가. 안면 인식 데이터 무단 수집

2020년 1월의 어느 아침, 뉴욕타임스 기자 캐시미어 힐은 기묘한 앱 하나를 발견했습니다.

호주 출신의 개발자 호안 톤-댓이 만든 이 앱은 누군가의 사진을 찍어 업로드하면 그 사람이 누구인지, 어디서 일하는지, 온라인에서 어떤 활동을 했는지 1초 만에 알려주었습니다. 앱의 이름은 클리어뷰 AI였습니다.

이 앱이 어떻게 작동하는지를 알게 된 순간, 캐시미어 힐은 기사를 쓰기로 결심했습니다.

얼굴은 비밀번호와 다릅니다. 비밀번호가 유출되면 바꾸면 됩니다. 신용카드를 잃어버리면 재발급받으면 그만입니다. 하지만 얼굴은 바꿀 수 없습니다. 얼굴은 우리가 평생 가지고 다녀야 하는, 변경 불가능한 신분증입니다. 누군가 이 신분증을 복사해서 데이터베이스에 넣는 순간, 우리는 영원히 추적 가능한 바코드가 찍힌 상품이 됩니다. 이것이 생체정보가 다른 개인정보와 근본적으로 다른 이유입니다.

(1) Clearview AI 미국 BIPA 집단소송 합의

호안 톤-댓은 페이스북, 인스타그램, 링크드인, 벤모에서 사진을 긁어모았습니다.

스크래핑이라 불리는 이 기술은 웹페이지의 정보를 자동으로 수집하는 프로그램을 의미합니다. 도서관에서 책을 빌리는 것이 아니라, 도서관의 모든 책을 복사기에 넣고 돌리는 것과 같습니다.

그는 이렇게 300억 장 이상의 얼굴 이미지를 수집했습니다. 그리고 이 이미지들에서 얼굴의 기하학적 구조, 눈과 코와 입 사이의 거리, 턱선의 각도 같은 것들을 추출해 '얼굴 템플릿'이라는 디지털 지문을 만들었습니다.

이 데이터베이스는 경찰에게 판매되었습니다. 경찰관이 용의자 사진을 업로드하면, 클리어뷰 AI는 인터넷에서 그 사람과 일치하는 모든 사진과 링크를 찾아주었습니다. 편리한 도구였습니다. 하지만 한 가지 문제가 있었습니다. 사진의 주인들 중 누구도 자신의 얼굴이 이런 목적으로 사용되는 것에 동의한 적이 없었습니다.

여기서 일리노이주가 등장합니다. 미국 중서부의 이 주는 2008년에 독특한 법을 하나 만들었습니다.

생체정보보호법(BIPA)입니다. 이 법은 기업이 개인의 생체정보를 수집하거나 저장할 때 반드시 서면 동의를 받도록 규정합니다. 그리고 여기에 무서운 조항이 하나 있습니다. 피해자가 직접 소송을 제기할 수 있다는 것입니다. 대부분의 프라이버시 법은 정부가 기업을 처벌하는 구조입니다. 하지만 BIPA는 시민 개개인이 기업을 법정에 세울 수 있게 해 주었습니다.

소송의 댐이 터졌습니다.

2021년 1월까지 일리노이, 캘리포니아, 뉴욕, 버지니아에서 제기된 11개의 집단소송이 일리노이 북부 연방법원으로 통합되었습니다. 원고들의 주장은 단순했습니다. 클리어뷰 AI는 우리의 동의 없이 우리의 얼굴을 수집했다. BIPA에 따르면 이것은 위법한 건당 최소 1,000달러에서 5,000달러의 손해배상을 의미한다. 일리노이 인구가 1,200만 명이니, 계산기를 두드려보면 천문학적인 숫자가 나옵니다.

문제는 클리어뷰 AI가 스타트업이라는 것이었습니다. 아무리 기업 가치가 높아도 현금이 없었습니다. 수십억 달러의 배상금을 낼 능력이 없었습니다. 그래서 2024년 6월, 전례 없는 합의가 이루어졌습니다. 현금 대신 지분을 주기로 한 것입니다.

2025년 3월 20일, 샤론 존슨 콜먼 연방판사는 이 합의를 최종 승인했습니다. 클리어뷰 AI는 원고들에게 회사 지분 23%를 제공하기로 했습니다. 금액으로 환산하면 약 5,175만 달러입니다. 판사는 이 합의가 "유사한 BIPA 합의들과 비교할 때 공정하고 합리적이며 적절하다"고 판단했습니다. 합의에는 또 다른 조건이 붙었습니다.

클리어뷰 AI는 미국 내 민간 기업과 개인에게 데이터베이스 접근 권한을 판매하는 것이 영구적으로 금지되었습니다. 일리노이주 내 모든 기관, 경찰을 포함해서, 5년간 서비스 제공이 금지되었습니다. '모든 사람의 얼굴을 검색할 수 있는 구글'이 되고자 했던 꿈은 적어도 미국 민간 시장에서는 불법이 되었습니다.

