챗GPT에서 개인정보 유출된 거 아시나요?🙊

프라이버시 이슈를 보다, 프리-뷰

2023. 4. 27.

2023/04/27 THU

웹에서 보기 | 구독하기

안녕하세요. 오늘의 프리-뷰는 ChatGPT를 개인정보 측면에서 바라본 내용과, 다국적 기업에 대한 국내 이용자의 개인정보 열람권을 처음으로 인정한 대법원 판결까지 자세하게 다뤘어요😊

올해 모두가 한 번쯤은 들어봤을 단어, “ChatGPT”. 공개된 이후, 출시 40일 만에 DAU 1,000만 명, 2개월 만에 MAU 1억 명을 달성하며 돌풍을 일으켰습니다. 이를 두고 AI의 빠른 발전을 반기는 한편, 부작용을 우려하는 의견도 적지 않았는데요. 핫한 챗GPT, 개인정보 측면에서 프리-뷰가 살펴봤습니다.

챗GPT가 뭐야?

(ChatGPT에 대해 아예 모르는 사람은 없을 거라고 생각되지만🤭) 챗GPT는 22년 11월 30일 공개된 GPT-3.5 기반 대화형 인공지능 챗봇입니다. 여기서 GPT는 Generative Pre-trained Transformer의 약자로, 머신러닝을 통해 방대한 데이터를 미리 학습해 이를 문장으로 생성하는 생성 AI를 말해요. ‘Chat’ GPT는 사용자가 질문을 입력하면 생성 AI가 사람과 채팅하는 것처럼 문장 형태로 답을 해주는 게 특징이죠.

챗GPT는 대화형 인공지능 모델 중에 가장 유명한 GPT 시리즈를 개발한 OpenAI에서 만들었어요. 특히 자연어 처리에서 높은 강점을 가지고 있죠. 약 1,750억 개의 매개변수를 가진 GPT-3을 기반으로 더욱 정교한 학습 알고리즘을 거쳐 GPT-3.5, 현재 챗GPT가 탄생했어요. 그럼, 챗GPT가 탄생하기까지 필요했던 방대한 학습 데이터들은 과연 어떻게 모은 걸까요?

개인정보 관련 쟁점

1. 공개된 개인정보는 자유롭게 이용할 수 있는 걸까?

챗GPT는 2021년 9월까지 공개된 도서, 기사, 웹사이트 게시글 및 댓글 중 약 3,000억 단어를 크롤링 등의 방법으로 수집했다고 해요. 수집한 정보들은 누구나 접근할 수 있는 ‘공개된’ 정보라지만, 여기에는 ‘공개된 개인정보’도 포함되어 있어 논란이에요. 공개된 개인정보란, 일반인이 쉽게 접근할 수 있는 정보에 개인정보가 포함된 걸 말해요. 하지만 인터넷에 올렸다고 해서 내 개인정보를 누구든 마음대로 사용해도 된다는 말일까요?🤔

GPT와 같은 대규모 언어 모델은 학습데이터를 그대로 암기하고 있을 가능성이 높아, 생성 결과에 암기한 개인정보가 포함될 가능성이 높아요. 실제로 GPT-2를 대상으로 대규모 언어 모델에 학습된 데이터가 자연스럽게 추출될 가능성을 연구한 결과, 생성 결과의 최소 0.1%가 학습된 데이터를 그대로 포함하고 있는 게 확인됐어요. 이 데이터에는 이름, 연락처와 같은 개인정보와 저작물이 포함되어 있었고요.

영국, 프랑스, 캐나다에서는 정보 주체의 동의 없이 공개된 개인정보를 수집·이용하는 것을 개인정보 보호법 위반으로 보고 있어요. 반면 호주에서는 공개된 개인정보에는 개인정보 보호법이 적용되지 않는다고 명시되어 있고, 미국 아이오와주에서는 공개된 개인정보를 개인정보의 범위에서 배제하는 법안의 입법이 추진 중이에요. 우리나라에서는 공개된 개인정보라 하더라도 정보 주체의 명확한 동의 의사 또는 사회 통념상 동의의사가 있다고 인정되는 경우에만 수집·이용이 가능해요.

