입력한 데이터는 어디로 가는가

2. 입력한 데이터는 어디로 가는가

2.1 대화창이 만드는 착각

AI 대화창은 메모장처럼 생겼습니다. 혼자 쓰는 공간처럼 보이고, 창을 닫으면 사라지는 것처럼 느껴집니다. 이 생김새가 첫 번째 함정입니다.

여러분이 대화창에 입력하고 엔터를 누르는 순간, 그 내용은 회사 밖에 있는 AI 회사의 서버로 전송됩니다. 대부분 해외에 있는 서버입니다. 다시 말해 AI에게 질문하는 행위는 혼잣말이 아니라, 외부 업체에 데이터를 보내는 행위입니다. 이메일로 외부에 파일을 보낼 때는 한 번 더 생각하면서, AI 대화창에는 같은 내용을 아무 생각 없이 붙여넣는 경우가 많습니다. 두 행위의 본질은 같습니다.

2.2 데이터가 거치는 다섯 단계

입력한 데이터가 어떤 경로를 거치는지 단계별로 따라가 보겠습니다.

전송: 입력 내용이 인터넷을 통해 AI 회사의 서버로 갑니다. 통신 자체는 암호화되어 있어 중간에서 가로채기는 어렵습니다. 문제는 다음 단계부터입니다.
저장: 대부분의 서비스는 대화 내용을 서버에 저장합니다. 서비스 품질 관리, 악용 탐지, 사용자 편의(대화 기록 다시 보기)가 이유입니다. 사용자가 대화를 삭제해도 일정 기간 백업이나 로그에 남는 경우가 있습니다.
검토: 약관에 따라 사람이 대화를 들여다볼 수 있습니다. 안전성 검토나 품질 평가 목적으로 일부 대화를 사람이 읽는 절차를 여러 서비스가 운영합니다. 여러분이 입력한 고객 정보를 AI 회사의 직원이나 외주 검토자가 읽을 수 있다는 뜻입니다.
학습: 서비스와 요금제에 따라 대화 내용이 다음 모델의 학습 데이터로 쓰일 수 있습니다. 개인용 무료·유료 계정은 학습에 쓰는 경우가 많고, 기업용 계정과 API는 쓰지 않는 것이 일반적입니다. 이 차이는 3부에서 자세히 다룹니다.
재등장 가능성: 학습에 쓰인 정보는 이론적으로 다른 사용자의 답변에 섞여 나올 수 있습니다. 확률은 낮지만 0이 아니고, 한 번 학습에 포함된 데이터는 사실상 회수할 방법이 없습니다.

여기서 중요한 점이 하나 있습니다. "학습에 안 쓰이면 안전하다"는 생각도 절반만 맞습니다. 2단계의 저장만으로도 위험은 존재합니다. 서버에 남아 있는 대화 기록은 AI 회사가 해킹당하면 함께 유출되고, 여러분의 계정이 탈취당하면 대화 기록 전체가 남의 손에 들어갑니다. 학습 여부와 무관하게, 회사 밖에 사본이 생긴다는 사실 자체가 관리해야 할 위험입니다.

2.3 실제로 있었던 일들

가상의 시나리오가 아니라 실제 사건들입니다.

삼성전자 사내 ChatGPT 입력 사고(2023년 3월): 삼성전자 반도체 부문이 임직원의 ChatGPT 사용을 허용한 지 약 3주 만에, 직원들이 설비 관련 소스코드와 회의록 등 내부 정보를 대화창에 입력한 사례가 잇달아 확인됐습니다. 입력된 내용은 외부 서버에 전송된 뒤였고, 회사는 이후 사내 사용을 크게 제한했습니다. 개인정보 사건은 아니었지만, "직원이 업무를 잘하려고 입력한 데이터가 곧 외부 유출이 된다"는 구조를 가장 잘 보여준 사례입니다.

ChatGPT 대화 목록 노출 버그(2023년 3월): OpenAI가 사용한 오픈소스 라이브러리의 버그로, 일부 사용자에게 다른 사용자의 대화 제목이 보이는 사고가 있었습니다. 일부 유료 구독자의 이름, 이메일, 결제 주소, 카드번호 끝 4자리가 노출되었을 가능성도 함께 공지됐습니다. AI 회사도 여느 IT 기업처럼 장애와 사고를 겪으며, 서버에 저장된 내 대화가 그 사고의 영향권에 있다는 것을 보여줍니다.

