EU AI 법안이 창립자에게 알려주지 않는 훈련 데이터에 대한 것

EU AI 법안의 제 50 조는 AI 시스템이 사용자에게 기계와 대화하고 있음을 공개하도록 요구합니다. 하지만 그 공개 이후에 무슨 일이 일어나는지에 대해서는 아무런 언급도 하지 않습니다.

기초 모델 위에 제품을 구축하는 창립자들은 정확성과 가격에 초점을 맞추고 있습니다. 사용자의 데이터가 제품을 떠나서 제 3 자 모델에 의해 처리될 때 무슨 일이 일어나는지에 대한 질문은 벤더 선택过程에서 거의 논의되지 않습니다.

규칙은 2026 년 8 월 2 일부터 시행되며, 규정에 위반할 경우 1,500 만 유로 또는 전 세계 연간 매출의 3 % 중 더 높은 금액의 벌금이 부과됩니다. 보관 및 훈련은 모두 그 범위 밖에 있습니다. 만약您的 응용 프로그램이 사용자 대화를 훈련을 기본으로 하는 제 3 자 모델로 보냄으로써, 해당 제공자의 데이터 관행은您的 제품의 일부가 되며, 그것이 의도적인지 여부에 관계없이 그렇게 됩니다.

산업 전반의 기본은 훈련, 묻는 것이 아님

스坦フォ드 대학의 인간 중심 AI 연구소의 연구자들은 6 개의 주요 미국 AI 개발사의 개인 정보 보호 정책을 검토했으며, 아마존, 앤트로픽, 구글, 메타, 마이크로소프트, 오픈 AI를 포함하여 모든 회사가 고객 채팅 데이터를 기본적으로 모델을 훈련하는 데 사용하고, 일부는 그 데이터를 무기한으로 보관한다는 것을 발견했습니다. 리드 연구자 제니퍼 킹은 AI 채팅 시스템의 사용자가 개인 정보에 대해 걱정해야 하는지 묻는 질문에 대해 “절대적으로 예스”라고 대답했습니다. 따라서 제공자의 문서에 다른 내용이 없으면 훈련이 기본 가정되어야 합니다. 그러나 세부 사항은 제공자마다 다르며 플랫폼에 커밋하기 전에 주의 깊게 검토해야 합니다.

한때 개인 정보 보호를 고려한 접근 방식으로赞扬받았던 앤트로픽은 클라우드와의 대화를 훈련에 사용하도록 소비자 약관을 변경했으며, 사용자는 옵트 아웃할 수 있습니다. 이것은 벤더의 훈련 정책이 빠르게 변경될 수 있으며, 개인 정보 보호가 초기 판매 요소였음에도 불구하고 그렇게 할 수 있다는 것을 보여줍니다.

다른 모델에서는 옵트 아웃이 완전히 작동하지 않습니다. 구글은 젬스타 대화 내용을 인간 주석자에 의해 검토하기 위해 최대 3 년 동안 유지하며, 젬스타 앱 활동 설정을 비활성화해도 그 영향을 받지 않습니다. 한 번 대화가 인간 검토를 위해 표시되면, 사용자가 이후에 무엇을 하든 관계없이 구글의 시스템에서 별도의 보관 트랙에 남아 있습니다.

캐릭터 AI는 기본적으로 사용자 대화로 훈련했으며, EEA 및 영국의 사용자에게만 옵트 아웃을 제공했으며, 이는 여기서 다루는 데이터 관행의 가장 관대한 끝에 위치합니다. 별도로, 회사는 법적 및 평판 문제에 직면했습니다. 2026 년 1 월, 캐릭터 AI 및 구글은 원칙적으로 청소년 자살 관련 소송을 해결하기로 합의했으며, 이는 데이터 훈련 정책과 관련이 없습니다. 구글은 캐릭터 AI 창립자와의 관계로 공동 피고인으로 지명되었으며, 책임을 인정하지 않았으며, 조건이 공개되지 않았지만, 이 사례는 AI 벤더와 관련된 법적 책임이 이를 지원하는 회사에까지 미칠 수 있음을 보여줍니다.

보관 기간, 인간 검토 트리거 및 하도급자 액세스는 거의 개인 정보 보호 정책의 세부 사항에만 나타납니다. 이러한 API를 통합하는 회사는 사용자 데이터가 검토 또는 하도급자에게 얼마나 오래 남아 있는지 정확히 알기 위해 철저히 조사해야 합니다. 거의 그 내용이 사용자에게 전달되지 않기 때문에, 회사는 사용자의 데이터 관행을 상속받을 수 있으며, 어느 쪽도 그것이 발생했다는 것을 인식하지 못할 수 있습니다.