이 서비스와 관련하여 유럽연합내의 논란, 그리고 트럼프와 정경유착, 그리고 미국 헌법상 영장주의 파괴의 선봉장으로 변한 내용에 대해 추가로 설명하겠습니다.

2025년 여름, 뉴욕에 본사를 둔 작은 스타트업이 Inc. 5000 리스트에서 710위를 차지했습니다. 미국에서 가장 빠르게 성장하는 기업 목록입니다. 1년 전 이 회사는 1,820위였습니다. 1,100계단을 뛰어올랐습니다. 클리어뷰 AI였습니다.

같은 시기, 이 회사는 유럽에서 총 1억 유로(약 1,450억 원) 이상의 과징금을 선고받은 상태였습니다. 네덜란드 3,050만 유로. 프랑스 2,520만 유로. 이탈리아 2,000만 유로. 그리스 2,000만 유로. 영국 750만 파운드. 전부 같은 이유였습니다. 당신들은 사람들의 얼굴을 훔쳤다.

클리어뷰 AI는 단 한 푼도 내지 않았습니다.

얼굴을 갈아서 만든 회사호안 톤-댓은 호주 출신의 개발자였습니다. 2017년 맨해튼에서 그는 단순한 아이디어를 떠올렸습니다. 인터넷에는 수십억 장의 사진이 공개되어 있다. 이 사진들에서 얼굴을 추출하고, 각 얼굴의 기하학적 패턴을 분석해 디지털 지문을 만들면 어떨까. 누군가의 사진 한 장만 있으면, 그 사람이 온라인에 남긴 모든 흔적을 찾아낼 수 있다.

스크래핑이라 불리는 기술을 사용했습니다. 페이스북, 인스타그램, 링크드인, 벤모에서 사진을 긁어모았습니다. 도서관에서 책을 빌리는 것이 아니라, 도서관의 모든 책을 복사기에 넣고 돌리는 것과 같은 방식이었습니다. 2025년 현재 그의 데이터베이스에는 300억 장 이상의 얼굴 이미지가 저장되어 있습니다. 지구상 모든 인간의 얼굴을 7번 이상 담을 수 있는 숫자입니다.

그는 이 데이터베이스를 경찰에게 팔았습니다. 경찰관이 용의자 사진을 업로드하면, 1초 안에 그 사람의 신원과 온라인 활동 기록이 화면에 떴습니다. 편리한 도구였습니다.

문제가 하나 있었습니다. 300억 장의 사진 주인 중 누구도 자신의 얼굴이 이렇게 사용되는 것에 동의한 적이 없었습니다.

유럽의 분노2022년부터 유럽의 데이터 보호 당국들은 차례로 클리어뷰 AI를 조사하기 시작했습니다. 결론은 모든 국가에서 동일했습니다. 불법.

프랑스 개인정보보호감독기구(CNIL)는 2022년 10월 2,000만 유로의 과징금을 부과했습니다. 클리어뷰 AI가 데이터 삭제 명령을 이행하지 않자, 2023년 5월에 520만 유로를 추가로 부과했습니다. 이탈리아와 그리스도 각각 2,000만 유로를 선고했습니다.

2024년 9월, 네덜란드 데이터보호청이 가장 강력한 메시지를 보냈습니다. 3,050만 유로의 과징금과 함께, 알레이드 볼프센 청장은 이례적인 경고를 발표했습니다.

"우리는 이 회사의 이사들을 개인적으로 기소할 수 있는지 조사하고 있습니다. 경영진이 GDPR 위반 사실을 알면서도 중단할 권한이 있었음에도 그렇게 하지 않았다면, 그들은 개인 책임을 집니다."

볼프센 청장은 클리어뷰 AI의 경영진에게 사실상 유럽 여행 금지령을 내린 것이었습니다.

클리어뷰 AI의 잭 멀케어 법률 총책임자는 이렇게 응수했습니다. "클리어뷰 AI는 네덜란드나 EU에 사업장이 없습니다. GDPR이 우리에게 적용되지 않습니다."

영국은 다른 경로를 택했습니다. 2022년 5월 영국 정보위원회(ICO)는 750만 파운드의 과징금을 부과했습니다. 클리어뷰 AI는 항소했고, 2023년 10월 1심 법원은 놀라운 판결을 내렸습니다. ICO에게 관할권이 없다. 판사의 논리는 이랬습니다. 클리어뷰 AI의 고객은 모두 외국의 법 집행 기관입니다. 외국의 국가 안보와 법 집행은 영국 GDPR의 적용 범위 밖입니다. 따라서 클리어뷰 AI도 적용 범위 밖입니다.

