개인정보보호위원회는 2025년 4월 23일 제9회 전체회의에서 딥시크 서비스 사전 실태점검 결과를 심의·의결했다. 딥시크는 같은 해 1월 15일 한국 앱 마켓에 서비스를 출시했지만 중국어와 영어 처리방침만 제공했고, 개인정보를 중국과 미국 소재 회사로 이전하면서 동의를 받거나 처리방침에 공개하지 않은 것으로 조사됐다. 이용자가 프롬프트에 입력한 내용도 볼케이노로 전송됐으며, 개인정보위는 국외 이전의 합법 근거를 갖추고 이미 이전한 프롬프트 내용을 즉시 파기하라고 시정 권고했다.
| 확인 시점 | 확인된 조치 | 기업 도입 전 점검 항목 |
|---|---|---|
| 3월 17일 | 프롬프트의 AI 개발·학습 활용 거부 기능 마련 | 학습 사용 여부와 이용자 선택권 |
| 3월 28일 | 한국어 처리방침과 대한민국 관할조항 제출 | 처리 근거·보유 기간·파기 절차 |
| 4월 10일 | 볼케이노로 프롬프트 신규 이전 차단 | 수신 사업자·이전 항목·처리 목적 |
| 4월 23일 | 시정·개선 권고 심의·의결 | 권고 수용과 이행 여부의 후속 확인 |
실무자가 서비스를 시험할 때는 입력창을 일반 문서 도구처럼 취급해서는 안 된다. 호주 개인정보 감독기구는 상용 AI 제품에 개인정보를 입력하거나 결과에서 개인정보가 생성되면 개인정보법상 의무가 적용된다고 안내한다. 특히 공개형 생성AI에는 개인정보와 민감정보를 넣지 않는 것을 최선의 관행으로 제시하고, 도입 전에 개인정보영향평가, 제품 적합성, 인간 감독, 접근 권한과 보안 위험을 검토하라고 권고한다. 딥시크 사례에서도 프롬프트의 저장·학습·국외 이전 경로가 실제 점검의 핵심이었다.
이 기준은 금융·의료·공공기관처럼 개인식별정보나 규제 대상 데이터를 다루는 조직뿐 아니라 고객 문의, 인사 문서, 계약서와 소스코드를 AI에 넣는 일반 기업에도 유효하다. 관리자는 어떤 데이터가 입력되는지 분류하고, 국외 이전 대상과 수신자를 확인한 뒤, 학습 활용 거부 기능과 계정별 접근 권한을 시험해야 한다. 개인정보위가 확인한 연령 확인 절차와 개발 서버 데이터베이스 접근 제한, 디렉터리 목록 노출 방지 조치는 서비스 약관만 읽는 검토로는 충분하지 않고 기술 설정과 운영 증적까지 확인해야 함을 보여준다.
낮은 이용료나 빠른 응답만으로 도입 여부를 정하면 규제 대응과 사후 파기 비용을 놓치기 쉽다. 딥시크는 점검 과정에서 한국어 처리방침과 대한민국 관할조항을 제출하고 프롬프트의 신규 이전을 차단했지만, 개인정보위는 이미 이전된 내용의 파기와 처리시스템 전반의 안전조치 향상, 국내대리인 지정도 별도로 권고했다. 따라서 일반 정보로 제한한 시험 운영과 민감 업무의 승인을 분리하고, 권고 수용과 이행이 확인되지 않은 항목은 완료로 간주하지 않는 기준이 필요하다.
저작권자 © STORIUM 무단전재 및 재배포 금지
