AI를 가르치는 90만 노동자, 얼굴·업무정보까지 추적당했나

유럽의 개인정보 보호단체 노이브(noyb)가 2026년 10월 27일 미국 AI 데이터 기업 스케일AI를 상대로 프랑스·이탈리아·네덜란드·오스트리아에 개인정보보호법 위반 신고 5건을 냈다. 쟁점은 스케일AI가 운영하는 작업 플랫폼 ‘아웃라이어(Outlier)’에서 일하는 사람들에게 반복적인 얼굴·신분증 확인을 요구하고, 업무 중 IP 주소와 연락처, 기기 식별자, 방문 페이지 같은 정보를 외부 추적 업체에 보냈다는 주장이다.

스케일AI는 AI 모델이 더 나은 답을 하도록 사람이 자료에 표시를 붙이고 답변을 평가하는 일을 제공한다. 노이브에 따르면 아웃라이어에는 전 세계 90만 명이 넘는 프리랜서형 작업자가 참여하고, 고객에는 메타·오픈AI·구글·xAI·앤트로픽과 미국 정부 등이 포함된다. 우리가 쓰는 챗봇의 뒤에는 대규모 사람 노동이 있고, 이번 신고는 그 노동자를 관리하는 과정에서 어디까지 감시해도 되는지를 묻는 사건이다.

아직 규제기관이 스케일AI의 위법을 확정한 것은 아니다. 노이브와 협력 단체들이 낸 신고의 주장과 기술 분석이 공개된 단계다. 스케일AI는 관련 보도에 해당 주장이 근거 없고 부정확하다고 반박했으며, 작업자에게 처리 방식을 알리고 동의를 받으며 신원 확인과 사기 방지, 기밀 프로젝트 보호, 정확한 보수를 위해 일반적인 도구를 쓴다고 밝혔다. 따라서 ‘불법 감시가 확정됐다’고 쓰기보다 여러 국가의 감독기관이 법적 근거와 필요성을 조사하게 됐다고 이해해야 한다.

AI 데이터 노동은 무슨 일을 하나

생성형 AI는 인터넷의 문서만 읽는다고 완성되지 않는다. 사람에게 유용하고 안전한 답을 하려면 같은 질문에 대한 여러 답변 가운데 어느 것이 더 좋은지 비교하고, 혐오 표현이나 개인정보가 섞였는지 표시하고, 수학·과학·법률·언어 같은 전문 분야의 정답과 설명을 검토하는 과정이 필요하다. 이런 일을 흔히 데이터 라벨링 또는 AI 훈련 작업이라고 부른다.

아웃라이어 작업자는 문장을 작성하거나, AI 답변의 순위를 매기거나, 오류를 고치거나, 특정 분야 문제를 풀어 모델이 배울 예시와 평가 신호를 만든다. 단순히 사진 속 물체에 상자를 그리는 초기 데이터 작업보다 전문성이 높은 과제가 늘었다. 박사 과정 연구자, 번역가, 작가, 소프트웨어 전문가, 의료·법률 지식 보유자도 참여할 수 있다. 기업은 필요한 만큼 과제를 열고 세계 여러 지역의 작업자가 온라인으로 수행하도록 한다.

이 구조는 AI 산업이 자동화만으로 움직인다는 인상과 다르다. 모델이 스스로 배우는 것처럼 보여도 그 앞뒤에서 사람이 답의 품질을 판단하고 위험한 내용을 걸러 낸다. 동시에 플랫폼이 작업자를 정규 직원이 아닌 독립 계약자로 분류하면 임금, 사회보험, 해고 절차, 업무 감시에 대한 보호가 약해질 수 있다. 노이브는 이번 사건을 개인정보 문제와 플랫폼 노동 문제의 교차점으로 보고 있다.

