본 문서는 영어 원본을 기계 번역한 것입니다. 번역본과 영어 원본 사이에 내용이 상충할 경우 영어 원본이 우선합니다. 영어 원본 보기

ChatGPT는 사용자에 대해 얼마나 많은 데이터를 저장할까요? 기술 감사 결과

2026-04-02 · Caiioo Team

직장에서 ChatGPT를 사용하고 있다면 고용주는 아마 궁금한 점이 많을 것입니다. 여러분이 고용주라면 반드시 확인해야 할 사항들이 있습니다.

이 글은 OpenAI가 수집하는 데이터, 보관 기간, 그리고 규제 대상 산업에 속한 팀에 이것이 어떤 의미를 갖는지에 대한 기술적 감사 내용입니다. 또한 BYOK(Bring Your Own Key) 아키텍처가 이러한 구도를 어떻게 완전히 바꾸는지 살펴보겠습니다.

ChatGPT가 저장하는 것: 전체 그림

OpenAI의 자체 고객 센터 문서에 따르면 대화는 "수동으로 삭제할 때까지 사용자의 계정에 저장"됩니다. 대화를 삭제하면 해당 대화는 "계정에서 즉시 제거되며 30일 이내에 OpenAI 시스템에서 영구 삭제되도록 예약"됩니다. 단, 이미 비식별화 처리가 되었거나 OpenAI가 보안 또는 법적 의무를 위해 보유해야 하는 경우는 예외입니다.

하지만 대화 내용은 이야기의 일부일 뿐입니다. OpenAI의 개인정보 처리방침은 다음과 같은 광범위한 자동 데이터 수집을 설명합니다.

  • 로그 데이터 -- IP 주소, 브라우저 유형 및 설정, 요청 날짜 및 시간, 서비스 상호작용 방식
  • 사용 데이터 -- 조회하거나 참여하는 콘텐츠 유형, 사용하는 기능, 취하는 조치 및 제출하는 피드백
  • 기기 정보 -- 기기 이름, 운영 체제, 기기 식별자 및 브라우저 유형
  • 계정 정보 -- 이름, 연락처 세부 정보, 결제 정보 및 거래 내역

이러한 메타데이터는 모든 사용자에 대한 상세한 행동 프로필을 생성합니다. 프롬프트에 민감한 정보를 공유하지 않더라도, 사용 패턴만으로도 업무에 관한 중요한 정보가 드러날 수 있습니다.

모든 것을 바꾼 법원 명령

2025년 5월, New York Times v. OpenAI 저작권 소송에서 뉴욕 남부 연방법원(S.D.N.Y.)의 오나 T. 왕(Ona T. Wang) 치안 판사가 내린 연방 법원 명령(사건 번호 1:23-cv-11195)은 OpenAI가 "삭제될 예정인 모든 출력 로그 데이터를 무기한 보존하고 격리"할 것을 요구했습니다. OpenAI의 재심리 청구는 2025년 5월 16일에 기각되었습니다.

이것이 실질적으로 의미하는 바는 사용자가 대화를 삭제하더라도 OpenAI가 이를 법적으로 보존해야 할 의무가 있을 수 있다는 것입니다. 개인정보 처리방침에 명시된 30일 삭제 기간보다 법원의 명령이 우선합니다. 2026년 1월, 시드니 스타인(Sidney Stein) 지역 법원 판사는 이 명령을 유지하며 OpenAI가 증거 개시(discovery) 절차의 일환으로 비식별화된 사용자 로그 2,000만 건(프롬프트 및 출력물)을 제출하도록 요구했습니다.

귀하의 대화가 미래 모델 학습에 사용될 수 있습니다

기본적으로 개인용 플랜의 대화는 모델 학습에 사용됩니다. OpenAI의 고객 센터 문서에는 다음과 같이 명시되어 있습니다. "ChatGPT, Codex, Sora와 같은 개인용 서비스를 이용할 때, 당사는 귀하의 콘텐츠를 모델 학습에 사용할 수 있습니다." 개인정보 포털이나 설정 > 데이터 제어를 통해 거부(opt-out)할 수 있지만, OpenAI가 언급했듯이 "거부한 이후의 새로운 대화만 모델 학습에 사용되지 않습니다." 이미 제출된 모든 데이터는 학습 파이프라인에 남아 있습니다.

