딥시크 논란, 정확히 뭐가 문제였을까요? “딥시크가 금지됐다”, “개인정보가 중국으로 넘어간다”는 이야기는 많이 들었는데, 실제로 무슨 일이 있었고 지금은 어떤 상태인지 명확하게 정리된 글은 찾기 어렵습니다. 개인정보보호위원회의 공식 조사 결과를 중심으로 하나씩 짚어보겠습니다.
핵심 요약
2025년 초, DeepSeek가 한국에 출시되면서 개인정보 처리 방식에 대한 우려가 빠르게 확산됐습니다. 문제의 핵심은 세 가지였습니다.
- 한국법이 요구하는 개인정보 처리방침이 제대로 갖춰지지 않았다
- 사용자가 입력한 프롬프트가 중국 소재 업체로 전송됐다
- AI 학습에 프롬프트를 활용하면서 거부할 방법이 없었다
이 문제들로 앱 신규 다운로드가 약 두 달간 중단됐고, 정부·공공기관에서는 업무용 PC 접속을 차단했습니다. 이후 DeepSeek가 개인정보위의 시정권고를 수용하고 정책을 개선하면서 2025년 4월 28일 앱 다운로드가 재개됐습니다.
한국 앱 서비스 중단, 어떻게 된 일인가
DeepSeek 앱은 2025년 1월 15일 한국 앱마켓에 출시됐습니다. 당시 개인정보 처리방침은 중국어와 영어로만 제공됐고, 한국법상 필요한 기재사항도 일부 누락돼 있었습니다.
개인정보보호위원회는 1월 31일 딥시크 본사에 공식 질의서를 보내고 기술 분석에 착수했습니다. 딥시크가 한국법에 대한 고려가 소홀했다고 인정하고 조사 협력 의사를 밝힌 뒤, 2월 15일 오후 6시부터 한국 App Store와 Google Play에서 신규 다운로드가 잠정 중단됐습니다.
여기서 중요한 점이 있습니다. 이미 앱을 설치한 사용자는 계속 사용할 수 있었고, 웹 버전(chat.deepseek.com)도 차단되지 않았습니다. “한국에서 딥시크가 전면 차단됐다”는 표현은 사실과 다릅니다.
이후 개인정보위는 4월 23일 전체회의에서 실태점검 결과를 심의·의결하고 시정·개선 권고를 발표했습니다. 딥시크가 한국어 처리방침을 공개하고 정책을 수정한 뒤 4월 28일 앱 다운로드가 재개됐습니다.
개인정보위가 확인한 문제
2025년 4월 24일 공개된 공식 실태점검 결과에서 개인정보위가 확인한 문제는 구체적입니다.
첫째, 한국 이용자에게 필요한 정보가 충분히 제공되지 않았습니다. 한국 출시 당시 중국어·영어 처리방침만 있었고, 개인정보 파기 방법, 안전조치, 보호책임자 정보 등 법정 기재사항이 누락돼 있었습니다.
둘째, 사용자 프롬프트를 AI 학습에 활용하면서 충분한 설명과 선택권을 제공하지 않았습니다. 처리방침에는 ‘서비스 제공·개선’이라고만 적혀 있었고, 학습 활용을 거부하는 기능도 없었습니다.
셋째, 14세 미만 사용자를 받지 않는다고 했지만 실제 연령 확인 절차가 없었고, 개발 서버 접근 제한 등 일부 보안 취약점도 발견됐습니다.
한 가지 짚고 넘어갈 부분이 있습니다. 초기에 “딥시크가 키 입력 패턴과 리듬까지 수집한다”는 보도가 많았습니다. 개인정보 처리방침에는 실제로 그렇게 기재돼 있었지만, 개인정보위는 딥시크의 소명을 확인한 결과 실제로 해당 데이터를 수집한 사실은 없었다고 명시했습니다. 처리방침의 기재와 실제 수집 사이에 차이가 있었던 것입니다.
딥시크 개인정보, 어디로 갔나
개인정보위 조치의 핵심은 국외 개인정보 이전 문제였습니다.