ICO는 항소했습니다. 2025년 6월 상급 법원에서 3일간의 심리가 열렸습니다. 프라이버시 인터내셔널이라는 시민단체가 개입해 ICO 편을 들었습니다.

2025년 10월 7일, 상급 법원은 1심 판결을 뒤집었습니다. 핵심 논점은 "행동 모니터링"의 정의였습니다. 클리어뷰 AI는 자신들이 사람들을 적극적으로 감시하지 않는다고 주장했습니다. 단지 공개된 사진을 수집할 뿐이라고.

법원은 동의하지 않았습니다. "행동 모니터링은 수동적인 데이터 수집, 분류, 저장을 포함합니다. 제3자가 프로파일링 목적으로 사용할 수 있도록 데이터를 준비하는 것 자체가 모니터링입니다."

판결문의 마지막 문장이 인상적이었습니다. "이 사건은 다시 1심 법원으로 보내져 본안 심리를 받게 됩니다. ICO는 관할권이 있습니다."

클리어뷰 AI는 항소할 것이라고 밝혔습니다.

미국에서 일어난 기묘한 합의유럽에서 벌금 폭탄을 맞는 동안, 미국에서는 다른 종류의 전쟁이 벌어지고 있었습니다.

일리노이주는 2008년에 생체정보보호법(BIPA)을 제정한 유일한 주였습니다. 이 법의 독특한 점은 피해자가 직접 기업을 고소할 수 있다는 것이었습니다. 대부분의 프라이버시 법은 정부만 기업을 처벌할 수 있습니다. 하지만 BIPA는 시민 개개인에게 소송권을 주었습니다.

2021년 1월, 일리노이를 포함한 4개 주에서 제기된 11개의 집단소송이 하나로 통합되었습니다. 원고들의 주장은 단순했습니다. 클리어뷰 AI는 우리 동의 없이 우리 얼굴을 수집했다. BIPA에 따르면 건당 1,000달러에서 5,000달러의 손해배상이 가능하다. 일리노이 인구가 1,200만 명이니, 계산기를 두드려보면 수십억 달러가 나옵니다.

문제는 클리어뷰 AI에 현금이 없다는 것이었습니다. 스타트업이었습니다. 아무리 기업 가치가 높아도 배상금을 낼 돈이 없었습니다. 2024년 6월, 전례 없는 합의가 발표되었습니다. 현금 대신 지분을 주기로 한 것입니다.

2025년 3월 20일, 샤론 존슨 콜먼 연방판사는 이 합의를 최종 승인했습니다. 클리어뷰 AI는 원고들에게 회사 지분 23%를 제공합니다. 금액으로 환산하면 약 5,175만 달러입니다. 이 지분은 회사가 상장하거나 인수될 때 현금화됩니다.

22개 주의 법무장관들이 반대 의견서를 제출했습니다. 그들의 주장은 이랬습니다. 이 합의는 피해자들의 보상을 클리어뷰 AI의 미래 성공에 묶어버립니다. 피해자들이 자신들의 프라이버시를 침해한 회사의 주주가 되는 것입니다. 이것이 "공정하고 합리적이며 적절한" 합의입니까?

판사는 그렇다고 판단했습니다. "소송 비용이 회사를 파산시킬 수 있고, 그러면 피해자들은 아무것도 받지 못합니다. 이 합의가 현실적인 선택입니다."

기묘한 결과가 탄생했습니다. 클리어뷰 AI가 성공할수록 피해자들의 배상금도 커집니다. 피해자들은 이제 클리어뷰 AI의 성공을 바랄 이유가 생겼습니다.

연방 정부와의 밀월2025년 2월, 호안 톤-댓이 CEO 자리에서 물러났습니다. 2024년 12월에 대표이사에서 강등되었다가, 완전히 경영 일선에서 물러난 것입니다. 이사회에는 남아 있습니다.

새 공동 CEO로 핼 램버트와 리처드 슈워츠가 취임했습니다. 램버트는 초기 투자자였고, 트럼프 대통령 선거 캠프의 기금 모금에 참여한 인물이었습니다. 슈워츠는 공동 창업자였습니다. 새 경영진의 전략은 명확했습니다. 연방 정부.

2025년 9월 5일, 이민관세집행국(ICE)의 국토안보조사국이 클리어뷰 AI와 920만 달러 규모의 계약을 체결했습니다. 클리어뷰 AI 역사상 최대 규모의 연방 계약이었습니다. 2021년에 체결한 230만 달러 계약의 4배였습니다.

계약서에는 두 가지 목적이 명시되어 있었습니다. 아동 성착취 범죄 수사. 그리고 "법 집행관에 대한 폭행" 수사.