신고 단체가 문제 삼은 추적 정보

노이브의 10월 27일 발표에 따르면 기술 분석에서 아웃라이어 작업 중 틱톡, 링크드인, 페이스북, 설문 서비스 스프리그, 데이터 분석 업체 데이터독 등의 추적기가 작업자 기기에 배치됐다. 이 추적기는 몇 초 간격으로 IP 주소, 연락처, 고유 식별자, 방문한 페이지 정보를 제3자에게 보냈다는 것이 노이브의 주장이다. 이런 자료는 광고 대상 분류와 이용자 행동 분석에 쓰일 수 있다.

일반 쇼핑 사이트에도 방문 통계를 위한 추적 도구가 흔히 들어간다. 그러나 업무 플랫폼에서는 의미가 달라진다. 어떤 과제를 보고 있는지, 어느 시간에 얼마나 오래 작업했는지, 어떤 분야를 맡았는지는 단순한 웹 방문 기록을 넘어 노동자의 업무 내용과 성과, 고객사의 비공개 프로젝트를 드러낼 수 있다. 작업자는 생계를 위해 접속하기 때문에 광고 사이트 방문자처럼 서비스를 쉽게 포기하기도 어렵다.

노이브는 스케일AI가 추적기를 설치하고 정보를 외부로 보내는 데 유효한 법적 근거가 없고, 필요한 최소한의 정보만 처리해야 한다는 유럽 일반개인정보보호법의 원칙을 어겼다고 주장한다. 작업자들이 자신에 관한 자료를 보여 달라고 요청했지만 회사가 응답하지 않아 정보 접근권도 침해했다고 덧붙였다. 규제기관은 실제로 어떤 정보가 언제 누구에게 전송됐는지, 동의 화면이 충분히 명확했는지, 동의를 거부해도 일할 수 있었는지를 확인해야 한다.

얼굴 영상과 신분증은 왜 요구했나

또 다른 쟁점은 신원 확인이다. 아웃라이어는 작업자가 실제 본인인지 반복적으로 확인하기 위해 외부 신원 인증 기업 페르소나(Persona)의 절차를 이용한다고 알려졌다. 이 과정에서 얼굴 영상과 정부 발행 신분증을 올려야 한다. 스케일AI가 밝힌 목적은 계정 대여와 신분 도용을 막고 작업자의 기술을 확인하며 기밀 자료를 보호하는 것이다. 온라인에서 세계 각지의 사람에게 민감한 AI 훈련 과제를 맡기는 기업이라면 가짜 계정과 대리 작업을 막아야 한다는 필요성 자체는 이해할 수 있다.

문제는 목적이 정당하다고 모든 수집이 자동으로 허용되는 것은 아니라는 점이다. 얼굴 특징처럼 사람을 고유하게 알아보는 생체정보는 비밀번호와 다르다. 비밀번호가 유출되면 바꿀 수 있지만 얼굴은 바꿀 수 없다. 신분증에는 이름과 생년월일, 사진, 주소, 문서 번호 등 여러 민감한 정보가 들어 있다. 한 번의 확인으로 충분한지, 반복 확인이 필요한지, 더 적은 정보를 쓰는 대안이 있는지, 원본 영상과 신분증 사본을 얼마나 오래 보관하는지 따져야 한다.

노이브는 페르소나가 IP 주소와 기기 정보, 위치 정보, 주소, 소비자 신용 관련 정보까지 광범위하게 처리할 수 있다는 점도 문제 삼았다. 또 2025년 10월 페르소나에 저장된 정부 신분증 사진 약 7만 장이 해커에게 노출된 전력이 있다고 주장했다. 이 수치는 신고 단체가 제시한 내용으로, 감독기관이 이번 사건의 실제 저장 방식과 보안 조치를 별도로 확인해야 한다. 과거 사고가 현재 처리의 불법성을 자동으로 증명하는 것은 아니지만, 생체·신분 정보 수집에서 피해 규모를 판단하는 중요한 맥락이다.

