AI 프라이버시 · 머신 언러닝
AI 서비스에서 대화나 사진을 삭제하면 그 정보는 완전히 사라질까요? 화면의 기록을 지우는 일과 이미 학습을 마친 AI에서 해당 정보의 영향을 없애는 일은 다릅니다. AI가 배운 내용을 골라서 잊게 만드는 기술을 머신 언러닝(Machine Unlearning)이라고 합니다.
먼저 알아둘 점
UNIST 연구팀이 발표한 스포터(Spotter)는 지우려는 정보와 닮은 정상 정보는 보호하면서, 삭제한 내용을 소량의 데이터로 되살리는 공격까지 막도록 설계됐습니다. 다만 이미지 인식 모델에서 특정 범주를 지운 연구이므로, 현재 모든 생성형 AI에서 개인정보를 완전히 삭제할 수 있다는 뜻은 아닙니다.
대화 삭제와 AI 학습 정보 삭제는 다릅니다
AI 개인정보 삭제를 이해하려면 다음 세 단계를 나눠 봐야 합니다.
- 화면의 대화 기록 삭제: 계정에 표시되는 채팅이나 업로드 기록을 지웁니다.
- 보관 데이터 삭제: 서비스 운영자가 보관한 원본 데이터나 로그를 지웁니다.
- 학습 영향 제거: 특정 데이터 때문에 달라진 모델을 다시 조정합니다.
대화 기록을 지웠다고 해서 모델에 남은 영향까지 자동으로 사라지지는 않습니다. 처리 방식과 보관 기간, 학습 사용 여부는 서비스마다 다릅니다. 정확한 내용은 해당 서비스의 개인정보 처리방침과 데이터 관리 메뉴에서 확인해야 합니다.
AI 모델은 학습 자료를 파일처럼 한 칸에 보관하지 않습니다. 수많은 자료에서 패턴을 배우면서 매개변수를 바꾸기 때문에, 원본 파일 한 개를 지우듯 특정 정보만 찾아 없애기 어렵습니다.
머신 언러닝은 무엇을 지우는 기술일까
머신 언러닝은 학습이 끝난 모델에서 지정한 데이터나 범주가 미친 영향만 골라 없애려는 기술입니다. 삭제할 자료를 뺀 뒤 모델을 처음부터 다시 학습하면 가장 확실하지만, 모델이 클수록 시간과 비용이 많이 듭니다.
연구자들은 전체 학습을 되풀이하지 않고도 얼굴 인식 모델에서 삭제를 요청한 사람의 정보를 지우고, 학습 자료에 들어간 개인정보·유해 콘텐츠·저작권 침해 자료의 영향을 줄이는 방법을 찾고 있습니다.
삭제 대상의 정확도만 낮췄다고 해서 AI가 제대로 잊었다고 단정할 수는 없습니다. 다른 정보가 함께 망가지지 않았는지, 적은 양의 자료를 다시 보여줬을 때 지운 능력이 되살아나는지도 확인해야 합니다.
기존 머신 언러닝의 두 가지 빈틈
1. 과잉 삭제: 비슷한 정상 정보까지 잊는 문제
과잉 삭제(Over-Unlearning)는 삭제 대상과 닮은 정상 정보까지 함께 잊는 현상입니다. 이미지 인식 AI에서 고양이 범주를 지웠더니 호랑이나 표범의 인식 성능까지 떨어지는 경우가 여기에 해당합니다.
실제 서비스에서는 한 사용자의 정보 삭제가 다른 사용자나 정상 콘텐츠의 인식 결과에 영향을 줄 수 있습니다.
2. 재학습 공격: 지운 능력이 다시 살아나는 문제
재학습 공격(Relearning Attack)은 지운 능력을 소량의 자료로 되살리는 공격입니다. 겉으로는 삭제 대상의 인식률이 낮아졌어도 모델 안에 구별 기준이 남아 있을 수 있습니다.
공격자는 삭제 대상 사진 몇 장을 모델에 다시 보여줘 예전의 인식 능력을 회복시킬 수 있습니다. 연구팀은 범주의 대표 특징을 이용하는 이 방식을 프로토타입 재학습 공격(Prototypical Relearning Attack)이라고 이름 붙였습니다.
개인정보를 지운 뒤 소량의 자료만으로 식별 능력이 돌아온다면 삭제 결과를 신뢰하기 어렵습니다. 제대로 된 언러닝인지 판단하려면 현재의 삭제 성능과 이후의 복구 가능성을 함께 살펴야 합니다.
UNIST 스포터는 어떻게 두 문제를 줄였나
UNIST 인공지능대학원 윤성환 교수팀과 산업공학과 박새롬 교수팀이 개발한 스포터는 기존 언러닝 기법과 결합해 쓰도록 설계됐습니다.
남겨야 할 정보 보호: 삭제 대상과 비슷한 정상 정보는 기존 모델의 판단을 이어받게 해 과잉 삭제를 줄입니다.
삭제 대상의 공통 특징 분산: 삭제 대상끼리 뭉쳐 있던 내부 표현을 흩어, 사진 몇 장만으로 대표 특징을 다시 만들기 어렵게 합니다.
쉽게 말하면 남겨야 할 정보의 경계는 지키고, 지운 정보가 다시 뭉치는 데 필요한 단서는 흩어 놓는 방식입니다. 논문은 이 두 장치를 각각 마스킹된 지식 증류 손실과 클래스 내부 분산 손실이라고 부릅니다.
