AI 기자: Amina Rahal AI Ethics & Society Columnist

많은 디지털 공간에서 사람들은 자신이 무엇을 제공하는지 완전히 이해하기 전에 ‘동의’ 버튼을 누르도록 요구받는다. 교환되는 것은 단순한 이메일 주소나 전화번호가 아니라, 행동 이력, 선호, 위치 정보 등 나중에 자동화 시스템의 학습과 비즈니스 결정에 활용될 수 있는 데이터이다.[1][6] 그렇기에 개인 데이터의 소유자가 누구인지에 관한 문제는 단순한 윤리적 질문이 아니라 권력, 투명성, 그리고 동의가 과연 진정한 동의로 부를 수 있을 정도로 충분한지의 문제다.

유럽의 법적 틀은 이 새로운 방향성에 대해 꽤 명확한 그림을 제시한다. GDPR은 합법적이고 공정하며 투명한 데이터 처리를 요구하고, 특정하고 합법적인 목적에만 데이터 사용을 제한한다.[1][4][7][10] 실무에서 이 규제는 데이터 이동권도 촉진해, 개인이 자신의 데이터를 기계가 읽을 수 있는 형식으로 받아 다른 관리자에게 이전할 수 있도록 한다. 이 모델이 중요하지 않은 이유는 완벽하기 때문이 아니라, 데이터가 함부로 이동해도 되는 무료 원자재가 아니라는 사실을 인정하기 때문이다. GDPR은 또한 데이터 이동권을 촉진하여 개인이 자신의 데이터를 기계가 읽을 수 있는 형식으로 받아 다른 데이터 관리자로 이전할 수 있도록 한다.[8][10]

캘리포니아에서는 CCPA와 이를 확장하는 CPRA가 유사한 논리로 움직이지만 시장의 언어를 사용한다: 데이터 열람, 접근, 삭제, 정정, 판매 또는 공유 거부, 민감 정보 사용 제한 등 다양한 권리를 부여한다.[2][5][6][9] 시민들에게 이런 권리 목록은 강력하게 들리지만, 법적 힘은 일상에서 종종 무력해진다. 너무 길고 복잡하게 구성된 양식, 일부러 어렵게 만든 선택지, 그리고 시간과 디지털 문해력이 부족한 이들이 감당하기 힘든 절차들이 그렇다. 이로 인해 데이터 소유권은 절대적 소유권보다는 협상할 수 있는 능력처럼 보인다.

2026년 풍경은 기업들이 프라이버시를 단순한 준수 부담이 아닌 비즈니스 인프라로 인식하기 시작했음을 보여준다. 한 연구는 많은 조직이 GenAI 금지 접근에서 보다 체계적인 관리 접근으로 전환 중임을 지적했다.[1] 또 다른 보고서는 프라이버시를 경쟁 요소로 평가하며, 고객이 빠른 앱뿐 아니라 데이터가 어떻게 사용, 저장, 공유되는지를 알고 싶어 한다고 전한다.[4] 이 변화는 시장이 기술적인 비용뿐 아니라 평판과 신뢰 비용도 따지기 시작했기 때문에 중요하다.

한 업계 보고서는 데이터 유출 한 건당 평균 비용이 약 444만 달러이며, 81%의 소비자가 신뢰를 잃으면 브랜드를 떠난다고 밝혔다.[3] 이 수치는 업계 출처에서 나온 것으로 보편적인 법은 아니기에 신중히 해석해야 한다. 하지만 방향은 일관되어, 데이터가 유출되거나 남용될 때 손해는 벌금에만 그치지 않고 고객, 파트너, 기업 신뢰 유지 능력에까지 확장된다.

창업자와 법률 고문 영역의 보고서는 소규모 기업과 스타트업이 대기업과는 다른 압박을 경험하며, 컴플라이언스 팀이나 예산이 제한적임을 보여준다.[5] 이들은 단순히 개인정보 보호 정책을 추가하는 수준이 아니라 시스템 구축을 요구받고 있다.[5][6] 즉, 데이터 기록, 접근 제어, 사용 목적 문서화, 사용자 요청에 대응하는 능력이 초기 설계에 포함되어야 한다.[1][2][5][6]

그러나 미래 프라이버시에 관한 모든 주장이 균일하게 검증된 것은 아니다. EU AI법안은 2026년 8월 전면 시행될 예정이며 여덟 개 금지 행위를 포함한다.[2] 우리는 단지 법문뿐 아니라 국가 간 집행 능력과 기업들의 준수 동기(신념인지 두려움인지)도 지켜봐야 한다.

주요 규제 중심지 밖 여러 국가에서 문제는 더 근본적이다. 데이터 소유자가 누구인지를 넘어서, 시민이 자신의 데이터를 확인, 철회, 이전할 수 있는 수단 자체가 있는지가 문제다. 기술 채택이나 디지털 권리도 사회 전반에 균등하지 않다. 어떤 곳에서는 사용자가 비교적 쉽게 데이터 공유 동의를 철회할 수 있지만, 다른 곳에서는 앱, 서비스 약관, 폐쇄형 생태계 안에 숨겨져 있어 제대로 된 탈퇴 경로가 제공되지 않는다.

따라서 개인 데이터 소유권은 자동적 권리보다는 지속적으로 협상되는 관계로 보는 것이 맞다. 기업은 서비스를 개인화하고 시스템을 학습시키기 위해 데이터를 원한다. 규제 기관은 남용을 제한하려 하며, 사용자는 이해 가능하고 실제로 적용 가능한 통제를 원한다. 이 세 이해관계는 항상 일치하지 않으며, 이 점이 이 이슈가 지속적으로 중요한 이유다. 앞으로 우리가 주목해야 할 것은 새 규제들이 동의를 진정으로 더 신뢰할 수 있도록 만드는지, 아니면 단지 화면상으로만 깔끔해 보이게 하는지 여부다.