두 번째 목적이 논란이 되었습니다. 트럼프 행정부의 대규모 추방 작전이 진행되는 와중에, ICE 요원들에게 저항하는 사람들을 찾아내는 데 안면인식 기술이 사용될 수 있다는 우려였습니다.

한 가지 아이러니가 있었습니다. 일리노이주에서 클리어뷰 AI는 경찰에게 서비스를 제공하는 것이 금지되어 있습니다. BIPA 소송 합의의 조건 중 하나였습니다. 하지만 연방 기관에는 해당 금지가 적용되지 않습니다. ICE 요원들은 일리노이주에서도 클리어뷰 AI를 사용할 수 있습니다. 지역 경찰은 사용할 수 없는 기술을 연방 요원들은 같은 장소에서 자유롭게 사용합니다.

2025년 클리어뷰 AI의 연간 반복 수익은 1,600만 달러입니다. 램버트 공동 CEO는 내년에 3배로 늘리겠다고 말했습니다. 민간 시장에서 회사의 가치는 12억에서 16억 달러 사이로 추정됩니다. 2025년 3분기 또는 4분기에 기업공개(IPO)가 예상됩니다.

유럽에서 부과된 벌금 총액: 약 1억 유로. 클리어뷰 AI가 납부한 금액: 0유로.

미국에서 합의한 배상 총액: 5,175만 달러(지분 형태). 클리어뷰 AI가 현금으로 지출한 금액: 0달러.

연방 정부 계약 총액: 920만 달러(2025년 ICE 계약만). 예상 IPO 기업 가치: 12억~16억 달러. 네덜란드 데이터보호청장 볼프센은 솔직했습니다. "다른 데이터 보호 당국들도 이미 클리어뷰 AI에 벌금을 부과했지만, 회사는 행동을 바꾸지 않는 것 같습니다."

문제는 집행입니다. 클리어뷰 AI는 유럽에 사무실이 없습니다. 직원도 없습니다. 은행 계좌도 없습니다. 유럽의 데이터 보호 당국이 할 수 있는 것은 벌금을 부과하는 것뿐입니다. 돈을 받아낼 방법이 없습니다.

국제법에는 행정 벌금을 국경을 넘어 집행하는 메커니즘이 없습니다. GDPR이 "세계 최초의 글로벌 데이터 보호법"이라고 불리지만, 미국에 본사를 둔 기업이 유럽 규제를 무시하기로 결정하면 강제할 방법이 현재로서는 없습니다.

영국의 한 법률 컨설턴트는 이렇게 평가했습니다. "상급 법원의 판결은 ICO에게 승리입니다. 하지만 공허한 승리일 수 있습니다. 영국에 자산이 없는 기업에 대해 750만 파운드 벌금을 집행할 방법이 무엇입니까?"

영장 없는 감시: 헌법의 사각지대클리어뷰 AI를 둘러싼 가장 근본적인 논쟁은 아직 법정에서 정면으로 다뤄지지 않았습니다. 미국 수정헌법 제4조, 영장 주의입니다.

수정헌법 제4조는 명확합니다. "불합리한 수색과 압수로부터 개인의 신체, 가택, 서류 및 재산이 보호받을 권리는 침해될 수 없다. 영장은 상당한 이유에 근거하여, 선서 또는 확약에 의해 뒷받침되고, 수색할 장소와 압수할 물건을 특정하여 기술한 경우에만 발부될 수 있다."

쉽게 말하면 이렇습니다. 경찰이 당신의 집을 수색하려면 판사에게 가서 영장을 받아야 합니다. 왜 당신을 수색해야 하는지, 무엇을 찾으려는지 구체적으로 설명해야 합니다. 이것이 건국 이래 미국 헌법이 지켜온 원칙입니다.

클리어뷰 AI는 이 원칙을 우회합니다. 경찰관이 길거리에서 찍은 사진 한 장을 클리어뷰 AI에 업로드합니다. 1초 만에 그 사람의 이름, 소셜 미디어 계정, 온라인 활동 기록이 화면에 뜹니다. 영장이 필요 없습니다. 판사의 승인도 필요 없습니다. 심지어 그 사람이 범죄 혐의자일 필요도 없습니다. 누구든 검색할 수 있습니다.

포드햄 대학 법학대학원의 한 논문은 이 문제를 정면으로 다뤘습니다. "클리어뷰 AI를 사용해 영장 신청을 뒷받침하는 행위는 확립된 법적 기준에 어긋난다." 논문의 핵심 주장은 두 가지였습니다. 첫째, 대법원은 디지털 시대에 헌법적 보호를 기술 발전에 맞게 적응시켜야 한다고 인정해왔다. 둘째, 클리어뷰 AI의 검색은 전통적인 프라이버시 보호 장치를 우회하는 디지털 감시의 고유한 능력을 보여준다.

더 심각한 문제가 있습니다. 오류입니다.

