공유하기 전에: AI 프라이버시에는 약속만으로는 부족하다

서론: 대화가 곧 당신의 삶이 되어가고 있다

당신은 까다로운 답장을 쓰기 위해 AI 어시스턴트를 엽니다. 메시지를 붙여 넣고, 관계를 설명하고, 다른 곳에서는 공유하지 않았던 몇 가지 세부 정보도 덧붙입니다. 또 다른 날에는 계약서를 업로드하거나, 아직 완성되지 않은 아이디어를 논의하거나, 어시스턴트가 무엇에 주의를 기울여야 하는지 이해할 수 있도록 받은편지함을 연결합니다.

이런 행동들 중 어느 것도 무언가를 공개적으로 게시하는 일처럼 느껴지지 않습니다. 당신은 도움을 요청하고 있을 뿐입니다.

하지만 그 정보는 대화창에서는 거의 보이지 않는 인프라, 저장 시스템, 검토 절차, 법적 의무를 거쳐 갈 수 있습니다. 어시스턴트는 매우 개인적으로 느껴질 수 있지만, 데이터 처리 방식이 그런 기대에 부합하는 것은 훨씬 나중의 일일 수 있습니다.

제 입장은 단순합니다. AI 프라이버시는 기업이 정보를 받은 뒤 무엇을 하겠다고 약속하는지에만 의존해서는 안 됩니다. 애초에 그 정보가 모델에 도달하지 못하도록 시스템이 무엇을 막는지도 중요합니다. 정책은 중요합니다. 하지만 그 뒤에는 기술적 보호 장치가 있어야 합니다.

이 글은 Dvina 팀의 지원을 받아 준비했습니다. 여기서는 ChatGPT, Claude, Cursor, Perplexity, Manus, Meta의 Muse, Dvina 전반에서 문서화된 사례와 현재의 관행을 살펴봅니다. 목적은 AI가 우리 삶에 더 깊이 관여할수록 프라이버시가 왜 핵심적인 엔지니어링 우선순위가 되어야 하는지, 그리고 Dvina가 그 책임에 어떻게 접근하고 있는지를 설명하는 데 있습니다.

사례들이 말해주는 것

이 우려는 가정에 그치지 않습니다. 다만 서로 다른 종류의 증거는 서로 다른 문제를 드러냅니다. 확인된 데이터 노출, 승인된 인간 검토, 연구 오용에 대한 의혹은 같은 사건인 것처럼 제시되어서는 안 됩니다.

ChatGPT의 2023년 노출: 시스템 자체의 실패.

2023년 3월 20일, 소프트웨어 버그로 인해 일부 ChatGPT 사용자가 다른 활성 사용자의 대화 기록 제목을 볼 수 있었습니다. OpenAI는 특정 상황에서는 새로 생성된 대화의 첫 번째 메시지도 보였을 수 있다고 밝혔습니다. 조사 결과, 특정 9시간 동안 활성 상태였던 Plus 구독자 중 1.2%의 결제 관련 정보가 노출되었을 가능성이 확인되었습니다. 전체 카드 번호가 노출되지는 않았습니다. OpenAI는 버그를 수정하고 영향을 받은 사용자들에게 통지했습니다. 1

여기서 얻어야 할 교훈은 같은 취약점이 여전히 열려 있다는 것이 아닙니다. 프라이버시 약속만으로는 시스템이 잘못된 사람에게 정보를 반환하는 일을 막을 수 없다는 점입니다. 격리, 접근 확인, 그리고 노출될 수 있는 식별 가능 정보의 양이 모두 중요합니다.

The New York Times 소송: 삭제는 법적 의무와 맞닥뜨렸다.

