“클로드 쓰려면 여권부터”…앤트로픽 신원 확인 도입에 ‘감시·정부 유입’ 우려 동시 점화

앤트로픽(Anthropic)이 클로드(Claude)를 쓰려는 일반 이용자에게 신분증과 얼굴을 요구하기 시작했다. 6월 15일 더레지스터(The Register)와 뱅크리스타임스(BanklessTimes) 등 외신을 종합하면, 앤트로픽은 개인정보 처리방침을 개정해 7월 8일(현지 시각)부터 클로드 프리·프로·맥스(Free·Pro·Max) 소비자 계정 이용자에게 연령·신원 확인을 요구할 수 있게 된다. 정부 발급 신분증 이미지나 라이브 셀피, 나아가 얼굴 지오메트리 템플릿(facial geometry template) 같은 생체정보가 검증에 쓰일 수 있다.

무엇이 어떻게 바뀌나

검증은 두 단계로 나뉜다. 연령 확인은 영국계 디지털 신원인증 기업 요티(Yoti)가 맡는다. 이용자는 셀프 카메라로 얼굴 나이를 추정받거나, 여권·운전면허증을 스캔하거나, 요티 앱의 ’18세 이상’ 증명을 제출하는 방식 가운데 하나를 고를 수 있다. 신원 확인은 미국 기업 KYC 플랫폼 페르소나(Persona)가 담당한다. 일부 이용자는 정부 발급 사진 신분증과 함께 휴대폰·웹캠으로 라이브 셀피를 찍어야 하고, 페르소나는 이 사진을 분석해 얼굴 지오메트리 템플릿을 만들어 신분증과 대조한다.

대상은 소비자 등급에 한정된다. 앤트로픽 공식 처리방침은 이번 변경이 “클로드 프리·프로·맥스 계정에만 적용되며, 팀·엔터프라이즈·개발자 플랫폼 등 상업용 약관 적용 서비스에는 적용되지 않는다”고 밝힌 상태다. 팀(Team)·엔터프라이즈(Enterprise)·플랫폼(Platform) 등 상업용 약관 계정은 이번 조치에 적용되지 않는다. 사본·스크린샷·디지털 신분증·임시 종이 서류는 인정되지 않으며, 훼손되지 않은 실물 여권·운전면허증·주민등록증 같은 정식 서류만 제출할 수 있다. 클로드 소비자 서비스는 원래 18세 이상만 쓸 수 있는데, 유럽연합(EU)을 중심으로 연령 규제가 강화되는 흐름도 이번 변화의 배경에 깔려 있다.

왜 지금인가 — 중국 ‘증류 공격’이라는 명분

앤트로픽이 신원의 문턱을 세운 가장 큰 이유로는 모델 도용 문제가 꼽힌다. 이는 앤트로픽이 공식 보고서 ‘디스틸레이션 공격 탐지와 방지(Detecting and preventing distillation attacks)’에서 직접 공개한 사실이다. 회사에 따르면 딥시크(DeepSeek)·문샷(Moonshot)·미니맥스(MiniMax) 등 중국 AI 기업들은 약 2만 4,000개의 부정 계정으로 클로드와 1,600만 건이 넘는 대화를 생성하며 모델을 ‘증류(distillation)’해 사실상 베껴 갔다. 이들은 지역 접근 제한을 우회하려고 상업용 프록시와 ‘하이드라 클러스터’라 불리는 대규모 부정 계정망을 동원한 것으로 전해졌다.

신원 인증을 강하게 돌리면 증류 계정을 걸러낼 수 있다. 앤트로픽은 개정 처리방침에서 신원 확인을 “서비스를 안전하게 지키기 위한” 조치라고 설명한다. 외신과 정책 전문을 종합하면 그 구체적 목적은 남용 방지, 이용 정책 집행, 법적 의무 준수로 볼 수 있다. 무기 확산, 아동 성착취물(CSAM), 제재 대상과의 거래, 산업 지식재산 절취 같은 오용을 막아야 하는 법적 책임이 그 배경이다. 다만 같은 조치가 ‘어둠의 경로’로 빠르게 개발돼 온 비(非)미국 지역 LLM의 성장 속도를 늦추는 효과로 이어진다는 분석도 가능하다.

데이터는 어디로 가나

앤트로픽은 신분증 이미지를 자사 서버에 보관하지 않는다고 설명한다. 검증은 페르소나가 처리하고, 앤트로픽은 적합·부적합 결과값만 건네받는다고 회사는 주장했다. 회사는 신원 데이터를 모델 학습에 쓰지 않고, 마케팅·광고처럼 인증·규정 준수와 무관한 목적으로는 공유하지 않으며, 법적으로 요구되는 경우를 빼면 제3자와 공유하지 않는다고 강조했다.

