‘딥시크’ 복귀 허용한 정부···“시정했다” 믿었지만 실효성은 ‘글쎄’

중국 생성형 AI ‘딥시크(DeepSeek)’가 지난 28일부터 앱 마켓에서 서비스를 재개했다. [사진=연합뉴스]

[이뉴스투데이 김진영 기자] 중국 생성형 AI ‘딥시크(DeepSeek)’가 일부 시정조치만으로 국내 서비스를 재개하면서 정부가 해외 기업에 지나치게 관대한 기준을 적용했다는 지적이 잇따르고 있다. 개인정보 이전 차단 등 핵심 쟁점이 여전히 불투명한 가운데 형식적 대응이 반복될 경우 정책 신뢰까지 흔들릴 수 있다는 우려가 나온다.

지난 2월 15일 딥시크는 과도한 개인정보 수집과 국외 이전 논란으로 국내 앱 마켓에서 신규다운로드가 중단됐다. 이후 개인정보보호위원회는 실태 점검을 통해 딥시크에 △프롬프트 입력 정보 국외 이전 차단 및 이전된 데이터 즉각 파기 △한국어 처리 방침 공개 △아동 개인정보 보호 조치 강화 △국내 대리인 지정 등 7개 항목에 대한 시정 및 개선을 권고했다.

딥시크는 이 가운데 6개 항목을 수용했고, 개인정보 처리 방침에 ‘한국’ 항목을 신설해 한국 개인정보보호법을 준수하겠다고 명시했다. 이용자 개인정보를 중국 3개사와 미국 1개사로 이전하는 구조를 유지하되 이용자가 이를 거부할 수 있도록 기능도 마련했다.

이에 따라 개인정보위는 딥시크가 권고 사항을 수용했음을 확인하고, 지난 28일부터 앱 마켓에서 서비스 재개를 허용했다. 개인정보위 관계자는 “딥시크가 시정 권고를 모두 수용하겠다는 입장을 밝혔다”며 “향후 이행 여부를 지속적으로 점검할 예정”이라고 말했다.

하지만 실효성을 둘러싼 논란은 여전히 이어지고 있다. 딥시크는 개인정보 이전에 대해 ‘거부할 수 있다’고 안내하고 있지만, 이용자가 이를 실제로 인지하고 선택하기까지는 과정이 복잡하고 고지 방식도 직관적이지 않다. 특히 프롬프트(사용자 입력값)에는 민감한 개인정보나 업무 관련 내용이 포함될 수 있어 이전 차단 조치의 기술적 근거와 사후 파기 검증이 부족하다는 지적이 나오고 있다.

업계 관계자는 “단순히 ‘거부할 수 있다’는 문구만으로는 이용자의 권리를 보장했다고 보기 어렵다”며 “이용자가 실제로 인지하고 선택할 수 있도록 고지 방식과 인터페이스 설계까지 사용자 친화적으로 바뀌어야 한다”고 강조했다.

정부 대응도 형식적이라는 비판이 제기된다. 개인정보위는 딥시크에 대해 법적 구속력이 있는 ‘시정명령’이 아닌 ‘시정 권고’를 내렸고, 딥시크가 이를 수용하면서 후속 강제조치는 이뤄지지 않았다. 이는 개인정보위의 일반적인 절차지만 법정 제재 없이 기업 자율에만 의존한 대응이 과연 충분했는지에 대한 의문이다.

정보보호 정책 관계자는 “시정 권고는 자율 개선에 기댄 방식이라 법적 구속력이 부족하다”며 “단순히 ‘거부할 수 있다’는 안내만으로는 이용자 권리를 보장했다고 보기 어렵고, 기술적으로 실질적인 통제가 가능하도록 정부가 더욱 구체적인 제재 수단을 갖춰야 한다”고 지적했다.

딥시크가 민감한 이유는 생성형 AI라는 특성상 단순 정보 조회를 넘어 개인의 습관·위치·건강 상태·업무 맥락 등 고도화된 개인정보가 프롬프트를 통해 반복적으로 수집될 수 있다는 점이다. 축적된 데이터는 특정인의 정체성을 파악하거나 행동을 예측하는 데 악용될 소지가 있어 기존의 일반 개인정보보다 훨씬 높은 수준의 보호가 요구된다.

운영 주체가 중국 기업이라는 점도 위험성을 키운다. 중국은 자국 내 사이버보안법과 데이터보안법에 따라 해외 이용자 데이터도 중국 당국 요청으로 접근될 가능성이 있어 정보주권 침해에 대한 우려가 꾸준히 제기돼왔다. 민감한 개인정보가 수집·축적된 상태에서 데이터가 중국 본토의 관할권 안에 있다는 사실만으로도 심각한 리스크가 될 수 있다.

해외 기업에 지나치게 유연한 기준이 반복적으로 적용될 경우 다른 생성형 AI 서비스의 국내 진입 과정에서도 유사한 논란이 재현될 수 있다는 우려도 커지고 있다. 특히 국내 기업들에 비해 상대적으로 느슨한 규제를 받는 구조가 고착되면 개인정보 보호의 ‘형평성’과 산업 경쟁력에 대한 ‘역차별’ 논란으로 확산할 가능성도 거된다.

정보보호 정책 관계자는 “딥시크 사례는 단일 기업의 문제가 아니다”며 “생성형 AI 시대에 맞는 개인정보 보호 기준과 감독 체계를 마련하지 않으면 기술 주권과 이용자 권리도 모두 외면받게 될 것”이라고 경고했다.