국회엔 '영업비밀'이라더니…식약처, 챗GPT에 임상자료 2672건 유출

식품의약품안전처가 국회에는 '영업비밀 보호'를 내세워 자료 공개를 거부하면서도 정작 비공개 임상시험 결과 문건 2672건이 생성형 인공지능(AI) 서비스 챗GPT를 통해 무방비로 유출된 것으로 드러났다.

식약처 산하 한국의약품안전관리원은 14일 의약품안전나라 홈페이지에 사과문을 게재하고 지난 12일 비정상적 접근으로 임상시험 정보가 유출된 사실을 인지했다고 밝혔다. 조사 결과 보고담당자 1195명의 이름과 휴대전화번호, 이메일 등 개인정보 3개 항목이 유출된 것으로 확인됐다.

관리원은 인지 직후 시스템 검증 기능을 강화하고 불필요 항목을 삭제하는 등 보완 조치를 취했으며 개인정보보호위원회에 해당 사실을 신고했다고 해명했다.

파장의 진원지는 13일 열린 국회 보건복지위원회의 식약처 국정감사였다. 이소희 국민의힘 의원이 공개한 실태에 따르면 일반 이용자가 의약품안전나라 검색 화면에서 조회하면 '점검이 완료되는 대로 공개할 예정'이라는 문구만 뜨며 문서를 열람할 수 없었다.

그러나 챗GPT를 활용하자 비공개 임상시험 결과 문서 파일 2672건이 로그인이나 비밀번호 입력 같은 본인 확인 절차 없이 그대로 내려받아졌다. 고도화된 해킹 기법이 아니라 누구나 쓸 수 있는 상용 AI 서비스를 통한 유출이었다.

유출된 2672건 가운데 시스템상 비공개로 분류된 기업 핵심 정보가 담긴 문서는 839건, 제약사와 임상시험 기관 보고담당자의 휴대전화번호가 적힌 문서는 2208건에 달했다. 신약 개발의 임상시험 결과와 유효성, 이상반응 등 안전성 평가 데이터는 제약·바이오 기업의 핵심 무형자산으로 꼽힌다.

식약처는 약사법 제88조에 의약품 정보 비공개 원칙과 함께 '공익상 필요한 경우' 공개할 수 있다는 단서 규정이 있음에도 2016년 이후 이 조항을 사실상 사문화한 채 국회와 시민사회의 검증 요구를 차단해 왔다. 국회에는 영업비밀 보호를 명분으로 정보 제공을 거부하면서 대외 웹 서버는 AI 크롤링에 그대로 노출한 셈이다.

사후 대응도 도마에 올랐다. 이 의원실이 11일 서면 자료요구로 보안 취약점을 공식 통보했지만 식약처는 국정감사 당일 새벽에야 접근 차단 조치를 취했고 국감 직전까지 의원실에 아무런 설명도 하지 않았다. 반면 취재하던 언론사에는 선제적으로 접촉해 보도 여부와 입수 경로를 묻는 등 은폐에 급급했다는 지적을 받았다.

13일 국감장에서 오유경 식약처장은 자료 유출 인지 시점이 12일이었다며 사과하고 확보된 자료를 폐기해야 한다고 답변했다. 다만 공공 데이터가 언제부터, 얼마나 많은 외부 경로로 유출됐는지에 대한 기술적 규명은 아직 불투명하다.

한국의약품안전관리원은 사과문에서 유출된 개인정보로 인한 명의도용과 보이스피싱 등 2차 피해를 주의하라며 피해자 권리 구제 절차를 안내했다. 이번 사안은 개인정보 유출 피해자 1195명의 구제 문제를 넘어 국내외 제약사들이 식약처 시스템에 기업 기밀과 연구 데이터를 신뢰하고 맡길 수 있을지에 대한 의문으로 이어지고 있다.