2025년, OpenAI는 원래라면 삭제되었을 데이터를 보존하라는 법원 명령에 직면했다. 10월 업데이트에 따르면, 새로운 데이터를 무기한 보존해야 하는 광범위한 의무는 2025년 9월 26일에 종료되었고, 제한된 과거 데이터 집합만 법적 보존 대상 상태로 남아 있었다. 원래의 보존 요건은 특정 제품과 제로 데이터 보존(zero-data-retention) 계약을 제외했다. 2

이후의 전개는 별도로 읽어야 한다. 2025년 12월, Reuters는 저작권 소송에서 판사가 OpenAI에 2천만 건의 익명화된 채팅 로그를 제출하라고 명령했으며, OpenAI의 이의를 기각하고 비식별화와 보호 장치를 근거로 삼았다고 보도했다. 이는 증거개시 명령이지, 모든 사람의 사적인 채팅이 인터넷에 공개된다는 뜻이 아니었다. 3

이 사건들을 함께 보면, 삭제 설정만으로 보존된 정보에 관한 모든 문제가 해결되지는 않는 이유를 알 수 있다. 일단 사본이 존재하면, 사용자가 통제할 수 없는 외부 의무가 그 사본의 처리 방식에 영향을 줄 수 있다. 불필요한 보존을 줄이는 일은 분쟁이 시작되기 전에 그런 노출 자체를 바꾼다.

사람에 의한 검토: 침해가 없어도 접근은 허용될 수 있다.

OpenAI의 소비자용 문서는 보안 조사, 지원, 법적 사안, 그리고 자격을 갖춘 모델 개선을 포함한 특정 목적을 위해 권한 있는 인력과 서비스 제공자의 제한적 접근을 명시적으로 허용한다. Anthropic의 소비자 안내는 사용 정책 집행을 위해 지정된 직원이 대화를 검토할 수 있도록 허용하며, 사용자가 동의한 피드백과 관련된 별도의 접근도 인정한다. 4, 8

이것들은 소문이 아니라 문서화된 접근 경로다. 그렇다고 직원들이 모든 대화를 읽는다는 뜻은 아니다. 하지만 겉보기에 사적인 채팅 인터페이스가 제공자의 접근을 막는 기술적 장벽이 반드시 되는 것은 아니라는 점은 분명히 보여준다.

Anthropic의 현재 문서는 비즈니스 측면의 중요한 사례도 덧붙인다. Anthropic이 지정한 Covered Models는 이전에 제로 데이터 보존을 사용하던 일부 배포 환경에서, 통제된 사람 검토와 예외를 전제로 30일 보존을 요구한다. 이 규칙에는 모델, 플랫폼, 자격 요건의 경계가 있으며, 모든 Claude 제품에 일괄 적용되는 변경은 아니다. 소비자 요금제는 해당 표면이 이미 입력과 출력을 보존하고 있기 때문에 영향을 받지 않는다고 설명된다. 9

안전 모니터링에는 정당한 목적이 있다. 공학적 과제는 그 목적을 충족하면서도 모니터링 시스템과 검토자가 접할 수 있는 민감한 정보를 최소화하는 것이다. 안전을 위한 정당화가 프라이버시 문제를 사라지게 하지는 않는다.

수학 논란: 해결되지 않은 의혹, 그러나 현실적인 신뢰 문제

2026년 9월 OpenAI의 Navier–Stokes 발표를 둘러싼 논란은 또 다른 우려를 제기했다. 비공개 연구를 돕는 어시스턴트가 자체적으로 연구를 수행하는 회사에 속해 있다면, 어떤 일이 벌어질 수 있는가?

이 분쟁은 미공개 수학 작업과 공로 인정에 관한 것이었다. 보도에 따르면 수학자 Tristan Buckmaster와 Levent Alpöge는 작업에 AI 도구를 사용했고, Buckmaster는 그들의 비공개 자료가 OpenAI의 결과에 기여했을 가능성에 의문을 제기했다. 10

OpenAI는 그 설명에 이의를 제기한다. 공개된 입장문에 따르면, 자사 연구원이나 그 대리인은 출판 전에는 두 사람의 작업을 본 적이 없었다. 또한 9월 10일자 업데이트에서는, 앞선 두 달 동안 Buckmaster의 Codex 프롬프트가 훈련을 포함한 어떤 방식으로도 영향을 미치지 않았다는 점을 조사로 배제했다고 밝혔다. 이처럼 기간을 한정한 진술은 일부 보도에서 제시된 초기 설명보다 더 구체적이다. 11

공개된 설명들은 여전히 다툼의 여지가 있다. 여기서 검토한 출처들만으로는 OpenAI가 그 비공개 대화를 사용해 결과를 만들어냈다고 독립적으로 입증되지 않는다.