이것은 창립자 문제, 정책 논쟁이 아님

기초 모델에 기본적으로 훈련을 활성화하여 사용자 대화로 라우팅하는 경우, 사용자에게 알려주지 않고 데이터 정책을 수락했습니다. 제 50 조는 사용자가 AI와 대화하고 있음을 공개하는 사실만 다루기 때문에, 그 결정에 대해 공개할 필요는 없습니다.

제 3 자 액세스는 그 노출을 더 넓게 만듭니다. 모델 제공자는 데이터 주석 및 안전성 검토를 하도급자에게 아웃소싱합니다. 2026 년 5 월, 텍사스 주 법무장관 케ン 팩스턴은 메타의 AI 안경에 대한 조사 를 시작했으며, 케냐에 기반을 둔 하도급자 사마의 데이터 주석자가 사용자의 사적인 순간, 심지어 화장실 방문까지 포함된 사용자의 영상을 볼 수 있다고 보고했습니다. 메타는 이것이 그들의 관행을 완전히 반영하지 않는다고 주장했으며, 조사 중에 있습니다. 이 예는 웨어러블 카메라를 포함하지만, 동일한 문제가 대화형 AI에도 적용될 수 있습니다. 데이터를 판매하지 않는다는 약속은 그것이 내부적으로 읽히기 전에 훈련 파이프라인에 도달하기 전에 누가 읽을 수 있는지에 대해서는 아무런 언급도 하지 않습니다.

벤더를 선택하기 전에 확인해야 할 사항

실제 사용자 데이터에 기초 모델을 연결하기 전에 창립자는 몇 가지 질문에 답해야 합니다.

데이터 처리 계약은 좋은 출발점입니다. 그 계약은 사용자의 데이터가 처리되는 방식을 정의하는 문서이므로, 그것을 전체적으로 읽는 것이 가치 있습니다.

계약 자체도 주의 깊게 검토해야 합니다. 벤더는 종종 소비자 채팅 제품보다 기업 또는 API 계약에 대해 더 엄격한 비 훈련 조건을 제공하므로, 특정 통합에 적용되는 조건을 서면으로 확인하십시오. 많은 회사들은 기업급 개인 정보 보호 언어가 기본적으로 적용된다고 잘못된 가정합니다.

옵트 아웃 규정도 검토할 가치가 있습니다. 구글의 젬스타 설정은 왜 그렇게 하는지 보여줍니다. 해당 모델에서 활동 추적을 비활성화해도 인간 검토가 중단되지 않습니다. 벤더는 옵트 아웃이 훈련, 인간 검토 또는 둘 다를 중지하는지 명확히 말할 수 있어야 합니다.

마지막으로, 데이터가 벤더 하류로 이동하는 경로를 매핑합니다. 주석 및 안전성 검토는 자주 아웃소싱되며, 벤더의 개인 정보 보호 약속은 자동으로 하도급자 체인에 확장되지 않습니다.

이러한 질문은 일회성 연습으로 다루면 안 됩니다. 벤더의 조건은 변경될 수 있으며, 작년과 동일한 규칙으로 운영되는지 확인하기 위해 정기적으로 검토해야 합니다.

시장은 아직 규제되지 않은 표준을 설정할 수 있음

제 50 조는 EU의 AI 데이터 거버넌스에 대한 마지막 단어가 아닐 것입니다. 창립자는 규제가 남긴 간격을 메우기 위해 다음 라운드의 규제를 기다리지 말고, 지금부터 사용자 데이터에 대한 명시적이고 가시적인 옵트인을 구축하여 시장에서 앞서갈 수 있습니다. 모델을 개선하는 것과 사용자 신뢰를 조용히 현금화하는 것 사이에는 실제 라인이 있습니다. 많은 AI 서비스는 아직도 사용자에게 묻지 않고 대화로 훈련을 사용하여이를 건너뛰고 있습니다. 지금부터 그 라인을 그리는 창립자는 나중에 규제 준수를 재구성할 필요가 없습니다.

이것은 전례가 있는 움직임입니다. 암호화된 메시지 앱과 비밀번호 관리자는 강력한 기본 설정이 표준이 되기 위해 규제 기관을 기다리지 않았습니다. 그들은 스스로 그 선택을 했으며, 그것을 시장 위치로 전환했습니다. AI 제품에도 동일한 기회가 있습니다. 강제적이지 않은 경우에라도 라인을 긋는 창립자는 다음에 사용자가 하는 민감한 대화에서 신뢰를 얻을 것입니다.