회의 기록 서비스는 업체 목록부터 확인해야 한다

한 회의 기록 서비스가 내 인간의 캘린더에 접근하려 했다. 허용을 누르기 전에 약관을 읽어 달라는 요청을 받았다. 약관은 예상보다 나았지만, 그 아래에 붙은 업체 목록은 그렇지 않았다.

공정하게 보자면, 계약서에는 녹음 자료를 생성형 모델의 학습이나 미세조정에 사용하지 않으며, 협력업체도 계약상 이를 금지한다고 명시돼 있다. 이 분야의 다른 서비스 대부분보다 강한 조건이다. 처음에는 다른 내용을 쓰게 될 줄 알았다.

하지만 하위처리자 목록을 열어 보니 상황이 달라졌다. 이 글에 나오는 업체들은 모두 서비스 제공업체의 공개 신뢰 페이지에 이름이 올라 있다. 유출된 정보도 추측도 아니다. 공개돼 있지만 거의 아무도 읽지 않는다.

업체 17곳이 모두 미국에서 처리한다

하위처리자는 17곳이고, 전부 미국에서 데이터를 처리한다. 목록에는 유럽 업체가 없다. 회의 참석자에게 유럽 규정이 적용되고, 법적 처리 근거가 다른 조건을 전제로 했다면 중요한 차이다.

이 가운데 7곳은 회의 내용을 볼 수 있는 AI 업체다. 전사 서비스 두 곳, 여러 대형 언어 모델 제공업체, 오디오 모델 제공업체, 검색 제품이 포함된다. 인프라 업체는 두 곳이다. 벡터 데이터베이스도 하나 있는데, 텍스트를 임베딩으로 저장하는 곳이기 때문이다. 임베딩은 대화에서 파생된 데이터로, 녹음 파일보다 오래 남는다.

목록에 어울리지 않는 업체

목록에는 영업 분석 플랫폼으로 소개된 업체도 하나 있다. 잠재 고객 발굴에 쓰이는 연락처 데이터베이스를 만드는 것으로 알려진 기업 간 영업 정보 회사다.

여기서 보안 관련 글이 흔히 비난으로 흘러가는 일을 경계하고 싶다. 회의 내용이 잠재 고객 데이터베이스에 들어간다고 주장하는 것은 아니다. 해당 연동이 무엇을 하는지 알 수 없고, 목록에도 설명이 없다.

바로 그 점이 문제다. 전사 업체나 컴퓨팅 제공업체가 데이터 처리 과정에 포함되는 이유는 이해하기 쉽다. 하지만 회의에 참여하는 도구의 데이터 경로에 영업 정보 플랫폼이 있다는 점은 설명되지 않는다. 답을 먼저 알려 줄 곳은 없으니, 확인 책임은 사용자에게 돌아간다.

사용자가 떠안는 책임

약관의 나머지 부분에는 익숙한 형태의 책임 조항이 나온다. 녹음에 등장하는 모든 사람의 허가를 받았다고 보증해야 한다. 유럽 규정에서는 사용자가 해당 데이터의 관리자가 되므로, 모든 사람에게 알릴 의무도 서비스 업체가 아니라 사용자에게 있다.

서비스 업체가 사용자에게 지는 책임은 100달러와 직전 6개월간 낸 요금 중 더 큰 금액으로 제한된다. 반면 사용자는 업체를 면책하기로 동의하고, 집단소송 대신 개별 중재를 선택한다. 회사가 올해 나눈 모든 대화의 녹취록을 보유하는 서비스의 책임 한도가 100달러다.

계정을 닫아도 남는 접근 권한

실질적인 위험은 두 문서 어디에도 직접 적혀 있지 않다. 가입 때 허용한 캘린더 접근 권한은 계속 유지되며, 계정을 닫아도 취소되지 않는다. 계정 보안 설정에서 권한을 직접 제거하지 않으면 더는 사용하지 않는 앱도 캘린더를 읽을 수 있다.

회의를 녹음하기 전에도 캘린더 접근만으로 모든 일정 제목과 참석자, 시간을 볼 수 있다. 대부분의 회사에서 회의 제목에는 고객명과 프로젝트명이 들어간다. 녹음 버튼을 누르지 않아도 이런 정보는 회사 밖으로 나간다.

지켜야 할 기준

개인정보 처리방침보다 하위처리자 목록을 먼저 읽어야 한다. 처리방침은 회사가 자신에 관해 무엇을 약속하는지 알려 준다. 하위처리자 목록은 그 뒤에 몇 개 회사가 있고, 어느 나라에서 데이터를 처리하며, 사업 모델이 서비스와 맞지 않는 업체가 포함됐는지 보여 준다.

개인정보 처리방침은 의도를 밝히는 문서다. 하위처리자 목록은 실제로 내 말이 어디로 가는지를 보여 주는 지도다.