기업 고객 데이터, 보느냐 마느냐…오픈AI와 앤스로픽의 엇갈린 선택

생성형 AI 서비스를 기업 업무에 도입하는 사례가 늘면서, '내 데이터를 AI 회사가 얼마나 들여다보는가'라는 질문이 기업 도입 결정의 핵심 변수로 부상하고 있다. 오픈AI(OpenAI)와 앤스로픽(Anthropic)이 이 문제에서 서로 다른 길을 선택했다는 사실이 주목받고 있다.

무슨 일이 있었나

오픈AI는 기업용(API 및 엔터프라이즈) 고객의 데이터를 원칙적으로 열람하지 않겠다는 입장을 분명히 했다. 기업이 서비스에 입력한 프롬프트나 대화 내용을 오픈AI 측이 확인하거나 모델 학습에 활용하지 않는다는 것이다. 반면 앤스로픽은 안전·정책 검토 등의 목적으로 기업 고객의 데이터를 최대 30일간 보관할 수 있다는 방침을 유지하고 있다. 두 회사 모두 소비자용 무료 서비스와 기업용 서비스를 구분해 정책을 운영하지만, 기업 고객을 향한 접근 방식은 사실상 정반대다.

왜 중요한가

이 차이는 단순한 약관 조항 이상의 의미를 지닌다. 법률, 금융, 의료, 제조 등 민감한 정보를 다루는 기업일수록 외부 서버에 데이터가 얼마나 남느냐를 매우 중요하게 여긴다. 내부 기밀이나 고객 개인정보가 AI 회사의 서버에 일정 기간 보관된다면, 해킹 피해나 내부 직원 접근 가능성 등 보안 리스크가 발생할 수 있다. 규제 환경도 변수다. 유럽 GDPR이나 한국 개인정보보호법은 데이터 보관 기간과 목적에 엄격한 기준을 요구하고 있어, AI 회사의 보관 정책이 법적 리스크와 직결될 수 있다.

기업 고객 유치 경쟁이 치열해진 상황에서 두 회사의 정책 차이는 마케팅 전략의 일환이기도 하다. 오픈AI의 '무열람' 원칙은 프라이버시에 민감한 대기업 고객을 겨냥한 신뢰 메시지로 읽힌다. 앤스로픽의 30일 보관 방침은 안전·정책 준수를 이유로 내세우지만, 투명성 논란을 피하기 어렵다는 시각도 있다.

쟁점

첫 번째 쟁점은 '열람하지 않는다'는 약속의 검증 가능성이다. 오픈AI가 데이터를 열람하지 않겠다고 밝혀도, 이를 외부에서 실시간으로 확인할 수단은 사실상 없다. 기업 고객은 계약서와 약관, 제3자 보안 인증(SOC 2 등)에 의존할 수밖에 없다.

두 번째는 30일 보관의 실제 활용 범위다. 앤스로픽은 안전 검토를 목적으로 제시하지만, 해당 데이터가 모델 개선에 활용될 수 있는지, 내부 직원이 어느 범위까지 접근 가능한지에 대한 세부 내용은 충분히 공개되지 않았다는 지적이 나온다.

세 번째는 정책 변경 가능성이다. 두 회사 모두 약관을 수시로 업데이트할 수 있어, 오늘의 '무열람' 또는 '30일 보관' 원칙이 향후에도 유지된다는 보장이 없다는 점에서 기업들의 장기적 의존 리스크가 제기된다.

다음에 볼 것

AI 기업들의 데이터 정책 경쟁은 앞으로 더 구체화될 전망이다. 각국 규제 당국이 AI 서비스의 데이터 처리 방식에 대한 가이드라인을 강화하고 있어, 기업들이 정책을 어떻게 조정하는지 주목해야 한다. 또한 구글(Gemini), 메타(Llama 기반 서비스) 등 다른 빅테크 AI 기업들의 기업용 데이터 정책도 비교 검토 대상으로 부각될 수 있다. 한국 기업들의 경우 개인정보보호위원회의 AI 데이터 처리 지침 변화에도 주의를 기울일 필요가 있다.