Executive Summary

주요 수치

아래 네 수치가 이번 조사의 뼈대다. 첫 칸은 한 회사가 학습에 넣은 분량이고, 가운데 두 칸은 그 사실이 방침에 어떻게 적혔는지를 보여 준다. 마지막 칸은 같은 종류의 모델을 소비자 기기 없이 만든 회사의 학습량이다.

출처: Science 조사와 이를 정리한 Inside BCI·Tom's Hardware 보도

Science의 조사는 프리랜서 탐사 기자 조너선 모언스(Jonathan Moens)가 퓰리처 센터 AI 책임성 네트워크와 함께 1년에 걸쳐 진행했다. 취재 대상은 두피에서 뇌의 전기 신호를 측정하는 소비자용 뇌파 기기를 파는 회사들이다. 전 세계에서 57곳을 추려 개인정보 방침을 하나하나 읽고, 회사와 전문가와 실제 사용자를 인터뷰했다.

방침부터 상태가 고르지 않았다. 57곳 가운데 4곳은 개인정보 방침이라 부를 문서가 아예 없었다. 11곳은 방침이 있기는 한데 웹사이트 방문자의 정보만 다루고, 정작 기기와 앱이 모으는 뇌파는 언급하지 않았다. 남은 42곳 중에서도 뇌 데이터를 모은다고 분명히 적은 곳은 약 3분의 2였다.

데이터가 밖으로 나가는 길은 반대로 넓었다. 방침이 있는 회사는 한 곳만 빼고 모두 비식별·통합 형태의 제3자 공유를 허용했고, 뇌 데이터를 팔지 않겠다고 못 박은 곳은 6곳뿐이었다. 3분의 2가 넘는 회사는 인수·합병으로 주인이 바뀌면 사용자 동의 없이 데이터도 함께 넘어갈 수 있다고 적어 두었다. 다만 Science는 지금 단계에서 뇌 데이터를 실제로 내다 파는 것은 대다수 회사에 아직 부담스러운 선택으로 보인다고 덧붙였다.

어느 칸이 비어 있었는지가 이 조사의 결론이다. 57곳 가운데 뇌를 다루는 거대 AI 모델을 만들고 있다고 공개적으로 밝힌 회사는 9곳이었고, 그 사실을 개인정보 방침에 적어 둔 곳은 처음에 하나도 없었다. 모델 개발 자체를 숨긴 것은 아니다. 보도자료처럼 다른 경로로 알린 회사는 있었다. 사용자가 가입할 때 읽고 동의하는 문서에만 그 내용이 빠져 있었다.

아래 도식은 57곳의 방침이 무엇까지 적고 있었는지를 위에서부터 늘어놓은 것이다. 위 두 칸은 기기가 모으는 뇌파를 다루는 문서가 아예 없는 경우이고, 아래로 내려갈수록 적어 둔 내용이 늘어난다. 맨 아래 칸은 분모가 다르다. 뇌 모델 개발을 공개한 9곳만 따로 센 자리이고, 조사 시점에 그 칸은 비어 있었다.

밴더빌트대에서 법학과 생물과학을 가르치는 오언 존스(Owen Jones) 교수는 이 상태를 두고 "경보를 울리고 바로잡아야 할 일"이라고 Science에 말했다. 모델을 만든다고 밝힌 9곳이 전부라는 보장도 없다. Science는 조용히 진행 중인 곳이 더 있을 수 있어 9라는 수를 바닥값으로 봐야 한다고 적었다.

뮤즈는 명상을 돕고 수면을 기록하는 용도로 팔리는 헤드밴드다. 이마와 귀 뒤에 닿는 전극으로 뇌파를 측정해, 집중이 흐트러지면 소리로 알려 주거나 간밤의 수면 단계를 아침에 보여 준다. 인터랙슨은 이렇게 쌓인 사용자 기록 약 5만 시간으로 뇌 파운데이션 모델을 학습시켰다고 Science에 확인했다. 학습에 쓸 때 이름과 이메일 같은 개인 식별 정보는 떼어 냈다는 것이 회사 설명이다.

뇌 파운데이션 모델은 대량의 뇌파 기록을 미리 학습해 두고 수면 단계 판정이나 집중도 측정 같은 여러 기능에 돌려쓰는 범용 모델을 말한다. 인터랙슨이 겨냥하는 것도 잠잘 때와 집중할 때 뇌에서 벌어지는 일을 더 정확히 읽어 내는 쪽이다. 프로젝트는 취재 시점에 절반쯤 진행된 상태로 묘사됐다.

문제는 이 내용이 사용자가 가입할 때 동의한 개인정보 방침 어디에도 없었다는 점이다. 기자가 그 점을 지적한 뒤에야 회사는 방침을 고쳤다. 지금 방침에는 비식별 데이터를 파운데이션 모델을 포함한 기계학습 모델 학습에 쓴다는 문장이 들어가 있다. 수면 단계 판정이나 뇌 건강 지표처럼 뮤즈가 제공하는 기능을 돌리기 위한 용도라고 적혀 있고, 학습에 넣기 전에 식별 정보를 떼어 낸다는 설명도 함께 붙었다.

고친 방침에도 들어가지 않은 것이 있다. 모델 학습에 쓸 때 사용자에게 따로 동의를 받겠다는 조건이다. 원하지 않는 사용자가 빠지는 길이 있는지, 모델에 들어간 기록이 몇 명의 것인지도 회사는 밝히지 않았다.

