韓 정부, 챗GPT 첫 제재…'정보유출사고 신고 안했다" 과태료 부과

【서울=뉴시스】송혜리 기자 = 올해 전세계 생성형 인공지능(AI) 열풍을 불러일으킨 챗GPT 서비스가 우리나라 정부로부터 처음 제재를 받았다. 한국 국민이 포함된 개인정보 유출사고가 있었는데 우리 정부에 신고하지 않았다는 이유다.

개인정보보호위원회는 지난 26일 정부서울청사에서 전체회의를 열고 챗GPT 개발사인 오픈AI(OpenAI OpCo LLC)을 상대로 과태료 360만원을 부과하기로 의결했다. 신고 의무를 위반한 혐의다. 재발방지대책도 만들고 사전 실태점검에 적극 협력해줄 것도 권고했다.

개인정보위는 지난 3월 오픈AI의 챗GPT 서비스에서 개인정보 유출이 있었다는 자체 공지 및 국내외 언론보도 등에 따라 직권으로 조사에 착수했고, 이 과정에서 국내 보호법상 의무 준수 전반과 전체 서비스 이용상에서 개인정보 침해요인에 대한 확인 작업을 함께 진행했다.

오픈AI는 국내 개인정보호법에 따른 개인정보 처리자이자, 정보통신망법에 의한 정보통신서비스 제공자다. 오픈AI는 챗GPT가 서비스되는 지역에 '대한민국'을 명시하고 있고, 챗GPT 기술 보고서에 한국어 정확도를 77%로 설명하고 있다. 아울러 올해 4월 말 기준 챗GPT 한국 이용자 수는 약 220만명이고, 유료인 챗GPT플러스 한국 이용자 수는 약 8만명에 이른다.

개인정보위 조사결과에 따르면, 지난 3월 20일 오후 5시부터 21일 새벽 2시경까지인 챗GPT 유료서비스인 챗GPT플러스에 접속한 전세계 이용자 일부의 성명, 이메일주소, 결제주소, 신용카드 번호 네 자리와 만료일이 다른 이용자에게 노출됐다. 당시 개인정보가 노출된 이용자 중 한국 이용자도 687명이 포함됐던 것으로 확인됐다.

유출 원인은 챗GPT플러스 서비스의 속도 증가를 위해 사용한 오픈소스 기반 캐시(임시저장소) 솔루션에서 알려지지 않은 오류(버그)가 있었고, 이로 인해 해당 이용자가 아닌 다른 이용자의 정보가 노출된 것으로 확인됐다.

개인정보위는 기술전문가 검토회의 등을 통해 정밀 분석한 결과 오픈AI가 일반적으로 기대 가능한 보호조치를 소홀히 했다고는 보기 어려워 안전조치의무 위반으로는 처분하지 않되, 유출 인지 후 24시간 내 신고하지 않은 신고 의무 위반에 대해 과태료를 부과하고 개인정보처리시스템을 자체적으로 점검 후 재발 방지대책을 수립할 것을 개선권고 하기로 했다.

개인정보위가 오픈AI 개인정보 처리방침과 실제 가입 절차 등을 검토한 결과, 처리방침을 영문으로만 제공하고 있고 별도 동의 절차가 없으며(가입으로 대체 추정), 내용상 위·수탁 관계, 구체적 파기 절차·방법, 국내대리인이 명확하지 않은 등 보호법상 의무 미흡 사항 등이 발견됐다. 또한 13세 미만에 대해 가입을 제한하고 있어 국내 보호법상 법정대리인 동의 적용 연령 기준인 14세 미만과 일치하지 않는 문제도 있었다.

조사 과정에서 오픈AI 측은 개인정보위에 최근에 전 세계 서비스를 시작한 신규 사업자임을 설명하며, 개정 보호법 시행 등에 맞춰 국내 보호법을 준수하겠다는 의견을 공식적으로 제출했다. 개인정보위는 현시점에서는 개선을 권고하고 이행 여부를 지속적으로 점검·확인하기로 했다.

아울러 개인정보위는 오픈AI에 최신 기술로서 프라이버시 침해요인을 점검하기 위해, 데이터 수집 및 활용(개인정보 포함), 한국어 학습데이터의 출처, 윤리 문제 예방 노력, 수집거부 방법 등에 대해서도 자료를 요구했으나, 오픈AI 측의 설명은 일반적·포괄적 수준에 그쳤다.

개인정보위는 새롭게 등장한 서비스(초거대·생성형 AI)로 적용 법 규정 등이 아직 불명확한 상황에서 실태점검 및 협의 개선을 통해 개인정보보호의 조기 강화가 바람직하다고 봤다. 이에 따라 챗GPT 포함 국내외 주요 AI서비스를 대상으로 사전 실태점검을 실시해 개인정보 침해요인의 최소화를 추진키로 하고, 오픈AI에 대해서도 적극적 협력을 개선권고 하기로 했다.


◎공감언론 뉴시스 [email protected]