2026년 AI 컴패니언 프라이버시: 내 데이터는 안전한가?

AI 컴패니언은 거의 모든 다른 앱 카테고리보다 더 친밀한 데이터를 수집합니다.

컴패니언과의 대화에서 무엇을 공유하는지 생각해 보세요. 감정 상태, 관계, 건강 문제, 두려움, 희망, 일상 경험. 이것은 검색 기록이나 구매 데이터가 아닙니다. 당신의 삶 내면이 당신의 언어로 표현된 것입니다.

Surfshark 연구에 따르면 Apple App Store의 AI 컴패니언 앱 5개 중 4개가 타겟 광고를 위해 사용자 또는 기기 ID를 수집합니다. Character.AI는 연락처 정보, 식별자, 위치, 사용 데이터를 포함한 14가지 데이터 유형을 분석 목적으로 수집합니다. AI 챗봇 앱의 거의 절반이 위치 데이터를 수집합니다.

데이터는 단순히 저장되는 것이 아닙니다. 처리되고, 분석되며, 많은 경우 제3자와 공유됩니다. 일부 컴패니언 앱은 데이터 브로커에게 데이터를 판매하거나 타겟 광고에 사용할 권리를 명시적으로 유보합니다. 다른 앱은 대화 데이터를 LLM 제공업체와 공유하는데, 그 제공업체의 데이터 관행은 컴패니언 앱이 약속하는 것과 다를 수 있습니다.

결과: AI 컴패니언에게 말하는 가장 사적인 것들이 어디에서든 가장 프라이버시가 보호되지 않는 것일 수 있습니다.

2026년 1월의 Chat & Ask 유출은 기록상 최대의 AI 컴패니언 데이터 침해이며, 가장 단순한 설정 오류로 발생했습니다.

앱 개발사인 터키 기업 Codeway는 Google Firebase를 공개 보안 규칙으로 구성했습니다. 이는 인증된 모든 사용자가 전체 데이터베이스를 읽고, 수정하고, 삭제할 수 있다는 것을 의미했습니다. 3억 건의 메시지. 2,500만 명의 사용자. 완전히 노출.

Chat & Ask 유출을 발견한 같은 보안 연구자가 200개의 iOS 앱을 스캔한 결과, 103개가 동일한 Firebase 설정 오류를 가지고 있었으며 수천만 건의 추가 저장 파일이 노출되어 있었습니다.

이것은 정교한 공격이 아니었습니다. 제로데이 익스플로잇이 아니었습니다. '공개' 대신 '비공개'로 설정해야 할 체크박스 하나의 문제였습니다. 그리고 수백만 명이 기계와 나눈 가장 친밀한 대화를 노출시켰습니다.

교훈은 한 기업이 실수했다는 것이 아닙니다. AI 컴패니언 생태계 전체가 빠르게 구축되고 느리게 보안되었다는 것입니다. 대부분의 컴패니언 앱의 보안 태세는 개발 우선순위를 반영합니다. 제품을 출시하고, 사용자를 유치하고, 보안은 나중에 걱정하기. 2,500만 Chat & Ask 사용자에게 '나중'은 너무 늦게 도착했습니다.

모든 AI 컴패니언이 데이터 관행에서 동일하지는 않습니다. 주요 플랫폼이 실제로 무엇을 하는지, 개인정보 처리방침과 독립 감사를 기반으로 정리합니다.

Character.AI는 주요 컴패니언 앱 중 가장 많은 데이터를 수집합니다. 분석용 14가지 데이터 유형, 연락처 정보, 식별자, 위치, 추적용 사용 데이터. 2025년 8월 개인정보 처리방침을 업데이트하여 대화에 범죄 관련 내용이 있을 경우 법 집행기관에 신고할 수 있다고 명시했습니다. 또한 미성년자 데이터 관행과 관련하여 여러 소송과 주 정부 조사의 대상이 되고 있습니다.

Replika는 개인 데이터를 판매하거나 대화 내용을 광고주와 공유하지 않는다고 명시합니다. 하지만 대화 데이터를 제3자 LLM 제공업체에 전송하며, 사용 데이터는 마케팅 회사와 공유될 수 있습니다. 이탈리아는 Replika의 정책 주장과 실제 관행 간의 괴리를 이유로 500만 유로의 벌금을 부과했습니다. 데이터는 계정 삭제 후 최대 90일간 보존됩니다.

ChatGPT (OpenAI)는 무료 및 Plus 사용자의 채팅 기록을 수동 삭제하지 않는 한 무기한 보존합니다. 삭제에는 최대 30일이 소요됩니다. 메모리 기능은 사용자가 지울 때까지 대화 간 사실을 저장합니다. Anthropic(Claude)은 2025년 9월 사용자가 거부하지 않는 한 소비자 대화 데이터를 학습에 사용하며 데이터를 최대 5년간 보존한다고 발표했습니다.

Nomi는 추적 목적의 데이터 수집이 제로라는 점에서 돋보입니다(Character.AI의 14가지와 비교). 분석용으로 7가지 데이터 유형을 수집합니다. 하지만 대화 내용을 익명화하여 모델 학습에 사용할 수 있으며 종단간 암호화가 없습니다.

AI 컴패니언과 개인적인 것을 공유하기 전에 다음 기준으로 플랫폼을 평가하세요. 답이 불분명하거나 정보를 찾을 수 없다면, 그것 자체가 답입니다.

