사실관계
중국 생성형 인공지능 기업 딥시크의 개인정보 처리를 둘러싼 우려가 커지자 개인정보보호위원회는 사전 실태점검에 착수했다. 딥시크는 2025년 2월 15일 국내 앱 마켓에서 신규 다운로드를 잠정 중단했다. 점검 결과 딥시크는 국내 이용자의 개인정보를 중국과 미국 소재 기업들에 이전하면서 이를 알리지 않은 것으로 드러났다. 이 가운데 베이징 볼케이노 엔진 테크놀로지에는 기기·네트워크·앱 정보뿐 아니라 이용자가 프롬프트에 입력한 내용까지 전송되었다. 개인정보 처리방침은 중국어와 영어로만 제공되었고 국내법이 요구하는 일부 사항이 빠져 있었다. 딥시크는 프롬프트 입력 내용의 전송을 2025년 4월 10일 중단했다고 밝혔다.
쟁점
위원회는 이용자 정보, 특히 프롬프트 입력 내용을 국외로 이전하면서 개인정보 보호법이 정한 적법한 근거와 고지 요건을 갖추었는지를 살폈다. 한국어 개인정보 처리방침이 없었던 점이 투명성 의무 위반에 해당하는지도 쟁점이었다. 아동의 개인정보 보호를 위한 연령 확인 절차와 국내대리인 지정 여부도 점검 대상에 포함되었다. 위원회는 이와 함께 어떤 조치 수단을 택할지, 특히 공식 시정권고로 충분한지를 판단해야 했다.
판단
개인정보보호위원회는 2025년 4월 23일 전체회의에서 딥시크에 대한 시정권고를 의결했다. 권고 내용은 국외 이전의 적법한 근거 마련, 볼케이노 엔진에 이미 이전된 프롬프트 입력 내용의 즉시 파기, 한국어 개인정보 처리방침 공개 등이다. 위원회는 아동 개인정보 보호 강화와 국내대리인 지정 등 개선 사항도 함께 권고했다. 딥시크가 10일 안에 권고를 수락하면 시정명령을 받은 것으로 간주되고, 60일 안에 이행 결과를 보고해야 한다. 딥시크는 권고를 수락한다고 밝혔고, 2025년 4월 28일 개정된 한국어 처리방침과 함께 신규 다운로드를 재개했다. 보도에 따르면 그 시점까지 볼케이노 엔진에 이미 이전된 프롬프트의 파기 여부는 확인되지 않았으며, 위원회는 이행 여부를 점검하겠다고 밝혔다.
의의
이 조치는 국외 생성형 인공지능 서비스에 입력된 프롬프트 내용도 개인정보로서 국외 이전 규정의 적용을 받는다는 점을 분명히 했다. 자발적 다운로드 중단, 사전 실태점검, 수락하면 시정명령으로 간주되는 시정권고를 결합해 약 두 달 만에 서비스가 재개되었다. 국외 인공지능 사업자에 대해 감독기관이 활용할 수 있는 수단을 보여 준 사례다.