사실관계
캐나다 연방 프라이버시 커미셔너실(OPC), 퀘벡주 정보접근위원회(CAI), 브리티시컬럼비아주와 앨버타주의 정보·프라이버시 커미셔너는 OpenAI OpCo, LLC를 공동으로 조사했다. 조사 대상은 ChatGPT를 개발·제공하기 위해 캐나다 내 개인의 개인정보를 수집·이용·제공한 행위였으며, 조사 착수 당시 ChatGPT에 쓰이던 GPT-3.5와 GPT-4 모델이 중심이었다. 사전학습 데이터의 99% 이상은 공개된 인터넷 출처를 자동 수집(스크래핑)해 얻었고, 나머지는 이용허락을 받은 데이터셋이었다. 미세조정 단계에서는 이용자와 ChatGPT의 대화도 쓰였다. 출처에는 민감정보나 아동 정보가 담길 수 있는 소셜미디어와 토론 게시판도 포함되었다.
쟁점
조사는 일곱 가지 쟁점을 다루었다. 합리적인 사람이 적절하다고 볼 목적으로 필요한 범위에서만 정보를 수집했는지, 유효한 동의를 받았는지, 투명성 의무를 지켰는지, ChatGPT가 생성하는 개인에 관한 정보의 정확성을 위해 합리적인 조치를 했는지, 개인의 열람·정정을 보장했는지, 적절한 보존·파기 절차가 있었는지, 관리하는 개인정보에 대해 책임을 다했는지였다. 특히 OpenAI는 공개된 출처에서 수집한 정보에 대해서는 묵시적 동의에 기댈 수 있다고 주장했고, 이 점이 핵심 쟁점이 되었다.
판단
감독기관들은 2026년 5월 6일 공개한 조사 결과에서, 모델 학습을 위해 공개 웹사이트와 이용허락 출처로부터 개인정보를 수집한 방식이 지나치게 광범위해 부적절했다고 판단했다. 개인은 온라인에 게시된 자신에 관한 정보가 모델 학습에 쓰이리라고 합리적으로 예상할 수 없었고, 유효한 동의도 없었다. 투명성, 정확성, 열람·정정, 보존, 책임성 의무도 충족되지 않았다. OpenAI가 기존 모델을 폐기하고 개인정보를 가리는 필터를 도입하며 추가 이행을 약속하자, OPC는 민원이 이유 있으나 조건부로 해결되었다고 결론지었다. 브리티시컬럼비아주와 앨버타주 커미셔너는 스크래핑한 데이터로 만든 모델에 대해서는 동의를 받지 않았고 받을 수도 없다고 보았다. CAI의 결론은 쟁점별로 달랐다.
의의
이번 조사 결과는 스크래핑한 데이터로 학습한 LLM의 동의 문제에 대해 한 나라 안의 감독기관들도 서로 다른 결론에 이를 수 있음을 보여 준다. OPC는 PIPEDA를 실용적이고 유연하게 해석해 OpenAI의 이행 약속으로 문제가 해소될 수 있다고 보았다. 반면 보다 구체적인 주법을 적용한 두 커미셔너는 이러한 모델에 대해서는 동의를 받을 수 없다고 판단했다. 보고서에는 OpenAI가 조사 결과에 대체로 동의하지 않았다는 점도 적혀 있다. 감독기관들은 분기별 보고를 통해 이행 상황을 점검한다.
관련 절차
OpenAI는 보고서 공개 후 3개월 안에 로그인하지 않은 ChatGPT 웹 화면에서 대화가 검토되고 학습에 쓰일 수 있다고 고지하고, 6개월 안에 데이터 내보내기 결과를 더 이해하기 쉬운 형태로 제공하기로 약속했다.