반드시 충족해야 할 요건:

1. 앱이 대화의 저장 여부, 보존 기간, 모델 학습 사용 여부를 명시적으로 밝히고 있습니까? 이 정보가 법률 용어에 묻혀 있거나 아예 없다면, 사용하지 마세요.

2. 학습 데이터 사용에 대한 거부(opt-out) 메커니즘이 있습니까? 많은 앱에는 거부 옵션이 없습니다. 대화가 기본적으로 학습 데이터가 됩니다.

3. 앱이 연령 확인을 사용합니까? 연령 확인의 부재는 단순한 안전 문제가 아닙니다. 기업이 책임보다 성장을 우선시한다는 법적 위험 신호입니다.

4. 대화가 전송 중 및 저장 시 암호화됩니까? 종단간 암호화는 기업조차도 메시지를 읽을 수 없음을 의미합니다. 대부분의 컴패니언 앱은 이를 제공하지 않습니다.

5. 개인정보 처리방침이 사용자의 언어로 제공됩니까? 영어로만 된 개인정보 처리방침은 해외 사용자에게 경고 신호입니다.

추적 및 광고 신호:

App Store의 '앱 개인 정보 보호' 섹션을 확인하세요. '사용자를 추적하는 데 사용되는 데이터'를 찾으세요. 컴패니언이 기기 ID, 사용자 ID, 또는 위치 데이터를 추적 목적으로 수집한다면, 당신의 대화가 광고 프로필의 재원이 되고 있는 것입니다.

보안 신호:

앱이 '1'이나 '12345' 같은 비밀번호를 허용한다면, 보안 태세가 진지하지 않은 것입니다. 다중 인증 옵션이 없다면, 계정은 피싱 당한 비밀번호 하나로 노출됩니다.

기본 원칙:

AI 컴패니언에 입력하는 모든 것이 데이터 침해에 나타날 수 있다고 가정하세요. 그에 맞게 공유하세요. 엽서에 쓰지 않을 내용이라면, 프라이버시 관행이 불분명한 채팅 창에 입력하기 전에 다시 생각하세요.

KAi는 근본적으로 다른 전제로 설계되었습니다. 대화가 처리된 후에는 서버에 존재해서는 안 된다는 것입니다.

24시간 대화 스크럽은 원시 대화록이 체험적 기억 아키텍처(EMA)를 통해 처리되어 이해와 의미가 추출되는 것을 의미합니다. 그런 다음 대화록이 삭제됩니다. 24시간 이내에 입력한 말은 어디에도 존재하지 않게 됩니다.

지속되는 것은 대화가 아니라 이해입니다. KAi는 당신에 대해 중요한 것을 기억합니다. 맥락, 선호, 성장의 역사. 그것을 표현하는 데 사용한 구체적인 말은 기억하지 않습니다.

이 설계는 Chat & Ask가 보여준 위험의 전체 범주를 제거합니다. 유출할 3억 건의 메시지 데이터베이스가 없습니다. 메시지가 지속되지 않기 때문입니다. 소환할 대화 기록이 없습니다. 존재하지 않기 때문입니다. 거부할 학습 데이터가 없습니다. 대화가 학습에 사용되지 않기 때문입니다.

추가로:

- KAi의 데이터는 AI 모델 학습에 절대 사용되지 않습니다. 우리의 것이든 누구의 것이든 - KAi의 데이터는 절대 판매되지 않습니다. 외부 투자자가 없으므로 사용자 데이터를 수익화할 압력이 없습니다 - KAi는 18세 이상 전용으로, 미성년자 데이터 수집의 규제적, 윤리적 지뢰밭을 제거합니다 - DHC 팀은 매일 KAi를 사용합니다. 우리가 우리 자신의 사용자이며, 우리 자신이 원하는 프라이버시 모델을 구축했습니다.

규제 당국이 따라잡기 시작했지만, 집행은 여전히 일관적이지 않습니다.

캘리포니아 SB 243 (2026년 1월 1일 발효)은 AI 컴패니언 플랫폼이 사용자가 인간과 대화하고 있다고 합리적으로 믿을 수 있는 경우 이를 공시하고 자해 방지 프로토콜을 구현하도록 요구합니다.

뉴욕은 AI 컴패니언 기업이 안전장치를 만들고 자살 충동 표현을 보고하도록 요구합니다.

EU가 가장 강력한 집행 기록을 가지고 있습니다. Replika에 대한 500만 유로 벌금은 전 세계 어디에서든 최초의 주요 AI 컴패니언 프라이버시 집행 조치입니다. 2026년 1월부터 완전 시행된 EU AI Act는 AI 컴패니언을 투명성과 책임 요건이 적용되는 고위험 시스템으로 분류합니다.

FTC는 2025년 9월 소비자 대면 AI 챗봇을 운영하는 기업에 대한 조사에 착수했으며, 특히 아동 및 청소년 대상 데이터 관행을 검토하고 있습니다.

남아 있는 공백: 어떤 관할권의 규제 당국도 AI 컴패니언 앱의 애플리케이션 레이어 보안 결함에 대해 구체적으로 집행 조치를 취하지 않았습니다. 정책 위반이 아닌 기본적인 설정 오류로 발생한 Chat & Ask 침해는 규제의 사각지대에 놓였습니다. 법률은 기업이 데이터로 의도적으로 하는 일을 다루지만, 기업이 데이터를 보호하는 데 실패했을 때 일어나는 일은 아직 충분히 다루지 못하고 있습니다.