 전날 딥시크가 틱톡의 모회사인 중국 업체 바이트댄스에 상업정보를 넘겼다고 밝혔다.  


구글과 애플 이름이 등장하던 대목은 삭제됐다. ‘구글·애플 같은 제3의 플랫폼을 통해 로그인 했을 때 계정 정보를 공유한다’는 문구가 ‘마이크로소프트(MS) 빙 등의 응용프로그래밍 인터페이스(API)를 통합한다’로 됐다. 예시가 바뀌고 문구도 완화됐다. 최근 이탈리아·한국 등서 플레이스토어·앱스토어 다운로드를 막은 데 따른 ‘눈치보기’로 풀이된다. 중국에서 빙 접속은 가능하지만 다른 검색엔진을 사용할 수 없는 점도 고려된 것으로 분석된다.

딥시크는 앞으로 소리와 키보드 입력패턴·리듬 정보는 수집되지 않는다는 점도 개정에 넣었다. 민감정보에 해당해 개인정보 침해 우려의 중심에 섰던 항목이다. 각 국가의 개인정보보호법 규정을 고려한 업데이트도 이뤄졌다. 예컨대 미성년보호 정책에 관해서는 기존 ‘우리 서비스는 18세 미만을 대상을 하지 않는다’ 문구를 ‘14세 미만’으로 수정했다. 한국은 14세 미만, 유럽연합 16세 미만, 영국 13세 미만을 대상으로 부모의 동의를 받아야한다는 규정이 있어, 이에 준한 14세로 맞춘 것이라고 전문가들은 분석했다. 

딥시크 앱 주간 사용자는 121만명(1월 말 기준)으로 챗GPT(493만명) 다음으로 많다. 김승주 교수는 “중국에는 데이터보안법이 존재해 중국정부는 회사가 수집한 정보에 접근을 할 수 있기에 위험하다”라며 “사용에 신중을 기해야 한다”고 말했다.