그럼에도 이 분쟁은 분명한 답이 필요한 질문을 드러낸다. 사람들이 미완성 작업을 AI에 가져갈 때, 그 작업의 정보적 가치는 무엇으로 보호되는가? 증명에서 저자의 이름을 제거한다고 해서 증명 자체가 사라지는 것은 아니다. 상업 전략을 비식별화한다고 해서 그 전략이 공공재가 되는 것도 아니다.

그래서 강력한 프라이버시에는 신원과 내용 모두를 위한 보호가 필요하다. 사용자는 자신의 자료가 훈련, 연구, 평가 또는 검토 워크플로에 들어갈 수 있는지, 그리고 그 경계를 어떤 기술적 통제가 강제하는지 이해할 수 있어야 한다.

결코 하나로 뭉뚱그려서는 안 되는 네 가지 질문

혼란의 상당 부분은 “비공개”를 하나의 속성으로 취급하는 데서 나온다. 실제로는 네 가지 별개의 질문이 대화에 어떤 일이 일어나는지를 결정한다.

훈련: 그 내용이 모델 개발이나 개선에 도움이 될 수 있는가? 옵트아웃은 정보의 허용된 사용 방식을 바꾼다. 하지만 그 정보가 전송되었는지 또는 저장되었는지까지 반드시 바꾸는 것은 아니다.

접근: 어떤 시스템과 사람이 그것을 들여다볼 수 있는가? 전송 중 및 저장 중 암호화는 중요하지만, 그렇다고 권한 있는 서비스가 처리나 검토를 위해 내용을 복호화하는 것을 자동으로 막아주지는 않는다.

보존: 무엇이, 어디에, 얼마나 오래 남는가? 인터페이스에서 채팅을 제거하는 것, 운영 기록을 삭제하는 것, 백업을 만료시키는 것, 그리고 데이터를 향후 훈련에서 제외하는 것은 서로 다른 작업이다.

작업: 연결된 어시스턴트는 무엇을 읽고, 변경하고, 전송할 수 있는가? 어시스턴트가 사용자의 계정을 통해 작업할 수 있게 되면, 프라이버시는 권한과 외부로 나가는 데이터에 대한 통제에도 달려 있다.

유용한 프라이버시 비교는 이런 질문들을 서로 분리해 다룬다. 유료 구독, 학습 비활성화 스위치, 또는 비공개 작업 라벨만으로는 이 네 가지를 모두 설명할 수 없다.

서비스 비교

아래 표는 별도의 범위가 명시되지 않는 한 개인 사용에 초점을 맞춘다. 이는 독립적인 보안 감사 결과가 아니라, 검토한 문서를 요약한 것이다.

서비스	학습 관련 입장	별도로 이해해야 할 경계
ChatGPT	개별 콘텐츠는 개선에 사용될 수 있으며, 제어 설정을 통해 새로운 대화와 Codex 작업은 제외할 수 있다. Temporary Chat은 제외된다. 4, 5	승인된 접근과 보존은 여전히 별개의 문제다. Codex에는 전체 환경에 대한 별도의 학습 설정도 있다.
Claude	소비자용 모델 개선은 사용자 선택에 따라 달라지며, 피드백과 안전 관련 사용에는 별도의 규칙이 적용된다. Incognito는 일반적인 개선 대상에서 제외된다. 6	검토 및 보존 예외는 여전히 적용된다. 일부 상업용 Covered Models에는 추가 보존 요건이 있다. 7–9
Cursor	Privacy Mode는 명시된 예외를 전제로, 고객 데이터가 Cursor 학습에 사용되지 않도록 하고 제공업체의 무보존 약정을 설명한다. 12	요청은 여전히 Cursor의 백엔드를 거친다. 악용 조사, 캐싱, 모델별 고지가 중요하다.
Perplexity	소비자용 AI 학습 수집은 Pro와 Max를 포함해 기본적으로 활성화되어 있으며, 사용자는 향후 수집분에 대해 옵트아웃할 수 있다. 13	옵트아웃해도 서비스 운영이나 법적 준수를 위한 처리는 중단되지 않는다. Enterprise 약관은 다르다.
Manus	Team 문서에는 학습 옵트아웃이 나와 있지만, 이번 검토에서는 개인 요금제의 확정적인 학습 규칙을 확인할 수 없었다. 15	개별 작업이 기본적으로 비공개라는 설명은 공유 가시성에 관한 것이지, 제공업체의 사용을 완전히 제한한다는 뜻은 아니다. 14
Meta’s Muse	출시 문서에는 정제된 상호작용 데이터를 기본적으로 학습에 사용하며, 옵트아웃이 가능하다고 설명되어 있다. 16	학습 전에 데이터를 정제하는 것은 추론 전에 마스킹하는 것과 다르다. 출시 시점의 운영자 제한은 계획된 Confidential VM과도 다르다.
Dvina	대화, 파일, 프롬프트, 워크스페이스 데이터는 AI 모델 학습에 사용되지 않는다. 17, 18	자동 마스킹은 더 이른 경계를 다룬다. 감지된 개인 식별자는 모델 처리 전에 대체된다.