이탈리아의 ChatGPT 일시 차단(2023년 3월): 이탈리아 개인정보 감독기구는 법적 근거 없는 개인정보 수집과 미성년자 보호 미비를 이유로 ChatGPT의 자국 내 서비스를 일시 중단시켰습니다. OpenAI가 개선 조치를 내놓은 뒤에야 서비스가 재개됐고, 이후 별도의 과징금 처분도 있었습니다. 각국 감독기구가 AI 서비스의 개인정보 처리를 정면으로 들여다보고 있다는 신호입니다.

세 사건의 공통점은 특별히 악의적인 해커가 등장하지 않는다는 것입니다. 평범한 직원의 업무 습관, 흔한 소프트웨어 버그, 그리고 규제기관의 감독만으로도 사고와 제재는 발생합니다.

2.4 개인이 아니라 기업이라서 무거워지는 것

개인이 자기 정보를 AI에 입력하는 것은 본인의 선택입니다. 그러나 기업의 임직원이 고객이나 동료의 정보를 입력하는 순간, 이야기가 달라집니다.

회사는 개인정보보호법상 개인정보처리자입니다. 고객의 정보를 수집할 때 약속한 목적 범위 안에서만 쓸 수 있고, 외부에 제공하거나 처리를 맡기려면 법적 근거가 필요합니다. 직원이 고객 정보를 AI 대화창에 입력하는 행위는 회사가 통제하지 못한 외부 전송이고, 상황에 따라 다음 문제들이 한꺼번에 걸립니다.

목적 외 이용: 상담 목적으로 수집한 고객 정보를 회사가 승인하지 않은 외부 서비스에 넘긴 셈이 됩니다.
국외 이전: 주요 AI 서비스의 서버는 해외에 있습니다. 개인정보를 입력하면 개인정보의 국외 이전에 해당할 수 있는데, 국외 이전에는 정보주체 동의 등 별도의 법적 요건이 있습니다.
안전조치 의무 위반: 회사는 개인정보가 유출되지 않도록 관리할 의무가 있습니다. 직원 교육과 통제를 하지 않아 사고가 났다면 회사의 관리 책임이 함께 문제 됩니다.

그리고 사고가 났을 때 법이 요구하는 대응, 즉 72시간 안의 통지와 신고 의무는 입력한 직원 개인이 아니라 회사에 부과됩니다. 이 내용은 4부에서 자세히 다룹니다.

2.5 흔한 오해 바로잡기

오해	사실
대화를 삭제하면 사라진다	화면에서 사라질 뿐, 서버의 로그나 백업에는 일정 기간 남을 수 있습니다. 이미 학습에 쓰였다면 회수가 불가능합니다.
학습에 안 쓰이는 요금제니까 뭐든 입력해도 된다	학습 여부와 무관하게 외부 서버에 전송·저장됩니다. 국외 이전, 목적 외 이용 문제는 그대로 남습니다.
회사 계정으로 썼으니 문제가 생겨도 회사 일이다	맞습니다, 그래서 더 문제입니다. 회사가 신고 의무와 과징금을 지고, 입력한 직원은 사규에 따른 책임을 집니다.
유명한 회사 서비스니까 안전하다	보안 수준이 높은 것과 데이터가 외부로 나가는 것은 별개입니다. 잘 지켜지는 남의 금고도, 남의 금고입니다.
어차피 AI가 다 아는 정보다	AI가 아는 것은 공개된 데이터입니다. 여러분 회사의 고객 명단은 공개 데이터가 아니며, 여러분이 입력하기 전까지 AI는 모릅니다.

2.6 1부를 닫으며 던지는 질문

여기까지 들으면 "그럼 도대체 뭘 입력할 수 있다는 건가"라는 생각이 들 수 있습니다. 좋은 질문이고, 그 답이 바로 2부입니다. 법이 개인정보를 어떻게 정의하는지 알면, 올려도 되는 것과 안 되는 것의 경계가 생각보다 선명하게 그어집니다.