포럼에 이 질문을 올리면 확신에 찬 답이 둘 나와요. “당연히 다 팔지”와 “그건 불법이잖아”예요. 둘 다 틀렸고, 그 사이에 쓸 만한 정보가 있어요.
“판매”는 세 가지를 뜻해요
대화 내용을 파는 것. 대화 로그를 돈 받고 제3자에게 넘기는 일은 드물고, 대부분의 시장에서 법적으로 위험하고, 유출되는 날 헤드라인이 될 거예요. 사업자들은 크게 부인하고, 주류 컴패니언 앱이 그랬다는 공개 증거는 없어요.
이용 데이터를 광고주와 공유하는 것. 흔한 건 이쪽이에요. 앱이나 웹사이트에 심어진 광고·분석 코드, 곧 소프트웨어 개발 키트(SDK)가 무엇을 언제 어떤 기기에서 하는지 보고해요. 미국 캘리포니아의 개인정보 보호법에서는 맥락을 넘나드는 행동 기반 광고를 위해 개인정보를 다른 쪽에 넘기는 것을 “공유(sharing)”로 보고, 가치 있는 무언가와 교환하면 “판매(sale)”가 될 수 있어요. 그래서 앱은 대화를 판 적이 없다고 사실대로 말하면서도, 법적 의미로는 나를 팔 수 있어요.
서비스 제공업체에 넘기는 것. 서버를 호스팅하는 회사, 답장을 만드는 모델 제공업체, 카드를 결제하는 결제 대행사예요. 이런 이전은 제품이 작동하는 데 필요하고 판매가 아니에요. 하지만 그래도 남의 시스템에 있는 내 데이터의 사본이에요.
사람들이 잊는 네 번째 경로가 있어요. 소유자 변경이에요. 거의 모든 방침이 사업이 매각되면 데이터가 인수자에게 넘어간다고 적어요. 컴패니언 앱 Soulmate는 2023년에 문을 닫기 직전 주인이 바뀌었어요. AI 컴패니언이 하룻밤에 달라질 때를 보세요.
유일한 체계적 감사가 발견한 것
2024년 2월 Mozilla Foundation은 Privacy Not Included 가이드를 위해 Replika, Chai, EVA AI를 포함한 로맨틱 AI 챗봇 11개를 조사했어요. 합쳐서 Google Play 다운로드가 약 1억 건으로 추정됐어요. 전부 Mozilla의 개인정보 경고 라벨을 받았어요.
Mozilla가 2024년 2월에 조사한 11개 앱 중 각 항목에 해당한 앱의 비율이에요. 출처: Mozilla Foundation, Privacy Not Included.
가장 눈에 띈 건 트래커 수였어요. Mozilla는 이용 첫 1분 동안 앱 평균 2,663개의 트래커를 셌어요. 한 앱 Romantic AI가 1분에 24,354개를 작동시켜서 평균이 크게 끌어올려진 숫자예요. 그다음인 EVA AI는 955개였어요.
결론을 내리기 전에 단서가 둘 있어요. 2024년 초의 스냅샷이라 방침은 바뀌었을 수 있어요. 그리고 오늘날 이 분야를 이끄는 앱 몇 곳은 표본에 없었어요. 이 감사의 가치는 특정 앱에 대한 판정보다 이 분야의 기본값이 무엇인지 보여준 데 있어요.
개인정보 처리방침에서 답 읽기
전부 읽을 필요는 없어요. 몇 가지 문구를 검색해서 주변 문단만 읽으세요.
| 방침에 이런 말이 있으면 | 보통 이런 뜻이에요 | 걱정해야 하나요? |
|---|---|---|
| “개인정보를 판매하지 않습니다” | 좁은 의미의 판매는 없어요. “공유”는 따로 확인하세요 | “공유”도 나온다면 그래요 |
| “광고 파트너”, “맞춤형 광고” | 트래커가 이용 기록으로 광고 프로필을 만들어요 | 네. 가능하면 거부하세요 |
| “계열사” | 같은 소유자 아래의 다른 회사들, 때로는 여러 앱이에요 | 소유자가 누구냐에 따라 달라요 |
| “서비스 개선을 위해”, “학습” | 대화가 모델 학습에 쓰일 수 있어요 | 네. 거부 옵션을 찾으세요 |
| “합병, 인수 또는 자산 매각” | 회사가 팔리면 인수자가 데이터를 가져요 | 일반적이지만 기억해두세요 |
| “공개가 필요하다고 판단하는 경우” | 법원 명령 없이도 당국에 공개해요 | 더 좁은 한정이 없다면 그래요 |
“개인정보 판매 또는 공유 거부”나 “Your Privacy Choices”라고 적힌 하단 링크는 그 자체로 유용한 단서예요. 캘리포니아는 개인정보를 판매하거나 공유하는 사업자에게 이를 요구해요. 그러니 이 링크가 있다는 건 일부 공유가 일어난다는 인정이고, 동시에 그걸 멈추는 버튼이에요.
