OpenAI, 캐나다 개인정보법 위반 판정

캐나다 연방과 BC·앨버타·퀘벡 개인정보감독기관이 OpenAI의 초기 ChatGPT 학습 데이터 수집이 PIPEDA와 주 개인정보법을 위반했다고 결론냈다.

조사 대상은 GPT-3.5와 GPT-4 초기 모델의 데이터 수집·학습 방식이었다. 공개 웹 스크래핑, 라이선스된 제3자 소스, ChatGPT 사용자 상호작용이 포함됐고, 감독기관은 OpenAI가 방대한 개인정보를 모았으며 그 안에 건강 정보, 정치 성향, 아동 관련 정보가 들어갈 수 있다고 봤다.

핵심 판단은 다음과 같다.

• 유효한 동의를 받지 못했다.
• 데이터 수집과 학습 활용에 대한 투명성이 부족했다.
• 개인정보를 열람·정정·삭제할 실효적 수단이 없었다.
• 알려진 프라이버시 위험을 충분히 해소하지 않은 채 ChatGPT를 출시했다.

OpenAI는 조사 과정에서 일부 개선 조치를 약속했다. 연방 차원에서는 사건이 조건부 종결로 처리됐지만, 퀘벡은 동의 문제를 미해결로 남겼고 BC·앨버타는 주법상 미해결로 분류했다.

회사 약속에는 3개월 내 비로그인 웹 버전의 데이터 활용 고지 추가, 6개월 내 데이터 내보내기와 이의제기 경로 개선, 역사적 참조용 데이터셋 보호 강화, 공인의 미성년 가족 구성원에 대한 보호 테스트가 포함됐다. 감독기관들은 이 사건이 캐나다 개인정보법의 AI 시대 개정 필요성을 보여준다고 강조했다.