디트로이트에서 로버트 윌리엄스라는 남성이 가족 앞에서 체포되었습니다. 안면인식 시스템이 그를 절도 용의자로 지목했기 때문입니다. 그는 무고했습니다. 뉴저지에서 니지어 파크스라는 남성은 10일간 구금되었습니다. 역시 안면인식 오류 때문이었습니다. 두 사람 모두 흑인이었습니다.

연구들은 안면인식 기술이 유색인종에 대해 더 높은 오류율을 보인다고 일관되게 보고합니다. 잘못된 매칭 하나가 무고한 사람을 감옥에 보낼 수 있습니다. 그리고 이 모든 과정에서 영장은 필요하지 않습니다.

2021년, 민주당과 공화당 의원들이 함께 "수정헌법 제4조는 팔려서는 안 된다(Fourth Amendment Is Not For Sale Act)" 법안을 발의했습니다. 법안의 핵심은 두 가지였습니다. 클리어뷰 AI 같은 서비스에서 데이터를 구매하는 것을 금지한다. 그리고 위치 정보를 획득할 때 영장을 요구한다.

ACLU의 케이트 루안 법률고문은 이렇게 말했습니다. "이 법안은 정부 기관들이 영장 없이는 얻을 수 없는 데이터를 구매함으로써 헌법적 보호를 우회하는 것을 막을 것입니다." 법안은 통과되지 않았습니다.

클리뷰 AI가 보여준 대혼동의 서사클리어뷰 AI의 이야기는 기술과 법, 프라이버시와 안전, 국경과 관할권 사이의 긴장을 보여줍니다.

한쪽에서는 이 회사가 범죄자를 잡고, 실종 아동을 찾고, 인신매매 피해자를 구출하는 데 기여한다고 말합니다. 회사 웹사이트에는 성공 사례들이 나열되어 있습니다. 경찰이 수십 년 된 미제 사건을 해결했다는 이야기들.

다른 쪽에서는 이 회사가 전 세계 사람들의 프라이버시를 침해했다고 말합니다. 동의 없이 얼굴을 수집해 데이터베이스를 만들었다. 누구든 추적 가능한 세상을 만들었다. 그리고 무엇보다, 수정헌법 제4조가 200년 이상 지켜온 영장 주의를 기술로 무력화했다.

클리어뷰 AI는 유럽에서 불법입니다. 미국에서는 가장 빠르게 성장하는 기업 중 하나입니다. 일리노이 경찰은 사용할 수 없지만, 같은 일리노이에서 활동하는 ICE 요원은 사용할 수 있습니다. 피해자들은 주주가 되었고, 이제 회사의 성공을 기원해야 하는 상황입니다. 헌법학자들은 영장 주의 위반이라고 경고하지만, 연방 정부는 920만 달러를 지불하고 서비스를 구매했습니다.

300억 장의 얼굴 이미지. 1억 유로의 벌금. 920만 달러의 정부 계약. 16억 달러의 기업 가치. 그리고 단 한 번의 영장도 없이 검색되는 수백만 명의 얼굴.

누군가는 이것을 프라이버시의 종말이라고 부릅니다. 누군가는 공공 안전의 혁명이라고 부릅니다. 누군가는 헌법의 사각지대라고 부릅니다. 아직 답이 나오지 않았습니다. 어쩌면 답은 없을 수도 있습니다. 확실한 것은 하나입니다. 당신의 얼굴은 이미 그 데이터베이스 안에 있을 가능성이 높습니다. 그리고 경찰이 당신을 검색하는 데 영장은 필요하지 않습니다.

(2) Rite Aid 사례: FTC 안면인식 사용 금지 명령

클리어뷰 AI가 감시의 도구를 만들었다면, 라이트 에이드는 그 도구를 사용한 기업이었습니다.

미국 전역에 퍼져 있는 이 약국 체인은 절도 방지를 위해 안면인식 기술을 도입했습니다. 논리는 간단했습니다.

과거에 물건을 훔친 사람의 얼굴을 데이터베이스에 넣어두고, 그 사람이 다시 매장에 들어오면 경보를 울리자. 비용을 절감하면서 보안을 강화하는 효율적인 방법처럼 보였습니다.

하지만 이 시스템에는 치명적인 결함이 있었습니다. 정확하지 않았습니다.

2012년부터 2020년까지 라이트 에이드는 두 개의 외부 업체와 계약을 맺고 '관심 인물' 데이터베이스를 구축했습니다. 여기에는 과거 절도 혐의자들의 사진, CCTV에서 캡처한 저해상도 이미지, 심지어 직원들의 휴대폰으로 찍은 사진까지 포함되었습니다.

라이트 에이드는 이 이미지들의 품질을 검증하지 않았습니다. 정확도를 테스트하지도 않았습니다. 외주 업체의 계약서에는 "결과의 정확성이나 신뢰성에 대해 어떠한 보증도 하지 않는다"는 면책 조항이 적혀 있었습니다.

