중국 AI 모델 GLM-5.2·키미 K3, 클립보드 데이터까지 수집…개인정보 유출 위험

핵심 요약

- 중국 Z.ai의 GLM-5.2와 문샷AI의 키미 K3 모델이 클립보드에 복사한 데이터와 임시저장 정보까지 수집 - AI 모델 학습용 데이터 수집 동의를 거부하기 어려운 구조로 설계되어 개인정보 통제권 침해 우려 - 중국 AI 서비스 이용 시 민감정보 노출, 국외 이전, 재식별 위험 등 다층적 개인정보보호 문제 발생

주요 내용

2026년 8월 현재, 중국의 대표적인 AI 기업들이 공개한 최신 모델들이 개인정보 수집 방식에서 심각한 문제를 드러내고 있다. Z.ai(즈푸AI)의 GLM-5.2와 문샷AI의 키미 K3는 ChatGPT에 필적하는 성능으로 주목받고 있지만, 사용자가 인지하지 못하는 사이 광범위한 개인정보를 수집하는 것으로 확인됐다.

특히 우려되는 부분은 클립보드 데이터 수집이다. 사용자가 다른 문서나 웹페이지에서 복사한 후 AI 챗봇에 붙여넣기하는 순간, 해당 텍스트가 모델 학습 데이터로 활용될 수 있다. 이는 업무상 민감한 개인정보나 기업 기밀이 포함된 내용도 예외가 아니다. 또한 사용자가 입력 중 저장하지 않은 임시 데이터까지 수집하는 것으로 알려져, 의도하지 않은 정보 노출 가능성이 더욱 높아지고 있다.

더 큰 문제는 이러한 데이터 수집에 대한 동의 절차가 형식적이라는 점이다. 서비스 이용약관에 포괄적인 동의 조항이 포함되어 있어 실질적으로 학습 데이터 활용을 거부하기 어려운 구조다. 일부 서비스는 데이터 수집 거부 옵션을 제공하지만, 이 경우 핵심 기능 사용이 제한되어 사실상 선택권이 없는 상황이다.

중국 AI 서비스의 개인정보 처리 방침은 중국 개인정보보호법(PIPL) 기준을 따르지만, 한국의 개인정보보호법이나 EU의 GDPR과 비교할 때 정보주체의 권리 보장 수준이 상대적으로 낮다. 특히 국가안보를 이유로 한 정보 제공 요구에 대응해야 하는 중국 기업의 특성상, 수집된 개인정보가 예상치 못한 목적으로 활용될 위험도 배제할 수 없다.

전문가 시각

ISMS-P 인증심사 현장에서 AI 서비스 도입 기업들을 만나보면, 편리성에 초점을 맞춘 나머지 개인정보 국외 이전과 제3자 제공 통제 측면을 간과하는 경우가 많다. 특히 중국 AI 모델의 경우 클립보드 데이터 수집은 '자동 수집 장치'에 해당할 수 있으며, 개인정보보호법 제15조(개인정보의 수집·이용) 및 제17조(개인정보의 제공) 위반 소지가 있다. 사용자가 명확히 인지하지 못한 상태에서 개인정보가 수집·이전되는 것은 정보주체의 자기결정권을 침해하는 행위다.

기업 실무 관점에서는 AI 서비스 도입 전 개인정보 영향평가(PIA)를 반드시 수행해야 한다. 특히 ① 클립보드 접근 권한 및 데이터 전송 범위 확인 ② 학습 데이터 활용 거부 옵션의 실효성 검토 ③ 국외 이전 시 개인정보보호법 제39조의13 준수 여부 ④ 임직원 대상 중국 AI 서비스 사용 가이드라인 수립이 필요하다. 바이브 코딩(Vibe Coding) 환경에서 개발자들이 AI 코드 생성 도구에 고객 데이터 샘플을 입력하는 경우도 많은데, 이는 심각한 개인정보 유출 경로가 될 수 있어 각별한 주의가 요구된다.

CPPG·ISMS-P 연계 포인트

1. 개인정보의 국외 이전 (개인정보보호법 제39조의13)
개인정보를 국외로 이전하려는 자는 정보주체에게 이전되는 개인정보 항목, 이전받는 자, 목적 및 보유·이용 기간 등을 고지하고 동의를 받아야 한다. 중국 AI 서비스 이용은 사실상 개인정보의 중국 이전에 해당하므로, 별도의 고지 및 동의 절차가 필요하다.

2. 개인정보 처리 위탁 및 제3자 제공 통제 (ISMS-P 3.1.4)
조직은 개인정보 처리 위탁 시 위탁업무 수행 목적, 개인정보 처리 범위 등을 명확히 하고 재위탁 제한 등의 내용을 계약서에 명시해야 한다. AI 서비스 이용도 위탁 또는 제3자 제공으로 간주될 수 있으며, 클립보드 데이터 자동 수집은 통제되지 않은 제공에 해당해 인증심사 시 부적합 판정 사유가 될 수 있다.