딥시크는 서비스 개선·보안·고객지원 등을 위해 한국 이용자의 개인정보를 중국 및 미국 소재 여러 회사에 이전했습니다. 문제는 서비스 시작 당시 국외 이전에 관한 동의를 받지 않았고, 처리방침에도 이 사실을 공개하지 않았다는 점입니다.
특히 Beijing Volcano Engine Technology(바이트댄스 계열)로의 전송이 결정적이었습니다. 여기에는 기기·네트워크 정보뿐 아니라 사용자가 AI 대화창에 입력한 프롬프트 내용까지 포함됐습니다. 딥시크는 UI/UX 개선과 보안 취약점 분석을 위한 클라우드 서비스 이용이었다고 설명했습니다.
개인정보위가 프롬프트까지 국외 이전할 필요가 없다고 지적하자, 딥시크는 2025년 4월 10일부터 Volcano Engine으로의 프롬프트 신규 전송을 차단했습니다. 개인정보위는 여기서 그치지 않고 이미 이전된 프롬프트도 즉각 파기하도록 시정권고했습니다.
DeepSeek는 무엇을 바꿨나
개인정보위 조치 이후 딥시크가 실제로 개선한 내용은 다음과 같습니다.
| 문제 | 개선 내용 | 시점 |
|---|---|---|
| 한국어 처리방침 없음 | 한국어 처리방침 + 한국 관할 규정 마련 | 2025.3.28 제출, 4.28 공개 |
| 프롬프트 Volcano Engine 전송 | 신규 프롬프트 전송 차단 | 2025.4.10 |
| AI 학습 거부 기능 없음 | 옵트아웃 기능 제공 | 2025.3.17 |
| 아동 연령 확인 없음 | 연령 확인 절차 도입 | 점검 과정 중 |
| 보안 취약점 | DB 접근 제한, 디렉터리 리스팅 등 수정 | 점검 과정 중 |
| 국내대리인 미지정 | 법무법인 세종을 국내대리인으로 지정 | 2025.2.10 |
현재 개인정보 처리방침은 어떻게 바뀌었나
2026년 5월 6일 기준 딥시크의 한국어 처리방침에는 국외 이전 대상이 구체적으로 공개돼 있습니다.
| 이전받는 곳 | 국가 | 이전 정보 | 보유기간 |
|---|---|---|---|
| Beijing DeepSeek AI | 중국 | 비식별화된 사용자 프롬프트 | 모델 훈련·최적화 완료 시 |
| Beijing Volcano Engine | 중국 | 기기·네트워크 정보, 서비스 이용내역 | 계정 탈퇴 시까지 |
| Intuition Machines | 미국 | IP, 브라우저·네트워크·기기 정보 | 계정 탈퇴 시까지 |
주목할 변화가 있습니다. 2025년 4월 28일 정책에서는 Beijing DeepSeek에 ‘수집 개인정보 일체’를 보내며 ‘회원 탈퇴 시까지’ 보관한다고 적혀 있었습니다. 현재는 이를 비식별화된 프롬프트로 한정하고, 보유기간도 모델 훈련·최적화 완료 시까지로 축소했습니다.
다만 이것은 처리방침에 적힌 정책상의 변경이며, 실제 서버에서의 데이터 삭제·보관 현황까지 기술적으로 검증된 것은 아닙니다.
‘딥시크 사용 금지’는 정확히 무엇이었나
2025년 2월 “딥시크 금지령”이라는 보도가 쏟아졌습니다. 실제로는 일반 국민을 대상으로 한 법적 사용 금지가 아니었습니다.
구조는 이렇습니다.
국정원·행안부가 보안 유의 공문을 배포 → 각 기관이 자체적으로 판단 → 다수 부처가 업무용 PC에서 접속 차단
국정원은 2월 3일 정부 부처에 “딥시크 등 생성형 AI 업무 활용 시 보안 유의“를 강조하는 공문을 배포했습니다. 행안부도 같은 날 중앙부처·지자체·공공기관에 보안 유의사항을 재안내했는데, 이 지침은 딥시크만이 아니라 챗GPT 등 생성형 AI 서비스 전반을 대상으로 한 것이었습니다.