결과는 예상할 수 있는 것이었습니다. 시스템은 수천 건의 오탐을 생성했습니다. 수천 마일 떨어진 곳에서 등록된 절도범과 매장에 들어온 손님을 동일인으로 인식했습니다. 같은 사람을 미국 전역의 수십 개 매장에서 반복적으로 절도범으로 표시했습니다. 연방거래위원회(FTC) 조사에 따르면, 이 오류는 무작위가 아니었습니다. 흑인, 아시아계, 여성 고객들에게서 오인식률이 유난히 높았습니다. 죄 없는 사람들이 절도범으로 몰렸습니다. 직원들이 달려와 손님을 따라다녔습니다. 가방을 뒤지게 했습니다. 가족과 친구들 앞에서 공개적으로 망신을 주었습니다. 경찰에 신고당하는 일도 있었습니다. 이것은 단순한 기술적 오류가 아니었습니다. 자동화된 차별이었습니다.

2023년 12월 19일, FTC는 역사적인 조치를 발표했습니다. 라이트 에이드에 대해 향후 5년간 안면인식 기술 사용을 전면 금지시킨 것입니다.

이것은 FTC가 민간 기업의 안면인식 오남용에 대해 내린 최초의 사용 금지 명령이었습니다. FTC 소비자보호국장 새뮤얼 레빈은 이렇게 말했습니다. "라이트 에이드의 무모한 안면 감시 시스템 사용은 고객들에게 굴욕과 다른 피해를 입혔습니다."

금지 명령에는 더 강력한 조항이 포함되어 있었습니다.

라이트 에이드는 과거 시스템으로 수집한 모든 얼굴 사진과 영상을 삭제해야 했습니다. 그리고 그 데이터를 사용해 만든 모든 AI 모델과 알고리즘도 폐기해야 했습니다. 이것을 '알고리즘 환수(Algorithmic Disgorgement)'라고 부릅니다.

불법적으로 수집된 데이터로 만든 AI 모델은 그 열매까지 폐기해야 한다는 원칙입니다. 독이 든 나무에서 열린 과일도 독이 있다는 논리입니다.

라이트 에이드 사건은 두 가지 교훈을 남겼습니다. 첫째, AI 도구의 정확성과 편향성을 검증하지 않고 도입하면 그 책임은 기업이 진다는 것입니다. "외주 업체가 만들었으니 우리는 모른다"는 변명은 통하지 않습니다. 둘째, 규제 당국이 벌금을 넘어 기술 자체의 사용을 금지할 수 있다는 것입니다. 기술을 제대로 통제할 능력이 없다면, 아예 쓰지 말라는 것입니다.

나. 데이터 스크래핑과 개인정보

우리는 인터넷이 무료라고 생각합니다. 구글 검색도, 페이스북 포스팅도, 인스타그램의 사진 공유도 공짜입니다.

하지만 월스트리트에서 오래 일한 사람이라면 누구나 아는 진리가 있습니다. "상품의 가격을 지불하지 않고 있다면, 당신이 바로 상품이다."

지난 20년간, 우리는 우리의 일상을 소셜 미디어에 쏟아냈습니다. 아이의 생일 파티 사진, 정치에 대한 의견, 맛집 후기, 직장에서 느끼는 불만. 이 모든 것은 '공개' 데이터였습니다. 우리는 친구들과 소통하려고 이것들을 올렸습니다.

하지만 AI 기업들에게 이 데이터는 캘리포니아의 금광이었습니다. OpenAI, 구글, 앤스로픽 같은 기업들은 거대한 진공청소기처럼 이 데이터들을 빨아들였습니다. 그들은 이것을 '스크래핑'이라고 불렀습니다.

(1) 소셜 미디어 데이터의 AI 학습 활용 논란

2024년 8월, 링크드인은 조용히 개인정보처리방침을 업데이트했습니다. 새로운 설정 메뉴가 추가되었습니다.

'생성형 AI 개선을 위한 데이터'라는 이름의 토글 버튼이었습니다. 문제는 이 버튼이 기본으로 '켜짐' 상태였다는 것입니다. 사용자가 일부러 찾아서 끄지 않는 한, 링크드인은 자동으로 게시물과 프로필 정보를 AI 학습에 사용할 수 있게 된 것입니다.