2. 비영리단체인가, 영리단체인가

OpenAI는 2015년 설립 당시 인공지능을 개발해서 오픈소스로 제공하여 사람들에게 도움을 주기 위해 비영리단체로 시작했어요. 하지만 인공지능 개발 과정에서 큰 비용이 발생하게 되자 2019년 MS로부터 총 100억 달러에 달하는 금액을 투자받았고, 이 과정에서 제한적 영리 추구 회사로 바뀌었어요. 비영리 학술 목적으로 수집한 사람들의 개인정보로 영리단체인 기업이 돈을 번다?🤔 OpenAI의 공동창업자 일론 머스크도 영리단체 모습으로 변하는 것에 거부감을 느끼고 떠났어요. “OpenAI는 더 이상 OpenAI가 아니다. Closed AI, Closed 소스가 되어버렸다.”는 말과 함께요.

3. 잘못 사용하게 된다면…

챗GPT에 입력되는 내용은 AI 학습에 사용된다고 명시되어 있어요. 이는 곧 챗GPT에 입력되는 내용은 챗GPT를 사용하는 다른 사용자에게도 공개될 수 있다는 말로, 만약 챗GPT에 민감한 개인정보나 영업비밀 등을 입력하면 그대로 유출될 수 있음을 의미해요. 현재 챗GPT는 민감/기밀 정보를 일반정보와 구분하지 않고 학습하기 때문에, 사용자 스스로 이용에 주의를 기울여야 합니다.

출처: chatGPT

개인정보 유출 우려는 현실

실제로 지난 3월, 삼성 반도체 사업부의 내부 소스코드와 사내 회의록이 챗GPT에 입력되어 유출된 사실이 밝혀졌어요. 3월 20일에는 챗GPT 상에서 일부 사용자의 채팅 기록이 다른 사용자에게 무작위로 표시되는 유출 사고도 발생했고요. 오류가 발생한 9시간 동안 챗GPT 플러스(유료 계정)를 사용한 회원 중 1.2%의 이름, 이메일 주소, 청구 주소, 신용카드의 마지막 4자리와 유효기간 등 결제 정보가 노출되었어요. OpenAI 측은 단순 버그였다고 밝혔지만, 우려하던 개인정보 유출이 챗GPT에서 언제든 발생할 수 있다는 게 증명된 사건이었어요.

전 세계적 동향🌏

개인정보 유출 사고를 계기로 이탈리아는 챗GPT의 접속을 차단했습니다.🚫 챗GPT가 알고리즘 학습을 위한 목적으로 개인정보를 대량으로 수집하고 저장하는 행위를 정당화할 법적 근거가 없으며, 사용자들의 연령을 확인하지 않아 미성년자에게 부적절한 답변을 제공할 수 있다는 이유에서요.

OpenAI가 이탈리아 개인정보 보호법의 의무 사항(투명성 개선, 사용자 동의 수집, 연령 제한 적용 등)을 이행할 때까지 이탈리아에서 챗GPT를 사용할 수 없어요. 이미 중국, 북한, 러시아, 이란은 검열 등의 목적으로 챗GPT 사용을 금지하고 있었는데, 이탈리아가 개인정보 보호를 이유로 챗GPT를 금지한 최초의 국가가 되었네요.

국가적 차원 말고도 각 기업에서 챗GPT 사용을 제한하는 경우는 전 세계적으로 많아요. 미국의 JP모건, 버라이즌은 사용을 아예 금지했으며, 아마존, 골드만삭스, 일본의 소프트뱅크 등 기업은 민감정보나 기밀정보의 입력을 제한했어요. 우리나라의 SK하이닉스는 사내 사용을 사실상 금지했고, 삼성전자, SK텔레콤, 포스코 등도 자체 가이드라인을 마련해 사용을 제한하고 있어요. 금융이나 컨설팅과 같이 영업 기밀과 민감한 개인정보를 다루는 업계일수록 챗GPT 사용을 강력하게 제한하고 있어요.

💌 개인정보 침해 우려 외에도 기술 악용, 저작권, 인종차별 등 여러 문제점에도 불구하고 챗GPT는 빠른 속도로 이용자가 증가하고 있어요. 챗GPT를 활용한 새로운 서비스를 제공하는 기업도 점점 늘고 있고요. 한편 미국 유명인 3천여 명은 ‘당장 AI 개발 연구를 6개월간 중단하고 기술이 인간에게 끼치는 영향을 논의해야 한다’며 OpenAI에 공개서한을 보내기도 했는데요. 챗GPT는 인류에게 득이 될까요? 독이 될까요?🤔 편리하다고 무분별하게 사용했다가는 우리에게 더 큰 피해로 돌아올 수 있다는 점 하나는 분명해 보입니다.

