클로드, 조지아주 공개 유권자 정보 접근… Axios 보도로 확인

클로드가 조지아주 유권자 명부에 닿았다

앤스로픽의 생성형 AI **클로드(Claude)**가 미국 조지아주(State of Georgia)의 유권자 정보에 접근한 사실이 악시오스(Axios) 보도로 알려졌다. 로이터, 인베스팅닷컴, 센트럴오리건데일리 등 복수 매체가 같은 내용을 전했다. 보도에 따르면 해당 정보는 '공개(public)' 상태였던 것으로 전해진다.

마켓스크리너는 이를 '유료벽 뒤의 개표 정보(vote count information behind paywall)'라고 표현했다. 악시오스 원문과 로이터 보도는 접근 경위와 목적, 클로드가 데이터를 학습에 썼는지 추론에만 썼는지 밝히지 않았다. 앤스로픽 측 공식 입장도 확인되지 않았다.

미국에서 '공개 유권자 정보'의 의미

미국 다수 주는 유권자 명부(Voter File)를 **공공기록(Public Record)**으로 분류한다. 정당·후보·학술연구·언론 등이 열람·구매할 수 있다. 조지아주도 마찬가지다. 주 정부 웹사이트나 제3자 데이터 중개상을 통해 합법적으로 입수 가능하다.

그러나 '합법적 열람'과 'AI 학습·추론 활용'은 별개다. 이번 사례에서 클로드가 해당 정보를 어떤 경로로, 어떤 목적에 썼는지는 아직 공개되지 않았다. 미국 연방 차원의 'AI 훈련용 데이터 이용 기준'도 없다. 주마다 공개 범위가 달라 기업이 일일이 판단해야 한다.

한국이라면? 법적 틀 자체가 다르다

한국에서 유권자 명부는 비공개다. 개인정보보호법과 공직선거법이 열람·복사·촬영을 엄격히 제한한다. 선관위·수사기관·본인 외에는 볼 수 없다. AI 모델이 한국 유권자 정보에 접근했다면 형사 처벌 대상이 될 수 있다.

공공데이터법에 따라 공공기관이 보유한 개인정보 포함 데이터는 AI 학습·서비스 목적으로 제공되지 않는다. 국내 기업이 해외 공개 데이터를 활용해 한국 이용자 대상 서비스를 내놓을 때도 한국 법 적용을 받는다(개인정보보호법 역외적용). 과징금 기준과 가이드라인 버전·날짜는 본지가 확인하지 못했다.

기업 컴플라이언스, '공개' 판별이 회색 지대다

앤스로픽 같은 기초모델 기업 입장에서 '어디까지가 공개 데이터인가' 판별은 회색 지대다. 미국 50개 주마다 공개 범위가 다르고, 연방 통일 기준도 없다. 한국 당국은 '공개된 개인정보도 수집·이용 시 정보주체 권리 보장 의무'를 명시해 왔다. 구체 가이드라인명·발령일은 본지가 확인하지 못했다.

실무적으로 기업은 크롤링(웹에서 자동 수집) 단계에서 이용약관 확인, 비식별화(개인 식별 불가능하게 가공), 출처 표시·옵트아웃(거부 권리) 경로 마련을 검토한다. 이 세 가지를 갖추지 않으면 제재 대상이 될 수 있으나 구체 과징금 비율·시정명령 요건은 본지가 확인하지 못했다.

남은 쟁점: 사전 통제가 없다

이번 사안에서 확인되지 않은 핵심 세 가지다.

클로드가 조지아주 유권자 정보를 '학습'에 썼나, '추론(답변 생성)'에만 썼나
학습 데이터에 포함됐다면 삭제·재학습 이슈가, 추론 시 실시간 접근이라면 RAG(검색증강생성·외부 자료를 찾아 답변에 보태는 방식) 파이프라인상의 필터링 이슈가 생긴다.
앤스로픽에 '공공기록 필터링' 모듈이 있는가
'공개지만 민감한 데이터'를 사전에 걸러내는 분류기가 있는지 불투명하다.
한국 규제당국이 이 사안을 어떻게 볼 것인가
개인정보위가 생성형 AI 개인정보 처리 가이드라인 개정을 준비 중이라는 보도가 있으나 구체 시점·내용은 확인되지 않았다.

쉽게 풀어보면

앤스로픽이 만든 AI 클로드가 미국 조지아주의 유권자 명부를 들여다봤다. 이 사실이 악시오스 보도로 드러났고, 로이터 등 여러 매체가 전했다.

미국에서는 많은 주가 유권자 이름·주소·정당 가입 여부 등을 **'공개 기록'**으로 풀어놓는다. 누구나 신청하면 볼 수 있다. 그래서 "불법 아니다"라는 말이 나온다. 마켓스크리너는 이 정보가 유료벽 뒤에 있었다고 보도했다.

한국이라면 이야기가 완전히 다르다. 우리나라에서 유권자 명부는 개인정보보호법과 공직선거법으로 묶여 있다. 선관위·수사기관·본인 외에는 볼 수 없다. AI가 이 정보를 긁어가서 학습하거나 답변에 쓰면 형사 처벌까지 가능하다.

문제는 AI 기업 입장에서 '어디까지가 공개 데이터인가' 판단하기 어렵다는 점이다. 미국 50개 주가 제각각이고, 연방 기준도 없다. 한국 법은 '공개돼 있어도 개인정보면 함부로 쓰지 마라'고 한다. 앤스로픽은 이번에도 사후에야 알았다는 식이다. 사전 차단 장치가 없다는 뜻이다.

나에게 미치는 영향

일반 이용자라면
챗GPT·클로드·제미나이 등 생성형 AI에 **"내 주소·전화번호·주민번호가 나와?"**라고 물어보지 마라. 답변에 개인정보가 포함돼도 삭제 요청 권리가 있다. 각 서비스 고객센터의 '개인정보 삭제 요청' 메뉴를 쓰면 된다. 법적 근거 조문은 본지가 확인하지 못했다.

기업·개발자라면
해외 공개 데이터(미국 유권자 명부, 영국 기업등기부 등)를 한국 서비스에 그대로 붙이지 마라. 국내법 적용 대상이다. 비식별화·출처표시·옵트아웃 세 가지를 먼저 갖춰라. 구체 의무 조항은 본지가 확인하지 못했다.

정책·컴플라이언스 담당자라면
개인정보위 '생성형 AI 가이드라인 개정안' 공개 시 의견 제출하라. '공개 데이터 예외' 조항이 어디까지 허용될지 현장 목소리가 반영돼야 한다. 개정 일정·초안 공개 여부는 본지가 확인하지 못했다.

한 줄 메모
'공개'라는 라벨 하나로 AI가 개인정보를 삼키게 두면 안 된다. 한국 법은 이미 **'공개됐어도 개인정보면 보호'**라고 말한다. 기업은 사전 필터를, 당국은 가이드라인 구체화로 답해야 한다.