공개 게시물도 개인정보일 수 있다
AI 학습 데이터 경계, 유럽이 묻는다

'일론 머스크의 인공지능 기업 xAI가 개발한 ‘Grok’은 어떤 방식으로 데이터를 수집하고, 무엇을 학습하고 있을까?'

아일랜드 데이터 보호위원회(DPC)가 정식 조사에 착수하면서, 그동안 베일에 싸여 있던 Grok의 학습 구조와 개인정보 처리 방식에 관심이 집중되고 있다.

DPC, X 플랫폼 개인정보 활용 여부 정식 조사 착수

2025년 4월 11일, 아일랜드 데이터 보호위원회(DPC)는 미국의 신생 AI 기업 ‘X Internet Unlimited Company(XIUC)’에 대한 공식 조사 개시를 발표했다.

조사의 핵심은 X 플랫폼에서 EU 및 EEA 지역 사용자들이 게시한 공개 게시물에 포함된 개인정보가 xAI의 생성형 AI 모델(Grok LLMs)의 학습에 사용됐는지 여부다.

xAI는 일론 머스크(Elon Musk)가 2023년 설립한 AI 기업으로, 2024년에는 X(구 트위터)와의 기술적 통합을 가속화하며 자체 AI ‘Grok’의 학습 데이터로 X 내 데이터를 활용하고 있다.

DPC는 이번 결정을 아일랜드 개인정보보호법 제110조에 근거해 내렸으며, 데이터 보호 위원인 데스 호건(Dr. Des Hogan)과 데일 선더랜드(Dale Sunderland)의 서명으로 XIUC에 공식 통보했다고 밝혔다.

조사의 목적은 이 데이터가 당사자의 명시적 동의 없이, 인공지능 훈련 목적으로 합법적으로 처리됐는지, 그리고 그 과정이 GDPR(유럽 일반 개인정보보호법)은의 ‘적법성’ 및 ‘투명성’ 원칙에 부합했는지를 확인하는 데 있다.

공개 게시물도 ‘개인정보’가 될 수 있다

xAI는 2023년 머스크가 설립한 AI 스타트업으로, 2024년부터 X와의 기술적 통합을 가속화하며 Grok의 학습에 X 데이터를 본격 활용해 왔다.

Grok는 대형 언어 모델(LLM)을 기반으로 한 생성형 인공지능으로, 현재 X 플랫폼 내에서 챗봇 형태로 제공된다.

다른 LLM들과 마찬가지로 Grok도 다양한 형태의 대규모 데이터로 학습되었지만, 이번 조사는 특히 X 플랫폼 내 EU/EEA 사용자 게시물에 포함된 개인정보에 주목하고 있다.

DPC는 게시물이 공개된 형태였더라도, 그 안에 포함된 정보가 개인을 식별할 수 있다면 개인정보에 해당하며, 이에 따른 명확한 동의와 고지 절차가 필요하다는 입장이다.

이번 조사는 단순히 기술적인 문제가 아니라, AI가 어디까지 사람들의 데이터를 수집해도 되는지를 따지는 법적이고 윤리적인 문제로 이어질 수 있어 많은 관심이 쏠리고 있다.

특히, 누구나 볼 수 있는 ‘공개 게시물’이라 하더라도, 그것을 AI 학습에 마음대로 써도 되는지를 두고 논란이 되고 있는 상황이다.

“검열 없는 AI”가 사용자 권리를 침해할 수도

xAI는 Grok를 “검열되지 않은 AI”로 홍보하며, 기존 대형 AI 모델들이 지나치게 정치적 중립성을 강요받고 있다고 주장해 왔다.

그러나 X 사용자의 콘텐츠를 동의 없이 학습에 활용한 정황이 확인될 경우, Grok의 ‘탈검열’ 철학은 사용자 권리 침해라는 역설에 직면하게 될 수 있다.

GDPR은 기업이 개인정보를 부적절하게 처리할 경우 글로벌 매출의 최대 4%에 해당하는 과징금 부과를 명시하고 있으며, 아일랜드는 유럽 내 주요 IT 기업 본사가 집중된 국가로, 이번 조사는 머스크의 AI 제국이 유럽 데이터 보호법의 기준에 부합하는지 가늠하는 리트머스 시험지가 될 전망이다.

GDPR 위반 시, 글로벌 수익의 최대 4% 벌금

아일랜드는 유럽 내 데이터 보호법 집행의 중심지로, 메타, 트위터, 틱톡 등 다수의 글로벌 IT기업이 이곳에 본사를 두고 있다.

GDPR은 사용자 동의 없이 개인정보를 수집하거나 부적절하게 활용할 경우, 기업의 전 세계 연 매출의 최대 4%에 달하는 과징금을 부과할 수 있는 강력한 법령이다.

따라서 이번 조사는 단순한 기술적 검토를 넘어, AI 기술의 데이터 활용과 프라이버시 보호 간 경계에 대한 중대한 판례가 될 수 있다는 점에서 주목받고 있다.

공개 데이터와 디지털 권리 사이의 경계

이번 DPC의 조사는 유럽을 넘어 글로벌 AI 업계 전반에 영향을 미칠 것으로 보인다.

특히 핵심 쟁점은 다음과 같다:

공개 데이터는 어디까지 AI 학습에 활용 가능한가?
디지털 플랫폼에서 생성된 정보는 누구의 소유이며, 어떻게 보호되어야 하는가?
AI 기업은 학습 과정의 출처와 방식을 사용자에게 얼마나 투명하게 공개해야 하는가?

기술과 규제, AI의 진화는 어디까지 허용될 것인가

머스크의 xAI와 Grok, 그리고 X 플랫폼은 AI 혁신의 최전선에 서 있는 동시에, 개인정보 보호라는 규범의 시험대에 올랐다.

이 조사가 단지 한 기업의 위법 여부를 밝히는 데 그치지 않고, 생성형 AI의 진화가 어디까지 허용될 수 있는지, 그 과정에서 인간의 권리는 어떻게 보장되어야 하는지를 세계가 지켜보는 중요한 분기점이 될 것으로 보인다.

공개된 데이터라 하더라도, 그것을 누가 어떻게 수집하고, 어떤 방식으로 활용하느냐에 따라 기술의 정당성과 윤리성은 완전히 달라질 수 있어서다.

DPC의 이번 판단은 향후 AI 윤리와 개인정보 보호의 글로벌 기준을 재정립하는 데 중대한 분기점이 될 수 있어, 그 결과에 전 세계의 이목이 쏠리고 있다.