헤이 구글, 내 개인정보 누구에게 제공했는지 보여줘

다국적 기업에 대한 국내 이용자의 개인정보 열람권을 처음으로 인정한 대법원 판결이 나왔습니다. 국내 시민단체 활동가 6명이 구글·구글코리아를 상대로 제기한 개인정보 제3자 제공내역 공개 및 손해배상 소송에서 1, 2심을 뒤집고 승소한 거예요.

소송의 배경

2013년 6월, CIA 직원 스노든의 폭로 중, 구글이 미국 국가안보국 등의 정보기관에 이용자 정보를 제공했다는 사실이 드러났어요. 일명 ‘스노든 사건’으로 불리기도 하죠. 이 사건을 본 시민단체 활동가들이 한국 이용자의 개인정보도 미국 정보기관에 넘어갔을지도 모른다는 생각에 개인정보 제공내역을 구글 측에 요청했어요. 하지만 구글은 이 요청을 거절했고, 길고 긴 소송이 시작되었죠.

소송 연대기

😠시민단체(원고) : "구글 본사와 구글코리아는 제3자에게 제공한 개인정보 내역을 공개하고 각 50만 원을 배상해"

📌 1심 판결 :

구글 본사만 공개해 (미국 법령에 의해 비공개 의무가 있는 사항은 제외)
손해배상은 하지 않아도 돼

📌 2심 판결 :

구글 본사뿐만 아니라 구글코리아도 공개해 (미국 법령에 의해 비공개 의무가 있는 사항은 제외)
손해 배상은 하지 않아도 돼

📌 대법원 판결 :

구글 본사, 구글코리아 모두 공개해 (미국 법령에 의해 비공개 의무가 있는 사항이더라고 무조건 제외해선 안돼. 공개요청에 응해야 해)
손해 배상은 하지 않아도 돼

주요 쟁점

미국 기업이 한국에 개인정보를 공개할 책무가 있는지

→ 대법원이 1, 2심과는 다른 판단을 한 부분이에요. 1심과 2심은 미국 법령을 우위에 두었지만, 대법원은 미국 법령이 한국법상 의무 이행을 거절하는 무조건적 근거가 되지 않는다고 판단했어요. 외국 법령의 비공개 의무가 한국 헌법·법령에 부합하는지, 개인정보 보호 필요성보다 그 외국 법령을 존중해야 할 필요성이 월등한지, 이용자가 공개를 요구하는 정보에 대해 해당 업체가 실질적으로 비공개 의무를 지는지 등을 종합적으로 고려해야 한다는 점도 함께 강조했어요.
한국 법원에서 이 소송을 진행할 수 있는지

→ 구글 이용약관에는 구글 관련 소송은 모두 미국 캘리포니아주 샌태클래라 카운티의 연방 또는 주 법원에서 이뤄져야 한다는 내용이 있어요. 그래서 구글 측은 한국 법원에서 소송을 진행하는 것 자체에 대해 문제를 제기하였지만, 대법원은 2심과 같이 국내 소비자를 보호하는 국제사법 규정에 따라 한국 법원에서 소송을 제기할 수 있다고 판단했어요.
서비스 제공 주체가 구글 본사인지 구글코리아인지

→ 1심 판결을 2심에서 뒤집은 부분이죠. 1심에서는 구글 서비스 약관에 서비스 제공 주체가 구글 본사로 명시되어 있으므로 구글 서비스 이용계약 당사자는 구글 본사라고 판단했어요. 하지만 2심에서는 위치기반서비스 이용약관에서는 구글코리아가 서비스 제공 주체로 명시되어 있고, 구글코리아가 전기통신사업법에 따른 부가통신사업신고를 했으므로 구글코리아 또한 개인정보 제공 내역을 공개할 의무가 있다고 판단했어요.
구글이 손해배상을 해야 하는지

→ 모든 재판부는 구글이 공개 요청에 응하지 않았다는 이유만으로 원고가 정신적 손해를 입었다고 보기는 어려우므로 손해배상청구를 기각했어요.