9월에 링크드인은 개인정보 정책을 다시 업데이트했습니다. 이번에는 사용자 데이터를 생성형 AI 학습에 사용할 것이라고 명시했습니다. 순서가 바뀌었습니다. 보통은 정책을 먼저 바꾸고 나서 데이터를 수집합니다. 하지만 링크드인은 데이터 수집을 먼저 시작하고, 정책을 나중에 바꿨습니다. 2025년 1월, 캘리포니아 북부 연방법원에 집단소송이 제기되었습니다. 원고는 링크드인 프리미엄 구독자였습니다. 그의 주장은 충격적이었습니다. 링크드인이 비공개 메시지까지 AI 학습에 사용했다는 것입니다. 소장에 따르면, 링크드인은 프리미엄 고객들의 개인 메시지를 제3자에게 제공해 AI 모델을 훈련시켰습니다. 사용자들에게 적절한 고지나 동의 절차 없이.

링크드인은 이 주장을 부인했습니다. 그들은 비공개 메시지를 AI 학습에 사용하지 않았다고 밝혔습니다. 소송은 제기 9일 만에 원고 측에 의해 취하되었습니다. 하지만 이 사건이 불러일으킨 논쟁은 사라지지 않았습니다.

핵심 질문은 이것입니다. 플랫폼에 글을 올린 것이 AI 학습에 동의한 것입니까? 링크드인에 이력서를 올린 것은 채용 담당자가 볼 수 있게 하려는 것이었습니다. 친구에게 메시지를 보낸 것은 그 친구와 소통하려는 것이었습니다. 이것이 AI 기업이 수십억 달러짜리 모델을 만드는 데 사용해도 좋다는 뜻입니까?

이 논쟁은 링크드인만의 문제가 아닙니다.

Meta는 2024년 유럽 사용자들에게 "정당한 이익"을 근거로 게시물을 AI 학습에 사용하겠다고 통보했습니다. 유럽 데이터보호당국과 시민단체 noyb의 강력한 반발에 부딪혀 계획을 일시 중단해야 했습니다.

X(구 트위터)는 그록 AI를 출시하면서 사용자 데이터를 기본적으로 학습에 활용하도록 설정해 비판을 받았습니다. 레딧은 구글과 데이터 라이선싱 계약을 맺고 사용자 생성 콘텐츠를 AI 기업에 판매하기 시작했습니다.

2025년 10월, 링크드인은 다시 정책을 변경했습니다. 이번에는 유럽, 영국, 캐나다, 홍콩 사용자들의 데이터도 AI 학습에 사용하겠다고 발표했습니다. 2003년까지 거슬러 올라가는 데이터가 대상이었습니다. 사용자들은 11월 3일까지 옵트아웃하지 않으면 자동으로 동의한 것으로 간주되었습니다. 유럽의 GDPR은 '정당한 이익'을 근거로 한 데이터 수집에 제동을 걸고 있습니다.

하지만 기업들은 계속해서 방법을 찾고 있습니다. 이것은 플랫폼 기업과 AI 기업 사이의 전쟁인 동시에, 정작 데이터의 주인인 사용자들은 소외된 전쟁입니다. 사용자는 자신의 데이터가 AI 학습에 쓰이는 것을 거부할 권리가 있습니다. 하지만 그 권리를 행사하려면 복잡한 설정 메뉴를 찾아 들어가서 여러 단계를 거쳐야 합니다. 대부분의 사람들은 그 설정이 있다는 것조차 모릅니다.

캘리포니아 법학 저널에 실린 2025년 10월 논문은 이 상황을 "거대한 스크래핑(Great Scrape)" 이라고 불렀습니다. 저자들은 이렇게 썼습니다. "스크래핑은 프라이버시 법의 거의 모든 핵심 원칙을 위반합니다. 공정성, 개인의 권리와 통제, 투명성, 동의, 목적 명시 그리고 데이터 최소화." AI 시대에 프라이버시 법은 새로운 도전에 직면해 있습니다. 법은 이 도전에 어떻게 대응할 것입니까?

(2) 잊혀질 권리와 AI 모델: 학습된 개인정보 삭제(Unlearning) 난제

유럽의 GDPR 제17조는 '잊혀질 권리'를 규정합니다. 정보 주체는 자신의 개인정보가 더 이상 필요하지 않거나 동의를 철회한 경우, 기업에 삭제를 요구할 수 있습니다.

전통적인 데이터베이스에서는 이것이 간단합니다. 엑셀 파일에서 행 하나를 지우면 끝입니다. 고객 관리 시스템에서 레코드 하나를 삭제하면 그만입니다.

하지만 AI 모델은 엑셀 파일이 아닙니다.

AI 모델이 데이터를 '학습'한다는 것이 무슨 의미인지 이해해야 합니다. AI는 데이터를 그대로 저장하지 않습니다. 수천억 개의 텍스트를 읽고, 그 안에서 패턴을 추출합니다. 이 패턴들은 수십억 개의 파라미터, 즉 가중치라는 숫자들로 변환됩니다. 이 숫자들이 복잡하게 얽힌 신경망이 AI 모델입니다.