또한 학습 거부가 데이터 저장 기간을 변경하지는 않습니다. 이는 데이터가 모델 개선에 사용되는지 여부만 변경할 뿐입니다.

Enterprise vs. 개인: 이원화된 시스템

OpenAI는 명확한 이단 구성의 개인정보 보호 모델을 운영합니다.

개인 (Free/Plus/Pro) Enterprise/Edu
데이터 보존 무기한 (법원 명령) 관리자 제어
학습 사용 기본값 예 (거부 가능) 기본적으로 학습 안 함
법원 명령 제외? 아니요 예
관리자 제어 없음 전체 보존 정책
삭제 일정 30일 (허용 시) 30일, 관리자 설정 가능

개인 사용자의 경우 데이터가 실제로 삭제되었음을 보장할 방법이 없습니다. Enterprise 고객의 경우 워크스페이스 관리자가 보존을 제어하며, 데이터는 기본적으로 학습에 사용되지 않습니다.

중소규모 팀의 문제는 Enterprise 플랜이 상당한 최소 인원 제한에서 시작된다는 점입니다. 10인 규모의 컨설팅 회사는 Enterprise 등급의 개인정보 보호 제어 기능을 사용할 수 없습니다.

GDPR 준수: 여전히 남은 과제

ChatGPT의 무기한 보존 관행은 GDPR 준수, 특히 데이터 최소화 및 저장 제한 원칙에 대한 심각한 의문을 제기합니다. 2023년 3월, 이탈리아 데이터 보호국(Garante per la Protezione dei Dati Personali)은 데이터 수집의 법적 근거 부재, 사용자 개인정보 고지 미비, 연령 확인 미실시 등 GDPR 제5조, 6조, 8조, 13조, 25조 위반을 근거로 ChatGPT를 일시적으로 금지하는 긴급 명령을 발행했습니다. 이 금지 조치는 OpenAI가 변경 사항을 이행한 후 2023년 4월에 해제되었으나, 광범위한 규제 상황은 여전히 불안정한 상태입니다.

법률, 의료, 금융 서비스 등 규제 대상 산업에서 고객 데이터를 다루는 팀에게 ChatGPT를 사용한다는 것은 OpenAI를 **데이터 처리자(data processor)**로 수용함을 의미합니다. 이는 GDPR 제28조에 따른 의무를 발생시킵니다. 즉, 데이터 처리 합의서(DPA)가 필요하고, 처리 활동을 문서화해야 하며, 처리자가 귀하의 보안 요구 사항을 충족하는지 확인해야 합니다.

숨겨진 비용: 규정 준수 오버헤드

팀에서 ChatGPT를 사용하면 OpenAI는 규정 준수 체인의 데이터 처리자가 됩니다. 이는 다음을 의미합니다.

  1. 데이터 처리 합의서(DPA) 필요 — OpenAI가 귀하를 대신해 개인 데이터를 처리하는 방식, 보안 조치, 하위 처리 제한 및 침해 통지 의무를 정의해야 합니다.
  2. GDPR 제28조 의무 활성화 — 처리자는 귀하의 지침에 따라서만 데이터를 처리하고, 기밀성을 보장하며, 보안 조치를 구현하고, 침해를 통지하며, 감사를 허용해야 합니다.
  3. 보안 검토에 OpenAI 포함 — 모든 벤더 위험 평가, 모든 SOC 2 감사 질문, 모든 고객 보안 설문지에 추가적인 종속성이 생깁니다.

20인 규모의 법률 사무소나 병원의 경우, 이러한 규정 준수 오버헤드 비용이 구독료 자체보다 더 비쌀 수 있습니다.

BYOK 아키텍처가 바꾸는 것

BYOK(Bring Your Own Key)는 AI 도구가 귀하의 데이터에 절대 손대지 않는 아키텍처 패턴입니다. 대신:

  1. 귀하가 직접 API 키를 제공합니다 (OpenAI, Anthropic, Gemini 등 AI 제공업체로부터).
  2. 쿼리가 기기에서 제공업체로 직접 라우팅됩니다 — 도구는 중간 매개체가 되지 않습니다.
  3. 도구는 아무것도 저장하지 않습니다 — 대화, 메타데이터, 행동 프로필 모두 저장하지 않습니다.
  4. 도구 벤더와 DPA가 필요하지 않습니다 — 데이터 처리자가 아니기 때문입니다.

