개인정보위, ‘정보 유출 미신고’ 오픈 AI에 과태료 부과

챗GPT 포함 국내외 주요 AI 서비스 대상으로 사전 실태 점검 예정

개인정보보호위원회는 26일 전체 회의를 열고 최근 개인정보 유출이 발생한 오픈AI에 대해 과태료 360만 원을 부과했다.

개인정보위에 따르면 지난 3월 오픈AI의 챗GPT 플러스에 접속한 전 세계 이용자 일부의 성명, 이메일, 결제지, 신용카드 번호 4자리와 만료일이 다른 이용자에게 노출됐다. 이중 한국 이용자는 687명이 포함된 것으로 확인되었다. 개인정보위는 개인정보 유출이 있었다는 자체 공지 및 국내외 언론보도에 따라 직권으로 조사에 착수하였고, 이 과정에서 국내 보호법상 의무 준수 전반과 전체 서비스 이용상에서 개인정보 침해요인에 대한 확인 작업을 함께 진행했다.

유출 원인은 서비스 속도 증가를 위해 오픈소스 기반 캐시 솔루션에서 알려지지 않은 오류가 발생한 것이었다. 기술 전문가 검토 등 회의를 통해 정밀 분석한 결과 오픈AI가 일반적으로 기대 가능한 보호 조치를 소홀히 했다고 보기 어렵다고 판단, 안전조치의무 위반으로는 처리하지 않았다. 하지만 유출 인지 후 24시간 내 신고하지 않은 신고 의무 위반에 대해 과태료를 부과, 개인정보처리시스템을 자체적으로 점검 후 재발 방지대책을 수립할 것을 개선 권고했다.

국내 보호법 준수와 관련해서 오픈AI의 개인정보 처리방침 및 실제 가입 절차 등을 검토한 결과, 처리 방침을 영문으로만 제공하고 있고 별도 동의 절차가 없는 등 보호법상 의무 미흡 사항 등이 발견되었다. 또한 13세 미만에 대해 가입을 제한하고 있어 국내 보호법상 법정대리인 동의 적용 연령 기준인 14세 미만과 다소 불일치하는 문제도 있었다.

다만 조사 과정에서 오픈AI가 최근에 글로벌 서비스를 시작한 신규사업자임을 설명하며 개인정보위와 협력해 개정 보호법 시행 등에 맞춰 국내 보호법 준수 의견 등을 공식적으로 제출해 옴에 따라 현시점에서는 개선을 권고하고 이행 여부를 지속적으로 점검하기로 했다.

챗GPT가 최신 기술로서 프라이버시 침해 요인을 점검하기 위해 데이터 수집 및 활용, 한국어 학습데이터의 출처, 윤리 문제 예방 노력, 수집 거부 방법 등에 자료를 요구하였으나, 오픈AI 측은 포괄적 수준의 설명에 그쳐 명확한 분석이 곤란했다.

새롭게 등장한 서비스에 대한 적용 법 규정 등이 아직 불명확한 현재, 챗GPT 포함 국내외 주요 AI 서비스를 대상으로 사전 실태점검을 실시하여 개인정보 침해 요인의 최소화를 추진키로 했다.

개인정보위 측은 “이번 조치는 글로벌 신규 서비스에 대해서도 한국 이용자 존재 시 국내보호법이 적용됨을 명확히 한 것으로, 앞으로도 개인정보위는 해외사업자 대상 안내서 발간, 국내 대리인 제도의 실질적 개선 등을 통해 주요 글로벌 개인정보처리자들의 국내 법규에 대한 인지도를 제고하고 집행력을 확보함으로써 우리 정보주체 등의 개인정보보호를 강화해 나갈 방침이다”고 전하며 “특히, AI 같은 최신 기술‧서비스에 대해서는 사전 실태점검 등을 통해 안전한 서비스 이용을 지원할 방침이며 추후 지속적으로 구체화해 나갈 계획이다”라고 덧붙였다.

metarism@galaxyuniverse.ai