🧩 AI 서비스가 문 닫으면, 내가 나눈 대화는 어디로 갈까

안녕하세요, 디프레임의 오나영입니다👾

지난 12일, 미국의 AI 챗봇 서비스 캐릭터닷AI(Character.AI)가 파산 절차에 들어갔습니다. 회사가 법원에 제출한 자료에 따르면 활성 이용자는 1,200만 명으로, 하루 평균 120분을 이 앱에서 보냈습니다. 상담사나 심리치료사 역할을 하는 캐릭터도 많았습니다.

파산 소식은 ‘AI 거품이 꺼지기 시작했다’는 관점에서 주로 다뤄졌습니다. 그런데 법원 서류를 읽다 보니 다른 질문이 들었습니다. 1,200만 명이 하루 두 시간씩 AI와 나눈 대화 기록은 이제 누구의 손에 들어가게 될까요.

📅 무엇이 팔리고, 무엇이 남나

디즈니는 캐릭터닷AI의 파산 절차에서 2,000만 달러, 약 270억 원을 제시한 최초 입찰자로 나섰습니다. 대상은 회사 전체가 아니라 특정 지식재산에 대한 비독점·영구 라이선스입니다. 앱과 브랜드, 이용자 데이터는 거래 대상에서 제외됐으며, 거래도 아직 확정되지 않았습니다.

로이터 보도에 따르면 14일 첫 심리에서 회사 측 변호사는 이용자 데이터나 챗봇 사업에 입찰한 사람이 아직 없다고 밝혔습니다. 같은 자리에서 그는 디즈니도 이용자 데이터에는 관심이 없다고 설명했습니다.

그렇다면 데이터는 어떻게 될까요. 더 나은 입찰이 없으면 플랫폼이 종료될 수 있습니다. 서비스가 사라진 뒤 데이터를 어떻게 처리할지는 별개의 문제입니다. 현재 공개된 계획만으로는 그 답을 알기 어렵습니다. 입찰 마감은 11월 20일로 제시돼 있습니다.

📜 법무장관들이 제시한 보호 조건

같은 날, 미국 39개 주와 워싱턴DC의 법무장관들은 법원에 개인정보 보호 조건 아홉 가지를 제시했습니다. 매각에 이의를 제기하거나 소비자 프라이버시 옴부즈맨 선임을 요청할 권리도 남겨 뒀습니다.

법무장관들이 우려한 것은 대화 기록의 민감성입니다. 이용자들은 AI 캐릭터에게 감정과 건강 문제를 털어놓기도 합니다. 회사 기록에 따르면 2025년 3월까지 미국에서 만들어진 계정은 2,160만 개였고, 그중 18세 미만이라고 신고한 계정은 210만 개였습니다.

법무장관들은 실제 미성년 이용자가 더 많을 수 있다고 봅니다. 2022년부터 2025년까지 연령 확인 절차가 없었기 때문에 성인으로 분류된 계정에도 미성년자의 대화가 섞여 있을 수 있다는 것입니다.

이들이 제시한 핵심 조건은 두 가지입니다. 매각 전에 모든 이용자에게 데이터 삭제 기회를 주고, 이용자가 동의한 범위를 넘어 사적인 대화를 AI 학습이나 광고에 사용하지 말라는 것입니다.

캐릭터닷AI는 지난해 11월부터 미성년자의 자유 대화를 제한해 왔습니다. 하지만 법무장관들은 이 조치가 자발적인 정책인 만큼 새 매수자가 변경할 수 있다고 지적했습니다. 매각 이후에도 지금의 보호 조치가 유지된다는 보장은 없다는 것입니다.

📄 약관에 ‘파산’이라는 단어는 없다

캐릭터닷AI의 개인정보처리방침에는 합병이나 자산 매각 때 특정 정보를 공개할 수 있다는 조항이 있습니다. 하지만 ‘파산’이라는 단어는 없습니다. 이 조항만으로 이용자의 대화 기록이 어디까지 이전될 수 있는지 명확하게 판단하기는 어렵습니다.