CIFAR-10 실험에서 확인된 스포터 성능
| 확인 항목 | 실험 결과 |
|---|---|
| 삭제 대상 인식 정확도 | 0% |
| 사진 5장을 사용한 재학습 공격 뒤 삭제 대상 정확도 | 0.24% |
| 같은 공격을 받은 기존 언러닝 방식의 정확도 | 71.10~99.98% |
| 삭제하지 않은 범주의 인식 정확도 | 99.96% |
스포터를 적용한 모델은 사진 5장으로 다시 학습시키는 공격을 받은 뒤에도 삭제 대상 정확도가 0.24%에 머물렀습니다. 비교 대상인 기존 방식은 같은 조건에서 71.10%에서 최대 99.98%까지 회복됐습니다.
삭제하지 않은 나머지 범주의 인식 정확도는 99.96%로 유지됐습니다. 연구팀은 더 큰 이미지 데이터셋인 TinyImageNet과 실제 얼굴 인식 데이터셋 CASIA-WebFace에서도 비슷한 결과를 얻었습니다.
이 연구는 국제머신러닝학회 ICML 2026에 채택됐습니다. 논문 제목은 Unlearning's Blind Spots: Over-Unlearning and Prototypical Relearning Attack입니다.
스포터가 개인정보 삭제에 갖는 의미
기존 평가는 삭제 대상의 성능이 낮아졌는지와 전체 모델 성능이 유지되는지를 주로 살폈습니다. 이번 연구는 여기에 세 가지 질문을 더합니다.
- 비슷하지만 지우면 안 되는 정보가 손상되지는 않았는가?
- 삭제한 정보를 적은 자료로 다시 살릴 수 있지는 않은가?
- 기존 언러닝 방식의 구조를 크게 바꾸지 않고 적용할 수 있는가?
이 기준은 얼굴 인식처럼 개인 식별 정보를 다루는 시스템에 특히 필요합니다. 유해 콘텐츠나 저작권 침해 자료처럼 특정 범주의 영향을 줄여야 하는 분야에서도 활용을 검토할 수 있습니다.
결과를 확대 해석하면 안 되는 이유
연구진은 이미지 인식 모델에서 특정 범주를 지우는 실험을 했습니다. 텍스트 생성 모델에서 한 사람의 개인정보나 특정 문장의 영향을 없앨 때도 같은 성능이 나온다는 근거는 아닙니다. 0.24% 역시 특정 데이터셋과 공격 조건에서 나온 수치이며, 모든 복구 공격을 막았거나 실제 서비스에 배포됐다는 뜻은 아닙니다.
지금 사용자가 할 수 있는 개인정보 관리
- 주민등록번호, 계좌 정보, 인증번호처럼 노출 피해가 큰 정보는 AI 대화창에 입력하지 않습니다.
- 서비스 설정에서 대화 기록을 지우고, 내 대화를 학습에 쓰지 않도록 설정할 수 있는지 확인합니다.
- 개인정보 처리방침을 읽고 계정 삭제와 콘텐츠 삭제의 범위가 같은지 살핍니다.
- 업무용 문서나 고객 자료는 회사가 허용한 보안 환경에서만 사용합니다.
어떤 데이터가 저장되는지, 학습에 쓰이는지, 삭제 요청 뒤 어디까지 지워지는지를 따로 확인해야 합니다.
자주 묻는 질문
AI 대화를 삭제하면 학습된 내용도 모두 없어지나요?
반드시 그렇지는 않습니다. 화면의 대화 기록 삭제, 서버에 보관된 데이터 삭제, 모델이 학습한 영향 제거는 서로 다른 절차입니다. 구체적인 범위는 서비스 정책과 기술 구조에 따라 달라집니다.
머신 언러닝은 모델을 처음부터 다시 학습하는 것과 같은가요?
머신 언러닝은 삭제할 자료를 빼고 처음부터 학습한 모델에 가까운 결과를 더 적은 비용으로 내는 것을 목표로 합니다. 방법마다 삭제 정도와 남겨야 할 정보의 성능이 달라서 별도의 검증이 필요합니다.
스포터를 사용하면 생성형 AI의 개인정보도 바로 지울 수 있나요?
아직 그렇게 말할 수 없습니다. 연구진은 이미지 인식 모델에서 범주 하나를 지우는 실험을 했습니다. 대규모 언어 모델에서 개별 개인정보를 지울 때도 같은 성능이 나온다는 근거는 아닙니다.
스포터는 지운 정보의 복구를 완전히 막았나요?
사진 5장을 이용한 재학습 공격에는 잘 버텼습니다. 하지만 특정 실험에서 나온 결과이므로 모든 데이터와 공격 방식에서도 안전하다고 보장할 수는 없습니다.
마무리
AI 개인정보 삭제는 휴지통 버튼 하나로 끝나지 않습니다. 원본 데이터를 지우는 일과 모델이 받은 영향을 없애는 일은 다릅니다. 삭제 과정에서 정상 정보가 함께 손상되거나 지운 능력이 다시 돌아올 수도 있습니다.
UNIST의 스포터는 과잉 삭제를 줄이면서 재학습 공격까지 막는 방법을 제시했습니다. 아직 모든 생성형 AI에 바로 쓸 수 있는 해법은 아니지만, AI 서비스의 개인정보 삭제가 제대로 이뤄졌는지 더 꼼꼼하게 따지는 데 도움이 될 연구입니다.
댓글
댓글 쓰기