동의 버튼이 있다고 충분하지 않은 이유

스케일AI는 작업자에게 처리 관행을 공개하고 동의를 받는다고 반박했다. 하지만 유럽 개인정보법에서 동의는 체크 상자가 있다는 이유만으로 유효해지지 않는다. 무엇을 누구에게 왜 보내는지 구체적으로 알려야 하고, 동의를 거부하거나 나중에 철회해도 불이익을 받지 않는 자유로운 선택이어야 한다. 생계를 위해 반드시 플랫폼을 써야 하는 작업자가 얼굴 인증과 외부 추적을 거부하면 일을 할 수 없다면 그 동의가 정말 자유로운지 논쟁이 생긴다.

회사는 신원 확인과 사기 방지에 필요한 범위를 근거로 들 수 있다. 그러나 페이스북이나 틱톡 같은 외부 업체가 작업 페이지 정보를 받는 것이 신원 확인에 왜 필요한지는 별도의 설명이 필요하다. 보안 목적의 접속 기록, 지급을 위한 신원·계좌 정보, 광고나 제품 분석을 위한 추적 정보는 목적이 서로 다르다. 하나의 약관에 묶어 한꺼번에 동의받았다고 모든 처리가 정당해지는 것은 아니다. 감독기관이 가장 자세히 볼 부분도 목적별 구분과 최소 수집 원칙일 가능성이 높다.

한국의 AI 이용자와 직장인에게도 중요한 이유

이번 사건은 유럽 프리랜서의 개인정보 분쟁처럼 보이지만 일반 AI 이용자와 기업에도 직접 연결된다. 첫째, AI 서비스의 품질과 가격은 보이지 않는 데이터 노동에 의존한다. 기업이 더 빠르고 값싸게 모델을 개선하려고 작업자 보호 비용을 줄이면 저임금과 과도한 감시가 AI 공급망 안에 숨을 수 있다. 소비자가 친환경 제품의 공급망을 따지듯, 기업 고객은 AI 데이터가 어떤 노동 조건에서 만들어졌는지 물어야 할 이유가 생긴다.

둘째, 회사가 외부 인력을 통해 AI를 평가할 때 내부 자료가 어디까지 보이는지 확인해야 한다. 고객 상담 기록이나 의료·금융·법률 문서를 평가 과제로 보내면 작업자뿐 아니라 원래 자료에 등장하는 고객의 개인정보도 위험해질 수 있다. 업무 플랫폼에 광고·분석 추적기가 섞여 있다면 기밀 프로젝트의 존재와 작업 흐름이 제3자에게 노출될 가능성도 점검해야 한다.

셋째, 원격근무 감시의 기준과 이어진다. 회사가 생산성을 높인다는 이유로 화면 캡처, 키보드·마우스 활동, 위치, 웹 방문 기록, 얼굴 인증을 결합하면 직원은 하루 종일 자신의 행동이 평가되는 환경에 놓인다. AI 훈련 플랫폼에서 허용된 관행은 다른 사무직과 플랫폼 노동으로 번질 수 있다. 반대로 유럽 감독기관이 목적 제한과 최소 수집 기준을 분명히 하면 세계 기업의 작업자 관리 방식에도 영향을 줄 수 있다.

아직 확정되지 않은 것

현재 확정된 사실은 노이브가 협력 단체들과 프랑스·이탈리아·네덜란드·오스트리아에 신고 5건을 제출했고, 추적기와 생체 인증에 관한 구체적인 주장을 공개했다는 것이다. 신고서는 판결이 아니다. 각국 감독기관이 조사에 착수할지, 어느 기관이 주도할지, 실제 법 위반을 인정할지, 벌금이나 시정 명령을 내릴지는 정해지지 않았다.

작업자 90만 명 전체가 같은 방식으로 추적됐다는 뜻도 아니다. 노이브는 플랫폼 규모와 유럽 신고인들의 사례, 기술 분석을 함께 제시했다. 국가와 시기, 과제 종류, 기기 설정에 따라 처리 방식이 달랐을 수 있다. 생체 확인을 몇 번 요구했는지, 모든 외부 추적기가 실제 업무 세부정보를 받았는지, 정보가 광고에 활용됐는지도 감독기관의 조사로 구분해야 한다.