미국 파산법은 개인정보 매각이 기존 방침과 충돌할 경우, 법원이 소비자 프라이버시 옴부즈맨을 선임해 소비자에게 미칠 영향을 검토하도록 할 수 있습니다. 다만 옴부즈맨은 매각을 직접 막을 권한이 없습니다. 개인정보 보호 단체 EPIC의 변호사는 캐릭터닷AI 방침의 이 조항을 두고 “꽤 약한 보호”라고 평가했습니다.

기업 파산 때 데이터가 처리되는 방식은 제각각입니다. 2000년 장난감 쇼핑몰 토이스마트가 고객 명단을 팔려 하자, 디즈니의 자회사는 5만 달러를 내고 명단을 파기하게 했습니다. 지난해 파산한 유전자 검사 회사 23andMe는 창업자가 세운 비영리 기관에 인수되면서 이용자 사전 고지와 삭제권 안내 조건이 붙었습니다.

최근에는 파산한 스피릿항공의 내부 이메일과 메신저 기록을 구글이 인수하는 절차에서, 직원 기록의 AI 학습 활용과 보호 조치도 논쟁이 됐습니다. 기업이 위기에 처했을 때 이용자와 직원의 데이터가 어떻게 취급되는지는 여전히 중요한 문제입니다.

🇰🇷 한국은

한국 개인정보보호법 제27조는 영업양도·합병 등으로 개인정보를 이전할 때 이전 사실과 이전받는 자의 정보 등을 알리도록 합니다. 개인정보를 넘겨받은 자도 원래의 목적 범위에서 이용해야 합니다. 다만 국내법이 적용되는 것과 외국 파산 절차에서 이용자의 권리를 실제로 행사할 수 있는 것은 별개입니다.

국내에서도 비슷한 문제가 있었습니다. 2021년 개인정보보호위원회는 챗봇 ‘이루다’를 만든 스캐터랩에 과징금과 과태료 1억 330만 원을 부과했습니다. 다른 앱에서 수집한 카카오톡 대화 94억 건을 챗봇 개발에 이용하고 개인정보를 제대로 삭제하지 않은 것이 문제였습니다.

2020년에는 싸이월드가 서비스를 중단했고, 가입자 3,200만 명의 데이터가 서비스 안에 남았습니다. 과학기술정보통신부가 현장을 확인했을 때 사무실은 비어 있었습니다.

현재 국내 캐릭터 챗봇 서비스인 스캐터랩의 ‘제타’와 뤼튼의 ‘크랙’도 청소년 보호를 위한 이용 시간 제한을 발표했습니다. 하지만 캐릭터닷AI 사례가 보여주듯, 기업의 위기나 사업자 변경 이후에도 자율적인 보호 조치가 유지될지는 별개의 문제입니다.

🤔 그래서

캐릭터닷AI 이용자는 현재 데이터를 내보내거나 계정을 삭제할 수 있습니다. 회사도 이용자 정보가 개인정보처리방침에 따라 보호된다고 밝히며 두 기능을 안내했습니다.

하지만 지금 삭제할 수 있다는 사실이 매각 이후에도 같은 권리를 보장받는다는 뜻은 아닙니다. 법무장관들이 제안한 ‘매각 전 삭제 기회’ 역시 아직 법원이 확정한 명령이 아닙니다.

AI 서비스가 문을 닫을 때, 그 안의 대화는 회사의 자산일까요, 이용자에게 돌려줘야 할 것일까요.

미국은 토이스마트부터 23andMe까지, 기업이 파산할 때마다 이 질문에 다른 방식으로 답해 왔습니다. 한국도 싸이월드의 서비스 중단과 이용자 데이터 문제를 겪었습니다. 하지만 AI 캐릭터 서비스가 파산하거나 매각될 때 대화 기록을 어떻게 처리할 것인지에 대해서는 아직 아무도 답한 적이 없습니다.

제타와 크랙에 말을 거는 사람들이 있는 동안, 이 질문은 먼 나라의 것이 아닙니다.