딥시크 R1, 챗GPT는 하지 않는 ‘키보드 입력 패턴’까지 수집

중국 기업이 개발한 인공지능(AI) 모델 R1은 챗GPT와 달리 사용자의 키보드 입력 패턴을 수집한다. [뉴시스]

“딥시크 R1이 수집하는 개인정보 항목 중 특히 눈에 띄는 건 ‘키보드 입력 패턴과 리듬(Key-stroke patterns or rhythms)’이다. 이 정보가 있으면 사용자가 인공지능(AI) 채팅창에 입력한 내용을 직접 쓴 건지, 아니면 다른 파일에서 복사해 붙여 넣기만 것인지를 확인할 수 있다. 또 키보드 두드리는 속도 등을 통해 사용자를 특정하기도 쉽다. 오픈AI의 챗GPT는 이런 정보를 수집하지 않는다.”
‌
황석진 동국대 국제정보보호대학원 교수가 딥시크의 생성형 AI 모델 ‘R1’을 분석한 내용이다. 황 교수는 R1의 보안 관련 위험성이 미국 기업 오픈AI의 챗GPT에 비해 상대적으로 크다고 봤다.
‌
딥시크는 지난달 20일 R1을 출시하며 세계를 깜짝 놀라게 했다. 그러나 최근 개인정보 수집 및 유출 우려가 커지면서 정부와 공공기관, 주요 기업을 중심으로 R1 사용 차단 조치가 확산하는 분위기다. 2월 6일 외교부와 국방부를 시작으로 중앙행정부처 상당수가 정부망에서 딥시크 사용을 금지했다. 12일 현재 17개 광역 지방자치단체 전체가 업무 개인용 컴퓨터(PC)의 R1 접속을 차단한 상태다. 카카오, LG유플러스, 신세계그룹 등 국내 주요 기업 상당수도 업무를 목적으로 한 R1 사용을 금지했다. 한국뿐 아니라 미국, 호주, 대만, 일본 등 해외에서도 R1 차단 조치가 이어지고 있다.

딥시크, 정보 저장 기간 명시 안 해

R1과 챗GPT의 개인정보보호 지침을 살펴보면 두 AI 모델은 공통적으로 이름, 생년월일, IP(인터넷 프로토콜) 주소 같은 기본 정보와 사용자가 입력한 채팅 및 파일 기록 등 서비스 이용 관련 정보를 수집한다(표 참조). R1은 이에 더해 챗GPT가 저장하지 않는 사용자의 ‘키보드 입력 패턴과 리듬’까지 수집하고 있다.
‌
또 R1은 챗GPT와 달리 ‘옵트아웃(opt-out)’ 기능을 제공하지 않는다. 옵트아웃은 AI가 수집한 사용자 정보를 일정 기간이 지난 후 자동 삭제하고 AI 학습에 쓰이지 않도록 설정할 수 있는 기능이다. 챗GPT 사용자는 환경설정 메뉴에서 직접 옵트아웃 기능을 활성화할 수 있다. 하지만 R1은 개인정보보호 지침에 수집된 정보의 저장 기간을 명시하지 않았다. 또 딥시크는 “사용자 정보를 서비스 개발 및 개선에 활용할 수 있다”면서 사용자가 딥시크 서비스 개발·개선에 자기 정보가 사용되는 것을 거부할 선택지를 제공하지 않는다. 다만 챗GPT도 서비스 초기에는 옵트아웃 기능을 제공하지 않다가 서비스 개시 5개월 후 기능을 도입했다.

“중국에 대한 과도한 우려” 시각도

챗GPT 사용을 막지 않던 기관들이 R1을 차단하고 나선 가장 핵심적인 이유는 R1이 수집한 데이터가 언제든 중국 정부 손에 들어갈 수 있다는 우려 때문이다. 중국은 2021년 9월부터 데이터보안법을 시행하고 있다. 이 법 제35조는 중국 공안과 국가기관이 국가안보 수호나 범죄 수사 필요에 따라 정보를 수집할 때 관련 조직 또는 개인이 이에 협조해야 한다고 규정한다. 이 법에 따라 중국 정부는 영장 없이 정보를 수집할 수 있다. 이는 개인정보보호법에 따라 법원이 발부한 영장이 있어야만 기업이 외부에 정보를 제공할 수 있는 한국과는 차이가 있다. 황 교수는 “현 법체계에서는 중국 정부가 R1 사용자 개인정보를 마음대로 들여다볼 개연성을 배제할 수 없다”고 말했다.
‌
반면 중국 정부의 정보 수집 정책이 다른 나라와 비교해 특별히 지나치다고 보기 어렵다는 시각도 있다. 국가안보 수호를 위해 영장 없이 정보를 수집하는 것은 중국만의 일이 아니라는 의견이다. 실제로 미국 정부 역시 해외정보감시법(FISA) 제702조에 따라 기업으로부터 외국인 사용자의 채팅 기록, 방문한 웹사이트 목록, 위치 정보 등을 영장 없이 제공받을 수 있다. 미국 정부도 챗GPT를 통해 수집한 정보를 제공하라고 오픈AI에 요구할 수 있는 것이다.
‌
윤성혜 한국지식재산연구원 부연구위원은 중국 정부가 R1이 수집한 개인정보를 무분별하게 열람할 것이라는 세간의 우려를 일축했다. “중국 정부가 기업에 사용자 정보를 제공하라고 요구하는 경우는 국가안보 수호나 범죄 수사 같은 필요가 있을 때로 한정되며, 이 경우에도 엄격한 승인 절차를 거쳐야 한다”는 것이다. 윤 부연구위원은 “중국의 개인정보 관련 정책이 여느 나라와 크게 다르지 않은데도 중국 AI 보안 문제에 여론이 민감하게 반응하는 이유는 중국이 국제적으로 미국 수준의 신뢰를 형성하지 못했기 때문일 것”이라며 “국가 신뢰도를 높이는 건 중국 정부 몫이지만, 사실에 입각하지 않은 선입견에 휩싸여 과도한 우려를 하는 것 또한 주의해야 한다”고 덧붙였다.