아래의 세부 내용은 이러한 구분이 일상적인 사용에서 왜 중요한지 설명한다.

ChatGPT와 Claude: 어떤 행동을 하느냐에 따라 규칙이 달라진다.

OpenAI는 일반적인 채팅 기록을 삭제하지 않고도 사용자가 학습을 비활성화할 수 있게 한다. Temporary Chat은 대화 처리 방식을 한 단계 더 바꾸지만, 해당 문서에는 여전히 악용 검토가 가능하다고 되어 있으며 30일 삭제 기간도 설명되어 있다. Codex 사용자는 계정 전체에 적용되는 콘텐츠 설정과, 별도로 존재하는 전체 환경 설정도 구분해야 한다. 4, 5

Claude에서는 특히 피드백에 주의를 기울일 필요가 있다. Anthropic은 좋아요, 싫어요, 또는 버그 리포트가 관련 대화를 최대 5년간 저장하는 것을 수반할 수 있으며, 모델 학습을 포함한 목적에 사용될 수 있다고 말한다. 일반적인 모델 개선을 활성화하면, 적격한 비식별화 자료가 최대 5년간 학습 파이프라인에 남아 있을 수도 있다. 이는 일반적인 채팅 삭제 규칙과는 다르다. 6, 7

따라서 한 사람은 하나의 제품 안에서 여러 프라이버시 결정을 내리면서도, 그것들이 서로 별개의 결정이라는 사실을 깨닫지 못할 수 있다. 제품 설계는 이러한 차이를 실제 사용 시점에 분명하게 보여줘야 한다.

Cursor와 Perplexity: 제품 라벨이 곧 처리 경계는 아니다.

Cursor의 Privacy Mode는 학습과 제공업체 보존에 대해 의미 있는 제한을 제공한다. 그렇다고 에디터가 로컬 전용이 되는 것은 아니다. Cursor는 사용자가 제공한 API 키를 쓰더라도 요청이 여전히 자사 백엔드를 거친다고 말한다. 문서에는 임시 암호화 파일 캐싱과, 악용 조사 또는 지정된 모델과 관련된 예외도 설명되어 있다. 12

Perplexity는 다른 구분을 보여준다. Free, Pro, Max 계정은 모두 소비자용 학습 제어의 적용을 받으며, 수집은 기본적으로 활성화되어 있다. 공개된 옵트아웃은 이후에 수집되는 데이터에 적용되며, 이전 학습 데이터의 소급 삭제를 의미하지는 않는다. 개인용 구독을 구매한다고 해서 Enterprise 계정이 되는 것은 아니다. 13

두 경우 모두 핵심 질문은 선택한 모드와 계정이 무엇을 바꾸는가이지, 제품 이름이 암시하는 바가 아니다.

Manus와 Muse: 비공개 워크스페이스에도 여전히 명시적인 경계가 필요하다.