판결의 의의

이번 판결의 가장 큰 의의는 구글과 같은 다국적 기업이 이용자의 권리를 보장하도록 한 점이에요. 전 세계적으로 서비스를 제공하는 기업이 약관에서 본사 소재지(외국)에서 재판을 관할한다고 명시하는 경우가 일반적이다 보니, 권리를 침해당하는 경우 외국 법원에 직접 소송을 제기해야 하는 어려움이 있었어요. (한국인이.. 미국 법원에.. 영어로 고소장을 제출..?🤮) 하지만 이제 국내 법원에서 해당 사업자를 상대로 소송을 제기할 수 있게 되었어요. 훨씬 편리하게 이용자의 권리를 보장할 수 있게 된 거죠. 권리 침해를 주장해도 무응답 일색이던 해외 기업들의 모습이 달라지길 기대해 봅니다🤭

안드로이드 앱 60개에서 악성코드 발견

보안업체 맥아피(McAfee)의 조사 결과, 유명 안드로이드 앱 60개에서 ‘골도슨’이라는 악성 소프트웨어가 발견되었다는 소식입니다. 골도슨(Goldoson)은 핸드폰에 설치된 응용 프로그램 목록과 위치, 와이파이 및 블루투스 장치 정보를 수집하고, 사용자 동의 없이 백그라운드에서 광고를 클릭하여 조회수를 부풀리는 악성 코드에요.

골도슨이 발견된 앱 중에는 ‘L.POINT’, ‘T MAP’, ‘지니뮤직’, ‘롯데시네마’, ‘메가박스’, ‘컬쳐랜드’, ‘곰플레이어’ 등 다운로드 횟수가 천만 이상인 유명 앱들도 많아요. 현재 해당 앱들은 업데이트를 통해 악성코드를 제거했거나, 앱을 사용할 수 없는 상태로 전환되었으니, 해당 앱을 사용하고 계신 분들은 최신 업데이트를 꼭 진행해 주세요! 👉앱 목록 보러 가기

현대자동차 유럽 고객정보 유출

이탈리아와 프랑스에서 현대자동차 고객들의 개인정보가 유출되는 사고가 발생했습니다. 유출된 정보는 이메일 주소, 거주지, 전화번호, 차량번호로 금융정보는 유출되지 않았다고 해요.

현대자동차에 대한 보안 이슈는 몇 년 전부터 계속되고 있어요. 2021년에는 아랍에미리트 법인에서 개인정보가 유출되었고, 러시아 법인에서도 130만 명의 개인정보가 유출되었어요. 2019년에는 영업 비밀 탈취를 노린 해커의 공격을 받기도 했고요. 미국에서는 현대차 일부 기종에 보안 소프트웨어가 없다는 점을 노리고 차량을 훔치는 틱톡 챌린지 ‘기아 보이즈(KIABOYZZ)’가 유행하기도 했어요. 현대자동차는 해당 소프트웨어 업데이트를 제공하겠다 밝혔지만, 계속되는 사이버 공격에 대한 대응 및 예방책 마련도 시급해 보여요.

공공장소에서 해킹 충전기 조심하세요

핸드폰 배터리가 부족할 때 식당·카페·공항 등 공공장소에서 핸드폰 충전을 부탁한 적, 다들 한 번쯤 있으시죠? 하지만 아무 곳에서나 충전했다가는 큰일 날 수 있어요. 충전만 했는데 내 핸드폰이 통째로 해킹될 수 있거든요. ‘해킹 충전기’, 즉 해킹 칩이 내장된 충전 케이블을 통해 핸드폰을 충전하게 되면 해커가 원격으로 스마트폰에 접속해 키보드로 입력되는 모든 정보를 저장하고, 카메라나 마이크를 켜는 등 기기를 통제하여 개인정보를 빼갈 수 있어요.

실제로 최근 태국에서 해킹 충전기를 이용한 피해 사례가 발생했고, 미국 FBI도 공용 충전기 사용을 경고했어요. 우리나라에서도 몇 년 전부터 해킹 충전기에 대한 우려가 제기됐지만, 아직 규제가 이뤄지지 않고 있어 누구나 쉽게 구매할 수 있어요. 겉으로 봐서는 해킹 충전기인지 아닌지 전혀 구분할 수 없기에 공용케이블 이용을 최대한 자제하는 방법밖엔 없을 것 같네요.