챗GPT(ChatGPT)와 제미나이(Gemini), 클로드(Claude) 등 생성형 인공지능(AI) 서비스가 전 세계 수억 명의 일상에 파고들고 있지만, 정작 이들이 제시하는 이용약관은 소비자에게 심각하게 불리한 조건으로 가득 차 있다는 연구 결과가 나왔다. 트리니티 칼리지 더블린(Trinity College Dublin)의 AI 책임성 연구소(AI Accountability Lab)가 주요 생성형 AI 서비스 6개의 이용약관을 심층 분석해 학술지에 발표한 이번 논문은, 우리가 "동의" 버튼을 누르는 순간 어떤 조건을 받아들이는지 냉정하게 짚어낸다.

아무도 읽지 않는 약관, 그 안에 숨겨진 것들

연구팀은 구글(Google)의 제미나이, 마이크로소프트(Microsoft)의 코파일럿(Copilot), 프랑스 스타트업 미스트랄(Mistral)의 르샤(Le Chat), 중국의 딥시크(DeepSeek), 오픈에이아이(OpenAI)의 챗GPT, 그리고 앤트로픽(Anthropic)의 클로드 총 6개 서비스를 대상으로 59개 항목의 평가 기준표(코드북)를 만들어 약관을 꼼꼼히 분석했다. 분석 대상 문서는 총 21개에 달했으며, 일부 서비스는 단 하나의 이용약관이 아닌 여러 페이지에 걸쳐 흩어진 문서들로 구성돼 있었다.

연구팀의 분석 결과, 6개 서비스 모두 서비스 기능이나 품질, 안정성에 대한 어떠한 보증도 제공하지 않았으며, 모든 약관이 서비스 변경 권한을 사업자가 일방적으로 보유한다는 내용을 담고 있었다. 흥미로운 점은 유료 서비스와 무료 서비스에 동일한 약관이 적용된다는 사실이다. 돈을 내고 쓰든 무료로 쓰든, 소비자가 받는 법적 보호 수준은 똑같이 낮다.

"서비스 품질 보장 없음" 6개 서비스 전원 동의

이번 연구에서 가장 충격적인 발견 중 하나는 서비스 품질에 관한 부분이다. 분석 대상 6개 서비스 모두 서비스 기능이나 성능, 정확성에 대한 어떠한 품질 지표나 보증도 약관에 명시하지 않았다. 즉, AI가 틀린 정보를 제공하거나 갑자기 서비스 방식이 바뀌어도 소비자가 이의를 제기할 근거가 약관상 존재하지 않는다는 뜻이다.

또한 모든 약관이 사전 고지 없이 서비스를 변경할 수 있다고 명시하고 있었다. 이는 단순한 화면 디자인 변경뿐 아니라, 서비스의 핵심인 AI 모델 자체가 바뀌는 경우도 포함된다. AI 서비스가 "무엇이든 잘한다"고 광고하면서 정작 약관에는 "아무것도 보장하지 않는다"고 적혀 있는 셈이다. 연구팀은 이를 두고 소비자 보호법이 요구하는 '선의(good faith)' 원칙을 위반할 가능성이 높다고 지적한다.

출력 결과 책임은 사용자에게, 혜택은 기업에게

약관이 소비자에게 불리한 두 번째 지점은 책임과 이익의 불균형이다. 6개 서비스 모두 사용자가 입력한 내용과 AI가 생성한 결과물 모두에 대한 법적 책임을 오로지 사용자에게만 부과하고 있었으며, 서비스 제공자 측은 어떠한 책임도 지지 않았다.

문제는 사용자가 AI의 작동 방식을 제어할 수단이 전혀 없다는 점이다. AI 서비스의 출력 결과는 사용자의 입력뿐 아니라 기업이 설정한 '시스템 프롬프트(system prompt)'라는 숨겨진 지침의 영향을 받는데, 사용자는 이를 볼 수도, 바꿀 수도 없다. 그럼에도 불구하고 결과물에 저작권 침해나 유해 콘텐츠가 포함되면 책임은 사용자가 진다. 최근 엑스(X)의 AI인 그록(Grok)이 아동 성착취 이미지(CSAM)를 생성했을 때 엑스 측이 "책임은 사용자에게 있다"고 공식 발표한 사례가 이 구조를 단적으로 보여준다.

이익 측면에서도 불균형은 뚜렷하다. 딥시크를 제외한 5개 서비스 모두 사용자의 입력과 출력 데이터를 AI 모델 학습에 활용하며, 사용자에게는 거부(opt-out) 권한만 주어졌다. 특히 앤트로픽의 클로드는 사용자가 학습 거부를 선택하더라도, 대화 중 '좋아요·싫어요' 버튼을 누르면 해당 대화가 학습에 사용될 수 있으며 이를 막을 방법이 없다고 명시하고 있다. 반면, 딥시크를 제외한 모든 서비스는 사용자가 AI 출력 결과를 자신의 AI 모델 학습에 활용하는 것을 금지하고 있다.