데이터 흐름의 차이는 근본적입니다.

ChatGPT (클라우드 호스팅) BYOK 아키텍처
데이터 경로 사용자 > OpenAI 서버 > 모델 > OpenAI > 사용자 사용자 > 제공업체 API 직접 연결 > 사용자
중간 매개체 OpenAI가 모든 쿼리 처리 없음 — 직접 API 호출
데이터 가시성 플랫폼이 모든 쿼리를 로그로 남기고 확인 제공업체는 API 호출만 확인
저장 OpenAI 서버에 무기한 저장 로컬 기기에만 저장
도구 벤더의 처리자 여부? 예 아니요

BYOK를 사용하면 규정 준수 관계는 귀하가 선택한 AI 제공업체와 직접 협상한 조건에 따라서만 형성됩니다. 도구 자체는 규정 준수 체인에서 보이지 않게 됩니다.

이것이 팀에 의미하는 바

2,600명의 개인정보 보호 및 보안 전문가를 대상으로 한 2026년 설문조사에 따르면, 64%가 생성형 AI 도구를 통해 민감한 데이터가 실수로 공유되는 것을 우려하고 있습니다. 하지만 약 절반은 여전히 개인 데이터나 비공개 데이터를 입력하고 있다고 인정했습니다. 우려와 행동 사이의 간극이 바로 위험이 존재하는 곳입니다.

조직의 AI 거버넌스를 담당하고 있다면 다음 질문을 던져보아야 합니다.

  1. 귀하의 AI 도구는 데이터 처리자입니까? 그렇다면 DPA, 규정 준수 문서 및 지속적인 벤더 위험 평가가 필요합니다.
  2. 대화 데이터는 어디에 상주합니까? 클라우드 호스팅은 벤더의 서버를 의미합니다. 로컬 우선 저장 방식의 BYOK는 귀하의 기기를 의미합니다.
  3. 삭제를 보장할 수 있습니까? ChatGPT의 법원 명령에 따른 보존 조치로 인해 현재 개인용 플랜에서는 불가능합니다.
  4. 팀이 일관된 도구를 사용하고 있습니까? 20명이 개별 구독을 사용하면 20개의 별도 규정 준수 관계가 생깁니다.
  5. 총 비용은 얼마입니까? 구독료뿐만 아니라 규정 준수 오버헤드, DPA 협상 및 벤더 위험 평가에 소요되는 시간을 포함하세요.

핵심 요약

ChatGPT는 강력한 도구입니다. 동시에 사용자의 대화를 무기한 보관하고, 기본적으로 이를 학습에 사용하며, 자체 삭제 정책보다 우선하는 법원 명령에 따라 운영되는 데이터 처리기이기도 합니다.

개인에게는 이러한 절충안이 수용 가능할 수 있습니다. 하지만 고객의 기밀 정보, 환자 데이터, 금융 기록 또는 경쟁 정보 등을 다루는 팀에게 이는 실질적인 위험을 의미합니다.

BYOK 아키텍처는 도구 공급업체를 컴플라이언스 방정식에서 완전히 배제합니다. 귀하의 데이터는 중간 매개체를 거치지 않습니다. DPA(데이터 처리 합의서)가 필요 없으며, 도구 공급업체와 GDPR 제28조에 따른 의무를 질 필요도 없습니다. 제3자의 서버에 팀의 대화 내용이 무기한 보관되지도 않습니다.

선택은 AI를 쓰느냐 마느냐의 문제가 아닙니다. 거버넌스가 있는 AI를 쓰느냐, 없는 AI를 쓰느냐의 문제입니다.

Caiioo는 로컬 우선 저장 방식의 BYOK 아키텍처를 사용합니다. 귀하의 대화는 절대로 저희 서버에 닿지 않습니다. 개인정보 보호 아키텍처에 대해 더 알아보기 또는 무료로 시작하기