오늘 밤 해볼 수 있는 5분 점검
- 방침에서 검색하세요. sell, share, advertis, train, affiliate를 찾으세요. 검색 다섯 번, 문단 다섯 개예요.
- 스토어 라벨을 보세요. Apple의 “사용자를 추적하는 데 사용되는 데이터”와 Google Play의 “데이터 보안” 항목은 개발자가 직접 채우는 것이라 감사가 아니라 주장이에요. 하지만 거기서 추적을 인정하는 앱이 실제로 더 낫지는 않을 거예요.
- 웹 버전을 쓴다면 브라우저에서 Global Privacy Control을 켜세요. 캘리포니아 규정은 사업자가 이 신호를 판매·공유 거부로 처리하도록 요구해요.
- iPhone에서는 추적 요청을 거절하고, Android에서는 광고 ID를 초기화하세요.
- 앱에 광고가 나오는지 보세요. 나온다면 내 관심과 데이터가 앱이 비용을 치르는 방식의 일부예요. AI 컴패니언 앱은 어떻게 돈을 버나를 보세요.
한국에서 법이 도와주는 곳, 그리고 한계
한국의 개인정보 보호법은 개인정보 열람(제35조), 정정·삭제(제36조), 처리정지(제37조)를 요구할 권리를 줘요. 처리하는 쪽은 열람 요구를 받으면 10일 안에 열람하게 하거나, 10일 안에 지연·거절 사유와 이의 제기 방법을 알려야 해요. 감독 기관은 개인정보 보호위원회(PIPC, pipc.go.kr)이고, 불만은 개인정보침해 신고센터(118)나 개인정보 분쟁조정위원회(1833-6972)에 접수할 수 있어요.
이 법이 실제로 쓰인 사례도 있어요. 챗봇 이루다를 만든 스캐터랩은 2021년 4월 28일 개인정보 보호위원회로부터 과징금과 과태료 합계 1억 330만 원을 부과받았어요. 이용자 약 60만 명의 카카오톡 대화 약 94억 건을 제대로 된 동의 없이 재사용했고, 이름과 주소를 지우지 않았고, 대화 1,431문장을 GitHub에 공개한 것이 문제였어요. 위원회가 AI 기업에 내린 첫 제재였어요. DeepSeek의 경우 2025년 2월 15일 위원회의 요청으로 국내 앱 스토어 다운로드가 중단됐고, 같은 해 4월 23일 시정 권고가 나왔어요. 이용자 프롬프트가 동의 없이 해외의 ByteDance 계열 서비스로 전송된 것이 쟁점이었어요. AI 컴패니언 앱을 상대로 한 위원회의 조치는 찾지 못했어요.
해외에서도 같은 흐름이에요. EU와 영국에서는 GDPR이 같은 권리와 그 이상을 주고 규제 기관이 실제로 써요. 이탈리아는 2025년에 Replika 운영사에 500만 유로를 부과했는데, 이용자 데이터를 어떻게 쓰는지 설명하지 않은 개인정보 방침도 이유 중 하나였어요.
미국 주별 AI 컴패니언 법은 미국의 AI 컴패니언 법에서 다뤘는데, 공개와 위기 대응에 집중하고 데이터에 대해서는 더한 게 거의 없어요. 주된 예외는 좁아요. 유타주의 정신건강 챗봇 법은 이용자의 건강 정보를 판매하거나 공유하는 것과 이용자가 입력한 내용에 따른 광고 타기팅을 금지해요.
솔직한 답
대부분의 컴패니언 앱은 대화를 팔지 않아요. 많은 앱은 광고·분석 회사가 내 이용 방식을 지켜보게 두고, 거의 모두가 지금 하는 것보다 더 많이 할 권리를 쥐고 있어요. 조심스러운 앱과 부주의한 앱의 차이는 방침과 설정에서 보이고, 찾는 데는 5분이면 돼요. 남의 데이터베이스에 있기를 원하지 않을 내용을 입력하기 전에 쓰기 좋은 5분이에요. 나머지는 네 가지 개인정보 점검에서 다뤄요.