그러나 안심하기 어려운 부분이 있다. 더레지스터는 페르소나가 모든 신분증 이미지와 생체정보를 다루지만 앤트로픽이 정확한 보관 기간을 공개하지 않았다고 지적했다. 민감한 신원·생체정보를 제3의 사업자에 맡기는 구조 자체가 위험을 남긴다는 우려다. ‘직접 보관하지 않는다’는 설명이 곧 ‘수집·처리가 없다’는 뜻은 아니기 때문이다.

감시를 피해 클로드로 옮겨왔지만

프라이버스와 감시는 역설적인 관계에 있다. 디크립트(Decrypt)는 “감시가 두려워 클로드로 갈아탔더니, 이제 여권을 달라고 한다”는 제목으로 이 모순을 저격했다. 앞서 오픈AI(OpenAI)가 펜타곤 기밀망에 AI를 배치하는 계약을 맺자 감시 우려를 느낀 이용자 상당수가 앤트로픽으로 옮겨왔는데, 그 앤트로픽이 이번엔 신분증과 얼굴을 요구하면서 신뢰에 문제가 생겼다는 것이다.

비판자들은 이번 조치가 미 정부의 조치가 아니라 회사의 자율적 결정에 가깝다는 점을 문제 삼는다. 특히 국제 이용자가 여권 이미지와 라이브 얼굴 데이터를 미국 기업에 넘기는 일은, 지정학적 긴장이 높아진 상황에서 그 자체로 민감한 사안이 된다. 한 번 수집된 생체·신원정보가 향후 정부의 요청이나 소환으로 흘러들어갈 수 있다는 우려, 그리고 ‘적합·부적합’이라는 결과 뒤에서도 결국 개인이 식별된다는 우려가 함께 제기된다.

페이블 5의 외국인 접근 차단이 정부의 명령이었다면, 이번 신원 확인은 기업의 결정이다. 통제의 주체는 다르지만 방향은 닮아 있다. 이제 AI 지능에 닿으려면 신분과 소속, 사용 목적이 심사 대상이 될 수 있고, 그 심사의 키는 기업과 정부가 나눠 쥐게 된다.

어느 나라에 적용되나

이번 변경은 전 세계 클로드 소비자 계정에 적용되는 정책이다. 다만 모든 사용자에게 여권 제출 의무가 부과되지는 않는다. 앤트로픽 클로드 고객센터(Help Center)에 따르면, 확인은 미성년으로 의심되는 계정, 이용 정책을 위반한 것으로 보이는 계정, 그리고 클로드 미지원 지역에서 접속한 계정을 상대로 선별적으로 발동된다. 연령 확인을 맡은 요티(Yoti)가 인정하는 신분증 종류가 나라마다 달라 실제 절차도 국가별로 차이가 난다. 연령 규제가 강한 유럽연합(EU)에서는 적용 폭이 더 넓다.

애초에 클로드를 쓸 수 없는 미지원 국가도 있다. 앤트로픽 공식 ‘지원 국가·지역’ 안내에 따르면 중국 본토·러시아·이란·북한·벨라루스와 우크라이나 점령지(크림·도네츠크 등)가 접근에서 제외되고 일부 아프리카 국가도 빠져 있다. 한국은 클로드 지원 국가이므로, 국내 소비자 이용자도 위 세 조건에 해당하면 신분증·셀피 확인 대상이 된다.

앤트로픽에게 남은 질문

앤트로픽은 이번 조치를 “클로드의 능력이 고도화되고 더 복잡한 작업을 맡게 됨에 따라 서비스를 안전하게 지키기 위한 것”이라고 설명한다. 실제로 모델 도용과 오용을 막는 안전장치라는 명분에는 설득력이 있다. 폐쇄적 행보가 미국산 AI의 경쟁력을 갉아먹을 것이라는 지적도 있지만, 작업 완결성이 높은 모델일수록 기업 고객이 비용을 감수하고 붙잡는다는 현실이 그 반대편에 있다. 앤트로픽 매출의 상당 부분이 기업 고객에서 나오는 구조도 이를 뒷받침한다.

결국 남는 질문은 투명성이다. 생체정보가 얼마나 오래 보관되는지, 정부가 어떤 절차로 접근할 수 있는지, 잘못 차단된 성인 계정을 어떻게 신속히 되살릴지에 대한 설명은 아직 충분하지 않다. 편의와 안전을 맞바꾸는 가운데 사용자는 자신의 어떤 정보를 내주는지를 충분히 알아야 한다.

자세한 내용은 앤트로픽 개인정보 처리방침(Anthropic Privacy Center)에서 확인할 수 있다.

이미지 출처: 이디오그램 생성