클로드 국내 계정 100여개 유출…"해외기업 현장조사 제약 불가피"

앤스로픽, 지난달 31일 신고
국내외 조사 절차 같지만 현장조사 제약 가능성

미국 인공지능(AI) 기업 앤스로픽의 생성형 AI 서비스 '클로드'에서 국내 기업용 계정 100여개의 정보가 유출됐다. 앤스로픽이 이용자 기반을 확대하며 한국 시장에서 입지를 넓혀온 만큼 향후 개인정보 유출 사고 조사 실효성에 관심이 쏠린다.

10일 개인정보보호위원회에 따르면 앤스로픽은 지난달 31일 국내 기업용 클로드 계정 100여개의 정보가 외부로 유출됐다고 신고했다. 개보위는 현재 사실관계를 확인하는 단계로, 정식 조사에는 착수하지 않은 상태다.

앤스로픽은 사고 당시 고객사 일부에 기업용 클로드 계정과 조직 식별번호, 이름, 이메일 주소 등이 노출됐을 가능성이 있다는 안내문을 보낸 것으로 전해졌다.

이번 사고는 외부 보안업체가 제3자 소프트웨어의 취약점을 이용해 앤스로픽 내부 시스템에 무단 접근하면서 발생한 것으로 추정된다. 미국 워싱턴포스트는 지난달 26일(현지시간) 미국 보안 스타트업 캐서드럴이 외부 업무용 소프트웨어의 취약점을 통해 앤스로픽 내부 시스템에 접근했다고 보도했다.

이 과정에서 기업용 클로드 계정과 조직 식별번호, 이용자 이름, 이메일 주소 등 계정 관련 정보가 노출됐을 가능성이 나왔다. 리디아 할리 앤스로픽 기술연구원은 "계정 정보에 무단 접근했지만 프롬프트와 결과물, 결제정보에는 접근하지 못했다"고 설명했다.

개인정보 유출사고에 관한 조사 절차는 국내외 기업에 동일하게 적용된다. 신고 내용을 토대로 유출 경위와 법 위반 소지 등을 확인한 후 정식 조사에 착수한다. 개인정보보호법 제63조에 따라 사업자에게 관련 자료 제출을 요구할 수 있으며, 일정 요건을 충족하면 현장 조사에서 나설 수 있다. 조사 결과 위법 사실이 확인되면 시정명령이나 과징금 처분을 내린다.

다만 해외 기업의 경우 사전 자료 확보와 현장조사 과정에서 현실적인 제약이 따를 수 있다. 정식 조사 전에는 통상 사고 경위와 유출된 개인정보 항목, 과징금 산정에 필요한 매출액 관련 자료를 사업자에게 요청하는 절차를 거친다. 이 과정에서 해외 기업은 국내 기업보다 자료 제출과 회신에 시간이 걸릴 수 있다는 설명이다. 해외에 본사를 둔 기업은 정보시스템이 국외 사업장에 위치해 물리적 거리가 있는 데다 직접적인 현장 방문이 쉽지 않다는 문제도 있다. 이 때문에 법적 조사 절차는 같더라도 실제 조사 과정에서 차이가 발생할 수 있다.

개보위 관계자는 "현재 유출 원인과 주체, 안전조치 여부 등 사실관계를 확인하고 있다"며 "위법소지가 확인되면 정식 조사에 착수할 것"이라고 설명했다.

이은서 기자 libro@asiae.co.kr