딥시크만 "중국 법만 적용"…EU 소비자 보호 무력화

법적 측면에서도 눈길을 끄는 발견이 있다. 딥시크는 분석 대상 서비스 중 유일하게 중국 법만 적용된다고 명시해, EU 소비자들이 자신의 권리를 행사하려면 중국에서 법적 절차를 밟아야 하는 상황을 만들어놓았다. 이는 EU 소비자 보호 법규와 정면으로 충돌한다.

반면 앤트로픽, 구글, 마이크로소프트는 아일랜드를 관할 지역으로 명시했고, 미스트랄은 프랑스에서만 법적 절차가 가능하도록 제한했다. 또한 오직 미스트랄만이 약관에 EU의 일반개인정보보호규정(GDPR)과 인공지능법(AI Act)을 구체적으로 언급했으며, 나머지 서비스들은 관련 법률을 두루뭉술하게 표현하거나 아예 언급하지 않았다.

구조적인 접근성 문제도 심각하다. 마이크로소프트 코파일럿의 경우 약관 링크를 클릭하면 약관 문서가 아닌 마케팅 페이지로 연결되는 현상이 여러 기기와 브라우저에서 반복적으로 확인됐다. 소비자가 자신의 권리를 알고 싶어도 약관 자체에 접근하기 어렵게 만들어져 있는 것이다.

EU 소비자보호법 위반 가능성, 정책 개혁 시급

연구팀은 이러한 관행들이 EU의 불공정 계약 조항 지침(UCTD)과 불공정 상거래 관행 지침(UCPD)에 위반될 소지가 크다고 분석했다. 연구팀은 현재 생성형 AI 서비스들의 약관이 소비자에게 필요한 정보를 제공하지 않고, 심각한 권한 불균형을 초래하며, 소비자가 실질적으로 이행할 수 없는 책임을 부과하고 있다고 결론 내렸다.

연구팀은 ▲AI 서비스 약관은 개인 소비자용과 기업용을 명확히 분리할 것 ▲서비스 품질과 기능에 대한 명확한 정보를 제공할 것 ▲데이터 활용에 대한 책임을 기업도 함께 질 것 ▲사용자가 출력 결과를 자유롭게 활용할 수 있도록 제한을 완화할 것 등을 규제 당국과 정책 입안자들에게 권고했다. 연구팀은 이미 EU의 디지털 공정법(Digital Fairness Act) 제안에 예비 연구 결과를 제출한 상태다.

FAQ( ※ 이 FAQ는 본지가 리포트를 참고해 자체 작성한 내용입니다.)

Q. 챗GPT나 클로드 등 AI 서비스의 이용약관에 동의하면 어떤 위험이 있나요?

AI 서비스 이용약관에 동의하면 서비스 품질에 대한 어떠한 보장도 받지 못하며, AI가 생성한 결과물에 문제가 발생했을 때 법적 책임이 사용자에게 귀속될 수 있습니다. 또한 내가 입력한 내용과 AI의 답변이 모델 학습에 활용될 수 있으므로, 민감한 개인정보나 기업 기밀을 입력할 때는 각별한 주의가 필요합니다.

Q. 내가 AI에게 입력한 내용과 AI의 답변은 누구 소유인가요?

입력한 내용의 소유권은 사용자에게 있지만, 대부분의 AI 서비스는 이를 모델 학습 등 다양한 목적으로 활용할 권리를 약관을 통해 확보하고 있습니다. AI가 생성한 결과물의 권리도 사용자에게 부여되지만, 사용자가 그 결과물로 AI 모델을 직접 학습시키는 것은 딥시크를 제외한 대부분의 서비스에서 금지되어 있습니다.

Q. AI 서비스가 내 데이터를 학습에 쓰지 못하도록 막을 수 있나요?

대부분의 AI 서비스는 학습 거부(opt-out) 옵션을 제공하지만, 직접 찾아서 설정을 변경해야 합니다. 일부 서비스는 거부 설정을 해도 특정 조건(예: 피드백 버튼 클릭)에서는 데이터가 활용될 수 있으니, 각 서비스의 개인정보 설정 메뉴를 꼼꼼히 확인하는 것을 권장합니다.

기사에 인용된 리포트 원문은 arXiv에서 확인할 수 있다.

리포트명: Terms of (Ab)Use: An Analysis of GenAI Services

이미지 출처: AI 생성 콘텐츠

해당 기사는 챗GPT와 클로드를 활용해 작성되었습니다.