OpenAI, 이탈리아에서 GDPR 위반 혐의 가능성

AI 챗봇 ChatGPT를 개발한 조직인 OpenAI는 이탈리아 데이터보호당국으로부터 유럽연합의 일반 데이터 보호 규정(GDPR) 잠재적 위반 혐의로 감시를 받고 있습니다. 수개월간의 조사 끝에 이탈리아 당국은 이의를 제기하는 통지를 발송했으며, OpenAI가 EU 개인정보 규정을 위반했을 가능성이 있다고 의심하고 있습니다. 초안 결과의 세부 사항은 공개되지 않았으나, OpenAI는 30일 이내에 답변과 방어 의견을 제출해야 합니다.

배경 및 이탈리아 당국의 이전 조치

이탈리아 데이터보호당국은 이전에 ChatGPT의 로컬 데이터 처리에 대한 임시 금지 명령을 내리며 OpenAI의 GDPR 준수 문제에 우려를 표명했고, 이로 인해 ChatGPT는 이탈리아 시장에서 중단되었습니다. 당국은 ChatGPT 알고리즘 학습을 위해 개인 데이터를 수집하고 처리하는 데 적합한 법적 근거가 부족하다는 문제점을 강조했습니다. 또한 아동 안전과 AI 도구가 개인에 대해 부정확한 정보를 생성하는 '환각(hallucination)' 경향도 우려 사항으로 지적되었습니다.

이탈리아 당국이 제기한 일부 문제를 일시적으로 해결했음에도 불구하고, OpenAI는 이제 ChatGPT가 EU 법을 위반하고 있다는 예비 결론에 직면했습니다. 사안의 핵심은 OpenAI가 AI 모델 학습을 위해 개인 데이터를 처리하는 데 주장하는 법적 근거에 있으며, 특히 ChatGPT가 개인 데이터를 포함한 인터넷에서 스크랩한 데이터를 사용하여 개발되었다는 점이 고려됩니다.

데이터 처리의 법적 근거 및 잠재적 결과

OpenAI는 초기에 ChatGPT 모델 학습을 위한 법적 근거로 '계약 이행'을 주장했으나, 이탈리아 당국은 이 참조를 제거하도록 지시했습니다. 이로 인해 OpenAI는 동의 또는 정당한 이익이라는 두 가지 잠재적 법적 근거만 남게 되었습니다. 처리된 방대한 수의 개인으로부터 동의를 얻는 것은 비현실적으로 보이며, 정당한 이익이 주요 법적 근거로 남습니다. 그러나 이 근거는 OpenAI가 데이터 주체의 처리 이의 제기권을 허용해야 하며, 이는 AI 채팅봇의 지속적 운영에 과제를 제기합니다.

더 넓은 질문은 Garante(이탈리아 데이터보호당국)가 궁극적으로 이 맥락에서 정당한 이익을 유효한 법적 근거로 수용할지 여부입니다. EU 최고 법원의 이전 결정들은 정당한 이익이 데이터 처리자의 이익과 개인의 권리 및 자유 사이의 신중한 균형을 필요로 한다는 점에서 잠재적 장벽을 시사합니다. 특히 법원은 Meta의 행동 타겟팅 광고 비즈니스에 대해 이 근거가 부적절하다고 판명했습니다.

OpenAI의 대응 및 지속적인 GDPR 준수 노력

OpenAI는 EU 사용자의 데이터에 대한 서비스 제공자로 아일랜드에 물리적 기반을 구축하여 '주요 사업장' 지위를 달성하고 GDPR 준수 감독을 아일랜드 데이터보호위원회가 주도하도록 함으로써 증가하는 규제 위험에 대응했습니다. 그러나 이 지위는 보류 중이며, ChatGPT는 여전히 다른 EU 국가의 데이터보호당국(DPA)의 조사를 받을 수 있습니다.

이탈리아의 조사 외에도 OpenAI는 ChatGPT가 생성한 부정확한 정보와 OpenAI의 피해자 대응에 대한 불만으로 인해 폴란드에서도 감시를 받고 있습니다. 유럽 데이터보호위원회(EDPB)를 통해 EU DPA들과 협력하려는 OpenAI의 노력은 더 조화로운 결과를 초래할 수 있지만, 개별 당국은 여전히 각 시장에서 결정을 내릴 권한을 가지고 있습니다.