2025년 초 발생한 딥시크 사태는 AI 기술 패러다임이 스케일업 중심에서 효율성 향상으로 전환되는 시점의 상징적 사건이다. 이 사건은 단순한 데이터 유출을 넘어 사이버 보안의 부재, 데이터 주권의 무기화, 그리고 미중 기술 패권 경쟁의 심화라는 다층적인 함의를 내포하고 있다. 본 보고서는 각국의 규제 동향과 법적 쟁점을 분석하여 AI 산업의 건전한 발전을 위한 리스크 관리 방안을 제시하고자 한다.
사건의 재구성 및 기술적 분석
사건은 2025년 1월 말 미국 보안업체 위즈 리서치가 딥시크의 클릭하우스 데이터베이스가 인증 절차 없이 인터넷에 노출된 것을 발견하며 시작되었다. 딥시크는 즉시 문제를 해결했으나, 이미 100만 건 이상의 로그 항목이 유출된 상태였다. 유출 데이터에는 사용자 채팅 기록, 내부 시스템용 API 키 및 비밀 토큰, 백엔드 운영 데이터 등이 포함되어 있어 2차 피해 위험이 매우 높았다. 기술적으로는 인증 부재라는 기본적인 보안 수칙 위반과 더불어, 악의적 프롬프트를 이용한 탈옥 공격 성공률이 매우 높은 모델 자체의 취약성도 함께 드러났다.
주요국 규제 대응 및 법적 처분 비교 분석
미국: 국가 안보와 주 단위의 적극적 법 집행
미국은 이 사태를 국가 안보 차원에서 다루고 있다. 텍사스주는 딥시크가 주 데이터 프라이버시법을 위반했다는 혐의로 조사를 개시하고 주 정부 기기 내 사용을 금지했다. 미 하원 특별위원회는 딥시크를 미국 사용자의 상세 데이터를 수집해 중국으로 전송하는 스파이 도구로 규정하는 보고서를 발표했다. 한편, 이 사건은 빅테크 독점 규제 논쟁에서 해외 기업과의 경쟁력을 확보해야 한다는 논거로도 활용되고 있다.
유럽연합(EU): GDPR 및 DSA를 통한 강력한 역외관할권 행사
EU는 일반 데이터 보호 규정(GDPR)과 디지털 서비스법(DSA)을 근거로 원칙적인 대응에 나섰다. 이탈리아는 데이터 처리의 법적 근거 부족을 이유로 앱 다운로드를 차단했으며, 독일은 독일 사용자의 개인정보를 중국 서버로 불법 이전한다고 판단하여 앱스토어 삭제를 공식 요청했다. 유럽 데이터보호이사회(EDPB)는 AI 집행 강화를 위한 신속 대응팀 창설을 추진 중이다.
대한민국: 개인정보보호법에 근거한 실태점검 및 시정 조치
한국 개인정보보호위원회는 실태점검을 통해 딥시크의 한국어 처리방침 부재, 이용자 동의 없는 개인정보 국외 이전, 아동 연령 확인 절차 미비 등의 위반 사항을 확인했다. 이에 따라 불법 이전된 데이터의 파기와 한국어 처리방침 공개 등 7가지 항목에 대해 시정 권고를 내렸으며, 딥시크는 일부 조치를 이행한 후 국내 서비스를 재개했다.
중국: 국가 안보 우선주의와 데이터 통제 법제
중국은 네트워크안전법, 데이터안전법, 개인정보보호법 등 '데이터 3법'을 통해 데이터 거버넌스를 규율한다. 이 법제는 국가 안보와 데이터 주권을 최우선으로 하며 정부에 광범위한 데이터 접근 권한을 부여한다. 다만, 최근 특정 조건 하에서 데이터 국외 이전 절차를 완화하는 규정을 발표하여 계약 이행이나 인사 관리 등 목적에 따른 예외 조항을 마련하기도 했다.
기타 주요국의 반응
캐나다와 호주는 잠재적 보안 위험을 이유로 정부 발행 기기 내 딥시크 앱 사용을 금지했다. 대만 역시 정보 주권 보호를 위해 정부 기관의 서비스 사용을 금지했다. 일본은 특정 서비스에 대한 조치보다는 정부 기관 전체의 AI 활용과 리스크 관리를 위한 포괄적인 가이드라인을 수립하여 기밀정보 취급 금지와 거버넌스 체계 구축을 명시했다.
시사점
이번 사태는 AI 서비스 개발의 초기 단계부터 보안을 통합하는 '설계 기반 보안' 원칙의 내재화가 필수적임을 시사한다. 또한, 각국의 상충하는 데이터 법규가 글로벌 AI 서비스 운영의 구조적 모순을 야기하고 있음을 보여준다. 향후 AI 규제의 가속화와 함께 각국의 정책 우선순위에 따른 '규제 파편화'가 심화될 것으로 전망되므로, 국제적으로 조율된 거버넌스 체계 마련이 시급한 과제로 대두되고 있다.
출처: 한국인터넷진흥원 https://www.kisa.or.kr/
댓글 없음:
댓글 쓰기