비유하자면 이렇습니다. 당신이 요리사에게 케이크를 주문했습니다. 요리사는 밀가루, 설탕, 달걀, 버터를 섞어서 오븐에서 구웠습니다. 케이크가 완성된 후, 당신이 말합니다. "저기요, 이 케이크에서 설탕만 빼주세요." 이것이 가능합니까? 설탕은 이미 밀가루와 달걀과 섞여서 화학적으로 변형되었습니다. 설탕만 빼려면 케이크 전체를 버리고 처음부터 다시 구워야 합니다.

AI 모델도 마찬가지입니다. 특정 개인의 데이터가 모델 학습에 사용되었다면, 그 데이터의 ' 영향'은 수십억 개의 파라미터에 분산되어 녹아들어 갔습니다. 특정 데이터의 영향만 정확히 찾아서 제거하는 것은 현재 기술로는 거의 불가능합니다.

이 문제를 해결하려는 기술이 '머신 언러닝(Machine Unlearning)'입니다. 이미 외워버린 전화번호를 뇌에서 선택적으로 지우는 훈련과 비슷합니다. 연구자들은 특정 데이터의 영향을 추정하고, 그 영향을 상쇄하는 방향으로 파라미터를 조정하는 방법들을 개발하고 있습니다. 하지만 완벽한 삭제를 보장하기는 어렵습니다.

2025년 5월 Tech Policy Press에 실린 논문은 이렇게 선언했습니다. "잊혀질 권리는 죽었다. 데이터는 AI 속에서 영원히 산다." 저자는 GDPR 제17조가 삭제를 규정하지만, AI 맥락에서 삭제가 무엇을 의미하는지 정의하지 않는다고 지적했습니다. 유럽 데이터보호이사회(EDPB) 는 AI 개발자가 GDPR상 데이터 컨트롤러로 간주될 수 있다고 판단했지만, AI 시스템 내에서 삭제를 어떻게 집행할지에 대한 명확한 가이드라인은 아직 없습니다.

OpenAI의 GPT-4는 1.8조 개의 파라미터를 사용합니다. 데이터셋은 페타바이트를 초과합니다. 이 데이터셋은 계속해서 재활용되어 패턴과 추론을 학습합니다.

개인의 데이터가 완전히 삭제되었는지 확인하는 것은 사실상 불가능합니다. 더 큰 문제는 '모델 인버전 공격'이라는 것입니다. 학습된 모델에서 원본 훈련 데이터를 역으로 추출하는 기술입니다. AI가 특정 데이터를 '잊었다'고 해도, 공격자가 그 데이터를 복원할 수 있다면 삭제의 의미가 있습니까?

법은 "삭제하라"고 말할 수 있습니다. 하지만 기술은 "무엇이 삭제입니까?"라고 되묻습니다. 이 간극이 AI 시대의 프라이버시 법이 직면한 가장 어려운 도전입니다.

FTC는 한 가지 해결책을 제시했습니다. 알고리즘 환수입니다.

불법적으로 수집된 데이터로 만든 모델은 그 모델 자체를 폐기하라는 것입니다. 라이트 에이드 사건에서, Weight Watchers의 Kurbo 앱 사건에서 FTC는 이 원칙을 적용했습니다. 오염된 데이터로 만든 AI 모델은 독이 든 열매와 같다는 논리입니다. 특정 데이터만 빼낼 수 없다면, 모델 전체를 버려라.

이것은 AI 기업들에게 큰 압박입니다. GPT-4 같은 모델을 처음부터 다시 학습시키는 데는 수억 달러가 듭니다. 누군가 삭제 요청을 할 때마다 수억 달러짜리 모델을 폐기해야 한다면, 비즈니스 모델 자체가 성립하지 않습니다.

결국 해결책은 사후가 아니라 사전에 있습니다.

처음부터 삭제를 고려한 설계가 필요합니다. 데이터를 잘게 쪼개어 학습시키고, 삭제 요청이 들어오면 해당 조각만 재학습하는 SISA(Sharded, Isolated, Sliced, Aggregated) 방식 같은 기술이 연구되고 있습니다. 학습 데이터의 출처를 추적하고, 동의 상태를 기록하고, 요청이 들어왔을 때 대응할 수 있는 데이터 거버넌스 체계가 필수적입니다. 잊혀질 권리는 AI가 단순히 데이터를 삼키는 괴물이 되지 않도록 제어하는 마지막 보루입니다. 기술적 표준과 법적 가이드라인이 만나는 지점에서, AI 윤리의 미래가 결정될 것입니다. 스크래핑은 수집의 문제로 시작하지만, 언러닝은 책임의 문제로 끝납니다. 기업들은 데이터를 '더 많이' 모으는 것이 능사가 아니라, '안전한' 데이터만 골라내는 정수 작업에 사활을 걸어야 합니다. 더러운 물로 만든 수프는 아무리 맛이 좋아도 팔 수 없기 때문입니다.