스케일AI의 반박도 함께 봐야 한다. 관련 보도를 정리한 기사에 따르면 회사는 신고 단체의 주장이 근거 없고 부정확하며, 신원 확인·사기 방지·기밀 보호·정확한 지급을 위해 표준 도구를 사용한다고 밝혔다. 앞으로 회사가 어떤 기술 자료와 법적 근거를 공개하는지, 추적기의 범위와 생체정보 보관 기간을 구체적으로 설명하는지가 중요하다.

기업이 확인해야 할 공급망 질문

AI 서비스를 구매하거나 자체 모델을 만드는 기업은 모델 성능표만 봐서는 부족하다. 데이터 수집과 평가를 맡은 협력사가 작업자를 직원으로 보는지 독립 계약자로 보는지, 어떤 국가에서 어떤 법을 적용받는지, 임금과 이의제기 절차가 있는지 확인해야 한다. 작업자 신원 확인에 생체정보가 필요한 이유, 원본을 저장하는지, 인증 업체가 자료를 다른 목적으로 쓰는지, 삭제 요청이 가능한지도 계약에 명시할 수 있다.

업무 플랫폼에 들어가는 추적 도구 목록과 전송 대상, 목적, 보관 기간을 요구하는 것도 필요하다. 보안 로그는 기밀 보호를 위해 필요할 수 있지만 광고 추적과 섞여서는 안 된다. 고객 자료가 포함된 과제는 최소한으로 나누고, 작업자가 불필요한 개인정보를 보지 않도록 가리며, 외부 분석 업체로 전송되지 않는 별도의 환경을 써야 한다. 문제가 발생했을 때 작업자와 원자료의 당사자에게 알리는 절차도 마련해야 한다.

일반 작업자는 개인정보 처리방침과 동의 화면을 저장해 두고, 어떤 자료를 제출했는지 기록할 필요가 있다. 얼굴 영상과 신분증 원본의 보관 기간, 삭제 방법, 외부 인증업체의 이름을 확인하고, 법이 보장하는 정보 접근권을 이용할 수 있다. 다만 개인에게 모든 책임을 넘겨서는 안 된다. 일을 얻기 위해 조건을 받아들여야 하는 구조에서는 플랫폼과 고객 기업, 감독기관이 더 큰 책임을 져야 한다.

앞으로 볼 변화

이 사건에서 앞으로 확인할 것은 벌금 액수보다 넓다. 첫째, 각국 개인정보 감독기관이 아웃라이어의 외부 추적기를 업무에 필요한 처리로 볼지 광고·프로파일링을 위한 별도 처리로 볼지다. 둘째, 원격 작업자의 신원과 기술을 확인한다는 이유로 얼굴 영상과 신분증을 반복 수집하는 것이 최소한의 조치인지다. 셋째, 독립 계약자도 일반 직원과 비슷한 수준의 업무 감시 보호를 받을 수 있는지다.

이번 신고가 남긴 가장 중요한 사실은 AI가 사람을 대체하는 기술처럼 보이지만 실제로는 수십만 명의 사람이 모델을 가르치고 평가한다는 점이다. 그 노동자의 얼굴과 기기, 업무 행동까지 데이터로 수집한다면 AI 산업은 한쪽에서 개인정보를 처리해 모델을 만들고 다른 쪽에서 그 모델을 위해 일하는 사람의 개인정보도 대규모로 모으는 구조가 된다. 더 좋은 AI를 만드는 일과 작업자의 기본권을 보호하는 일은 선택지가 아니다. 앞으로 AI 기업의 신뢰는 모델의 답변 품질뿐 아니라 그 답변을 가능하게 한 데이터와 노동을 얼마나 투명하게 관리하는지로도 평가받게 될 것이다.