개인정보보호위원회, '한국 이용자 687명 개인정보도 유출' 오픈AI에 과태료 부과

[이코노믹데일리] 개인정보보호위원회는 26일 전체회의를 열고 최근 한국 이용자 600여명을 포함해 다량 개인정보 유출이 발생한 오픈AI에 대해 신고 의무 위반으로 과태료 360만 원을 부과하고 개선권고를 의결했다고 27일 밝혔다.

오픈A에 국내 법을 적용해 과징금이나 과태료를 부과한 것은 우리나라가 처음이다.

개인정보위에 따르면 올 3월 20일부터 21일 사이 오픈AI의 유료버전인 챗GPT 플러스에 접속한 전 세계 이용자 일부의 성명, 이메일, 결제지, 신용카드 번호 4자리와 만료일이 다른 이용자에 노출돼었고 이 중 한국 이용자 687명의 개인정보도 함께 유출됐다고 밝혔다.

개인정보위는 지난 3월 오픈AI의 생성형 인공지능(AI) 챗GPT 서비스에서 개인정보 유출이 있었다는 자체 공지 및 국내외 언론보도 등에 따라 직권으로 조사에 착수했다. 이 과정에서 국내 보호법상 의무 준수 전반과 전체 서비스 이용상에서 개인정보 침해요인에 대한 확인 작업을 함께 진행했다.

유출 원인은 서비스 속도 증가를 위해 오픈소스 기반 캐시(임시저장소) 솔루션에서 알려지지 않은 오류(버그)가 발생한 것이었다. 기술전문가 검토회의 등을 통해 정밀 분석한 결과 개인정보위는 오픈AI가 일반적으로 기대 가능한 보호조치를 소홀히 했다고는 보기 어려워 안전조치의무 위반으로는 처분하지 않았다. 다만 유출 인지 후 24시간 내 신고하지 않은 신고 의무 위반에 대해 과태료를 부과하고, 개인정보처리시스템을 자체적으로 점검 후 재발 방지대책을 수립할 것을 개선권고 하기로 했다.

또한 국내 법에 맞지 않는 개인정보 처리 방식도 개선하도록 했다. 개인정보위는 오픈에이아이가 개인정보 처리방침을 영문으로만 제공하고 있고, 별도 동의 절차가 마련돼 있지 않으며, 정보 위·수탁 관계나 구체적 파기 절차 등을 명확히 밝히지 않는 등 국내 법에 규정된 의무를 이행하지 않고 있다며 개선을 권고했다. 또 챗지피티가 13살 미만에 대해 가입을 제한하고 있는데, 이는 국내 법정대리인 동의 적용 연령 기준 14살 미만과 일치하지 않는다고 지적했다.

다만, 조사과정에서 오픈AI가 최근에 전 세계 서비스를 시작한 신규 사업자임을 설명하며 개인정보위와 협력해 개정 보호법 시행 등에 맞춰 국내 보호법 준수 의견을 공식적으로 제출해옴에 따라, 현시점에서는 개선을 권고하고 이행 여부를 지속적으로 점검하기로 했다.

개인정보위 측은 “이번 조치는 글로벌 신규 서비스에 대해서도 한국 이용자 존재 시 국내보호법이 적용됨을 명확히 한 것으로, 앞으로도 개인정보위는 해외사업자 대상 안내서 발간, 국내 대리인 제도의 실질적 개선 등을 통해 주요 글로벌 개인정보처리자들의 국내 법규에 대한 인지도를 제고하고 집행력을 확보함으로써 우리 정보주체 등의 개인정보보호를 강화해 나갈 방침이다”라고 했다. 

이어 “특히, AI 같은 최신 기술‧서비스에 대해서는 사전 실태점검 등을 통해 안전한 서비스 이용을 지원할 방침이며 추후 지속적으로 구체화해 나갈 계획이다”라고 전했다.