이후 외교부·국방부·산업부가 2월 5일부터 업무용 PC에서 딥시크 접속을 차단했고, 다른 부처·기관으로 확대됐습니다. 하지만 개인정보위는 2월 7일 브리핑에서 “차단할지는 기관별 자율 사항”이라고 직접 설명했습니다. 즉 범정부 차원의 전면 금지 명령이 아니라 기관별 보안 판단에 따른 조치였습니다.
정리하면, “딥시크 사용 금지”는 정부·공공기관의 업무용 환경에서 보안상 접속을 제한한 것이지, 대한민국 국민 전체의 딥시크 사용을 법으로 금지한 조치가 아니었습니다.
지금 딥시크를 쓸 수 있나
2025년 말 기준, 한국의 일반 이용자는 딥시크 웹·앱·API를 모두 사용할 수 있었습니다.
| 구분 | 상태 | 비고 |
|---|---|---|
| 웹(chat.deepseek.com) | 사용 가능 | 개인정보위 조치로 차단된 적 없음 |
| iOS/Android 앱 | 사용 가능 | 2.15~4.28 신규 다운로드만 중단 |
| DeepSeek API | 사용 가능 | 한국 정부의 API 차단 없음 |
| 정부·공공기관 업무용 PC | 기관별 제한 | 보안상 접속 차단 유지 |
| 일반 국민 개인 기기 | 사용 가능 | 국가 차원 전면 금지 없음 |
앱 중단 기간(2월 15일~4월 28일)에도 웹 버전과 기존 설치 앱은 이용 가능했습니다. API도 한국에서 별도로 차단되지 않았고, 2월 초 글로벌 서버 용량 부족으로 API 크레딧 충전이 잠시 중단된 적이 있었지만 이는 한국 규제와 무관한 전 세계적 문제였습니다.
딥시크 보안, 안전하게 쓰려면
딥시크를 포함해 어떤 생성형 AI든 프롬프트에 넣으면 안 되는 정보가 있습니다. 딥시크의 경우 프롬프트가 중국 소재 서버로 이전될 수 있다는 점에서 더 신중해야 합니다.
입력하면 안 되는 정보:
- 주민등록번호, 여권번호, 계좌번호 등 개인 식별정보
- 회사 내부 문서, 미공개 사업 정보, 고객 데이터
- 의료 기록, 법적 분쟁 관련 문서 등 민감정보
- 비밀번호, 인증 토큰, API 키 등 보안 자격증명
안전하게 쓰는 방법:
- 설정에서 AI 학습 옵트아웃을 켜세요. 2025년 3월 17일부터 제공되는 기능으로, 프롬프트를 모델 학습에 활용하지 않도록 설정할 수 있습니다.
- 개인정보나 기밀 내용은 가명이나 더미 데이터로 바꿔서 입력하세요.
- 업무상 중요한 정보를 다룰 때는 딥시크보다 사내 보안 정책에 부합하는 도구를 먼저 확인하세요.
- 대화 기록이 필요 없다면 주기적으로 삭제하세요.
결론
딥시크 논란의 본질은 “위험한 AI를 정부가 금지했다”가 아닙니다. 한국법에 맞는 개인정보 보호 체계를 갖추지 않은 채 서비스를 출시한 것이 문제였고, 개인정보위의 조사와 권고를 거쳐 상당 부분이 개선됐습니다.
지금 딥시크를 쓸 수 있느냐고 묻는다면, 일반 이용자는 웹·앱·API 모두 이용 가능합니다. 다만 프롬프트가 중국 소재 서버로 이전될 수 있다는 점은 변하지 않았으므로, 무엇을 입력하느냐가 가장 중요한 보안 판단입니다. 옵트아웃을 켜고, 민감한 정보는 넣지 않는 것. 이것이 현재 가장 현실적인 사용법입니다.