Manus는 공유하지 않는 한 개별 작업은 비공개라고 말한다. Team 문서에는 소유자가 팀 세션 콘텐츠에 접근할 수 있다고도 설명되어 있다. 이는 유용한 가시성 규칙이지만, 개인 학습 정책을 확립해 주지는 않는다. 이번 검토에서는 Manus의 전체 프라이버시 페이지를 가져올 수 없었기 때문에, 이 질문은 다른 요금제의 내용을 끌어와 채우는 대신 검증되지 않은 상태로 남아 있다. 14, 15

Muse의 출시 문서는 운영상 제한과 기술적 차단의 차이를 유난히 명확하게 설명한다. Meta는 출시 시점의 Secure VM이 정책을 통해 직원 접근을 제한하지만, 서비스 운영·지원·보안을 위해 필요할 때의 접근까지 막지는 않는다고 말한다. 운영자 접근을 암호학적으로 차단하기 위한 Confidential VM은 향후 제공 예정이며 제한적으로 테스트 중이라고 설명되었다. 계획된 보호 기능을 이미 모두에게 제공되는 기능으로 간주해서는 안 된다. 16

Muse는 또한 실제 커넥터 자격 증명을 주 에이전트로부터 분리해 두고, 작업 승인도 별도의 권한 체계 아래에 둔다. 이는 중요한 원칙을 보여준다. 편리할 수 있다는 이유만으로 에이전트에 비밀 정보나 권한을 넘겨서는 안 된다. 16

노출되기 전 단계로 보호를 옮겨라

학습 제외는 데이터의 한 가지 사용 방식을 규율한다. 마스킹은 처리에 उपलब्ध한 데이터를 바꾼다. 제한된 보존은 남아 있는 복사본의 수를 줄인다. 권한 제어는 에이전트가 할 수 있는 일을 제한한다. 이러한 보호 장치는 서로를 보완하며, 각각이 작동하는 단계가 중요하다.

예를 들어 이런 요청을 생각해 보자. 특정 이메일 주소의 고객에게 보낼 후속 메일을 작성해 달라는 요청이다. 모델에는 메시지의 목적, 어조, 관련 약속 사항이 필요할 수 있다. 하지만 초안을 작성하는 데 고객의 실제 이름이나 주소까지 필요하지는 않을 수 있다. 추론 전에 감지된 식별자를 플레이스홀더로 바꾸면, 작업의 유용한 구조는 유지하면서도 모델이 받는 정보는 줄일 수 있다.

이는 원문을 그대로 보내고, 나중에 어떤 단계에서 식별자를 제거하겠다고 약속하는 것과는 다르다.

같은 원칙은 개인 식별자를 넘어서는 영역에도 적용된다. 기밀 연구에는 연구 내용 자체에 대한 통제가 필요하고, 연결된 계정에는 범위를 좁힌 권한이 필요하며, 보관된 기록에는 명확한 보존 기간과 강제 가능한 접근 제한이 필요하다. 신원 마스킹은 그런 설계의 한 요소일 뿐, 발명이나 문서의 실질적 내용을 보호하는 일을 대신할 수는 없다.

업계 전반에서도 관련된 작업이 진행되고 있다. OpenAI는 2026년 4월 로컬에서 실행 가능한 Privacy Filter를 공개했고, Meta의 Muse 문서는 기술적 격리와 더 강력한 기밀 컴퓨팅 설계를 개발 중이라고 설명한다. 이런 노력은 프라이버시를 시스템에 엔지니어링해야 한다는 주장을 뒷받침한다. 그러나 도구 출시나 로드맵이 있다고 해서, 모든 소비자 대화가 이미 그에 상응하는 보호를 받고 있다는 증거가 되는 것은 아니다. 16, 19

기준이 되어야 하는 것은, 사람이 오늘 실제로 사용 중인 제품에서 받는 보호다.

Dvina: 프라이버시를 일상적인 상호작용의 일부로 만들기

Dvina의 접근법은 이런 초기 단계의 보호를 어시스턴트 경험 안으로 가져온다. 문서화된 설계에 따르면, 사용자가 내용을 입력하거나 업로드할 때 민감한 개인정보를 로컬에서 감지하고, 감지된 개인정보를 암호화한 뒤 모델 처리 전에 플레이스홀더로 대체한다. 모델은 원래의 감지된 식별자 대신 그 플레이스홀더를 바탕으로 작업한다. 17, 18

차이는 실질적이다. 사용자는 모든 작업을 할 때마다 이름과 연락처를 손수 지우기 위해 흐름을 끊을 필요가 없어야 하고, 모델이 그 정보를 받은 뒤 무슨 일이 일어날지에 대한 약속에만 의존해서도 안 된다. 보호는 상호작용과 함께 이루어져야 한다.

