딥시크 AI, 이탈리아·호주 잇따라 차단…운영 리스크 관리가 핵심

핵심 요약

- 이탈리아 개인정보보호 당국이 딥시크에 대한 차단 조치를 내렸고, 호주는 정부 기기에서 딥시크 사용을 금지 - AI 모델 파일 하나만 검사하는 것으로는 보안 문제를 해결할 수 없으며, 운영 단계의 복합적 리스크 관리가 필수 - 검열 논란과 기술 도용 의혹까지 제기되며 AI 서비스의 투명성과 거버넌스 중요성 부각

주요 내용

2026년 8월, 중국 AI 모델 딥시크(DeepSeek)에 대한 국가 차원의 차단 조치가 이어지고 있다. 이탈리아 개인정보보호 당국(Garante)은 딥시크에 대한 차단 조치를 내렸으며, 호주 정부는 보안 우려를 이유로 정부 기기에서 딥시크 사용을 전면 금지했다. "시진핑이 대만을 침공할까?"와 같은 민감한 질문에 대한 검열 논란과 함께, 기술 도용 의혹까지 제기되며 딥시크를 둘러싼 논란이 확대되고 있다.

AI 보안 전문가들은 AI 모델의 보안 문제가 모델 파일 하나만 검사해서 해결되지 않는다고 지적한다. 딥시크 사례는 AI 모델 자체의 기술적 성능뿐만 아니라, 데이터 처리 과정, 서버 위치, 접근 권한 관리, 출력 검열 메커니즘 등 운영 전반에 걸친 복합적 리스크가 존재함을 보여준다. 특히 중국 내 서버를 통해 운영되는 AI 서비스의 경우, 중국 사이버보안법과 데이터보안법에 따라 정부의 데이터 접근 요구에 응해야 하는 법적 의무가 있어, 개인정보 및 민감정보의 국외 이전 리스크가 크다.

이탈리아 개인정보보호 당국의 조치는 GDPR(일반개인정보보호규정) 제58조에 근거한 것으로, AI 서비스가 EU 시민의 개인정보를 적법하게 처리하고 있는지에 대한 투명성 부족을 문제 삼은 것으로 분석된다. 호주의 경우 정부 기기에서의 사용 금지를 통해 국가 안보 차원의 예방적 조치를 취한 것으로 평가된다. 이는 AI 서비스 도입 시 기술적 우수성만이 아니라 데이터 주권, 운영 투명성, 법적 준수 여부를 종합적으로 검토해야 함을 시사한다.

기술 도용 의혹은 AI 개발 과정에서의 지식재산권 보호 문제를 제기한다. 오픈소스 모델을 활용한 AI 개발이 활발해지면서, 라이선스 준수 여부와 원저작자 권리 보호가 중요한 이슈로 부상하고 있다. 특히 상업적 AI 서비스가 오픈소스 코드나 타사 모델을 무단으로 활용했을 경우, 법적 책임뿐만 아니라 해당 AI가 생성한 코드나 콘텐츠를 사용하는 기업들에게도 2차적 법적 리스크가 발생할 수 있다.

전문가 시각

ISMS-P 인증 심사 경험에 비추어 볼 때, AI 서비스 도입 시 가장 중요한 것은 '운영 단계 보안 통제'다. 모델 성능 검증만으로는 충분하지 않으며, ① 데이터 처리 위치 및 국외 이전 경로 파악, ② 접근 권한 관리 및 로그 기록 체계, ③ 출력 데이터의 검열·필터링 메커니즘, ④ 서비스 제공자의 법적 의무사항(특히 외국 정부의 데이터 접근 요구 가능성)을 종합적으로 검토해야 한다. 딥시크 사례는 검열 기능 자체가 오히려 투명성 부족과 편향성 문제를 야기할 수 있음을 보여준다.

국내 기업들은 AI 서비스 도입 전 개인정보 영향평가(PIA)와 함께 AI 윤리·보안 영향평가를 수행해야 한다. 특히 2024년 시행된 AI기본법(가정)에 따라 고위험 AI 시스템의 경우 사전 적합성 평가와 지속적 모니터링이 의무화될 전망이다. 바이브 코딩 환경에서 딥시크 같은 AI 코드 생성 도구를 사용할 경우, 생성된 코드의 라이선스 검증, 보안 취약점 스캔, 개인정보 처리 로직 검토를 필수로 수행하고, 코드 리뷰 과정에서 인간 개발자의 최종 검증을 거쳐야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 국외 이전 안전성 확보 조치 (개인정보보호법 제28조의8)
AI 서비스가 해외 서버를 통해 운영될 경우, 개인정보가 국외로 이전된다. 이전 국가의 개인정보보호 법제, 서비스 제공자의 데이터 보호 수준, 해당 국가 정부의 데이터 접근 권한 등을 사전에 평가하고, 이용자에게 고지·동의를 받아야 한다. ISMS-P 인증 심사 시 국외 이전 관련 문서화와 안전성 확보 조치 이행 여부를 중점 점검한다.

인공지능 서비스 운영 투명성 및 설명 가능성
AI 서비스 제공자는 AI 시스템의 작동 원리, 데이터 처리 방식, 출력 결과의 편향성 또는 검열 여부를 투명하게 공개해야 한다. ISMS-P 2.9.1(개인정보 자동화 처리 안내) 항목은 자동화된 의사결정에 대한 정보 제공 의무를 규정하고 있으며, AI기본법 체계에서는 고위험 AI의 경우 설명 가능성과 투명성이 핵심 요구사항이 될 전망이다.