Dvina는 또한 사용자 대화, 파일, 프롬프트, 워크스페이스 데이터를 모델 학습에서 제외한다. 이 조합이 중요하다. 학습 금지 약속은 재사용을 제한하고, 사전 처리 보호는 애초에 모델에 노출되는 개인정보의 양을 줄인다. 17, 18

다른 계층들도 이런 접근을 뒷받침한다. Dvina는 암호화된 대화 저장, 저장된 메시지와 사용자 신원의 분리, 그리고 GDPR 수준의 보호가 적용되는 EU 호스팅 데이터를 설명한다. 각각은 하나의 학습 설정에 모든 부담을 지우는 대신, 처리 과정의 서로 다른 부분을 다룬다. 17, 18

기술적 차이는 분명하다. 감지된 개인 식별자는 모델 입력에서 대체되지만, 주변의 작업 맥락은 계속 처리 가능하게 남는다. 프라이버시는 사용자가 기억해서 관리해야 하는 단순한 설정이 아니라, 데이터 흐름의 일부가 된다.

내게는 이것이 AI가 나아가야 할 더 유용한 방향이다. 사람들이 자신의 일에 의미 있는 맥락을 가져올 수 있게 하되, 시스템은 그 작업에 필요한 수준 이상으로 신원을 드러내지 않도록 설계하는 것이다.

결론: 사람들이 AI를 삶 속으로 얼마나 들일지는 프라이버시가 결정할 것이다

AI 어시스턴트는 우리의 상황을 더 많이 이해할수록 더 유용해진다. 그렇기 때문에 그 이해의 바탕이 되는 정보를 보호할 책임도 생긴다. 더 큰 접근 권한을 요구하면서 또 하나의 설정 페이지만 내놓는 것으로는 충분한 답이 될 수 없다.

증거는 몇 가지 서로 다른 위험을 가리킨다. 소프트웨어는 계정 간에 데이터를 노출할 수 있다. 저장된 대화는 법적 요구의 대상이 될 수 있다. 보안 침해가 없어도 승인된 검토는 존재할 수 있다. 비공개 연구를 둘러싼 분쟁은, 그 주장이 독립적으로 입증되지 않았더라도 신뢰를 훼손할 수 있다.

이런 위험에는 더 나은 문구가 아니라 엔지니어링 작업이 필요하다. 민감 데이터 감지, 사전 처리 보호, 신원 분리, 제한된 보존, 강제 가능한 권한은 AI 안전의 기초 역량으로서 지속적인 주목을 받아야 한다. 어시스턴트의 유용성과 사용자의 보호는 함께 발전해야 한다.

Dvina는 모델 처리 이전의 보호를 제품 기반의 일부로 만들어, 그 전환을 이끄는 데 기여하고 있다. 목표는 더 강한 주장으로 더 많은 신뢰를 요구하는 것이 아니다. 오직 약속에만 기대야 하는 신뢰의 양 자체를 줄이는 것이다.

사람들은 모든 대화를 프라이버시를 내주는 잠재적 행위로 여기지 않고도, 도움을 구하고, 아이디어를 발전시키고, 앞으로 나아가는 데 필요한 맥락을 공유할 수 있어야 한다. 그런 확신을 구축하는 일은 AI 앞에 놓인 가장 중요한 과제 중 하나다.

출처 및 범위

출처 검토일은 22 September 2026이다. 이 글은 제공업체 문서와 출처가 명시된 보도를 바탕으로 하며, 독립적인 보안 감사는 아니다. 비교 범위는 주로 개인 요금제다. 상업용, API, 모델별 예외는 별도로 표시했다. 수학 섹션은 보고된 우려와 OpenAI의 업데이트된 답변을 구분하며, 어느 쪽도 독립적 발견으로 제시하지 않는다. Manus의 개인 요금제 학습 규칙은 전체 개인정보 처리방침을 확인할 수 없었기 때문에 검증되지 않은 상태로 남아 있다.