같은 일이 한 회사에서만 벌어진 것은 아니다. 샌프란시스코의 이모티브(Emotiv)는 고급형 헤드셋 사용자의 기록 일부와 공개 뇌파 데이터셋, 그리고 대학·다국적기업과의 뉴로마케팅 연구 협력에서 나온 자료로 이른바 '대형 뇌 모델'을 학습시킨다고 Science에 밝혔다. 이 회사 역시 취재진의 문의를 받은 뒤 방침을 고쳤는데, 들어간 문구는 인터랙슨 쪽과 조금 다르다. 사용자가 명시적으로 동의한 경우에만 가명 처리한 신경 데이터를 학습에 쓴다고 적었다. 같은 지적을 받은 두 회사가 동의를 다루는 방식에서 갈린 셈이다.

기사에 등장하는 뮤즈 사용자 아드난 지나(Adnan Jinnah)는 4년 넘게 불면증을 겪으며 매일 밤 잠들기 전 30분씩 이 밴드를 써 왔다. 그는 자기 뇌파 기록이 AI 모델 학습에도 쓰였을 수 있다는 사실을 알지 못했다. 그 말을 전해 듣고 돌아온 반응은 분노가 아니라 체념에 가까웠다. 큰 기술 회사가 사용자 데이터를 가져다 쓰는 것과 비슷한 일 아니겠느냐는 것이었다.

두 회사 모두 방침을 고쳤으니 문제가 정리된 것처럼 보이기도 한다. 그런데 고쳐진 방침이 약속하는 것은 앞으로의 처리 방식이다. 이미 학습을 마친 모델의 가중치 안에는 그 데이터가 녹아 있고, 특정 사용자의 기록만 골라 빼내는 일은 사실상 불가능하다. Science가 이 대목을 기사의 중심에 둔 이유가 여기 있다. 고지는 사후에 이뤄졌는데 학습은 이미 끝나 있었다.

듀크대 법학·철학 교수 니타 파라하니(Nita Farahany)는 이것을 동의의 맥락 문제로 본다. 한 가지 용도에 동의했는데 실제 쓰임이 전혀 다른 맥락이라면 그 동의는 제 역할을 못 한다는 것이다. 그래서 그는 사용자 데이터로 AI를 학습시키려는 회사라면 "구체적이고 별개인 동의"를 따로 받아야 한다고 말한다. 수면 추적에 쓰겠다는 동의와 모델 학습에 쓰겠다는 동의는 같은 칸에 묶일 수 없다는 뜻이다.

왜 뇌파에 이렇게 까다로운 기준이 붙어야 하는지에 대해, 앞서 인용한 오언 존스 교수는 이렇게 설명했다. "뇌 신호는 심박수가 아니다. 그것을 들여다보는 일은 의미가 다르다." 그는 사람이 다른 장기의 기능을 합친 존재는 아니지만 뇌 활동의 총합이라고는 말할 수 있다는 점을 근거로 들었다.

반론도 기사에 함께 실렸다. 소비자용 기기는 병원에서 쓰는 장비만큼 정밀하지 않고, 뇌파 측정은 활동이 언제 일어났는지는 잘 보여 주지만 편도체나 해마처럼 깊은 곳에서 일어나는 일은 제대로 짚지 못한다. 지금 당장 생각을 읽어 낼 수 있는 기술은 아니라는 이야기다. 그럼에도 전문가 대다수는 자기 신경 데이터가 어디에 쓰이는지 알 권리는 별개라는 데 동의했다.

데이터를 그렇게 모으지 않으면 모델을 못 만드는가 하면 그렇지도 않다. 같은 조사에 등장하는 스타트업 피라미달(Piramidal)은 소비자 기기에서 나온 기록을 쓰지 않고 공개 뇌파 데이터셋과 병원 협력만으로 뇌 파운데이션 모델을 만들었다. 학습에 들어간 분량은 400만 시간이 넘는다. 출처가 분명한 경로로도 인터랙슨보다 훨씬 많은 데이터를 모았다는 뜻이고, 규모 때문에 어쩔 수 없었다는 설명이 서기 어려워지는 지점이다.

뇌파를 포함한 신경 데이터를 정면으로 다루는 미국 연방 차원의 규제는 아직 없다. 2025년 9월 상원에 신경 데이터 관리법(MIND Act, S.2925)이 발의됐지만, 이 법안이 하는 일은 연방거래위원회에 신경 데이터를 1년간 연구한 뒤 규제 틀을 권고하라고 지시하는 것까지다. 지금 지킬 기준을 세우지는 않고, 발의 이후 뚜렷한 진전도 없다.

움직인 쪽은 주 정부다. 캘리포니아는 신경 데이터를 민감한 개인정보로 분류했고, 콜로라도는 생체 데이터 범주 안에 넣었으며, 몬태나는 중추신경계와 말초신경계에서 나온 정보를 함께 다룬다. 가장 멀리 간 곳은 코네티컷이다. 2026년 7월 1일 시행된 이 주의 규정은 거주자의 신경 데이터를 처리하기 전에 명시적 동의를 받도록 하고, 그 데이터를 대가를 받고 제3자에 넘기려면 또 한 번 별도의 동의를 받도록 했다. 회사 규모나 사용자 수에 따른 예외도 두지 않았다.

아래 도식은 같은 데이터를 두고 지역마다 기준이 얼마나 벌어져 있는지를 한 줄 위에 늘어놓은 것이다. 왼쪽 끝은 아무 기준이 없는 자리, 오른쪽 끝은 본인 동의와 무관하게 국가 기관이 들여다보는 자리다.

미국 밖으로 나가면 기준의 폭은 더 벌어진다. 칠레는 2021년 헌법에 신경권을 명시한 첫 나라이고, 2023년에는 대법원이 이모티브에 전직 상원의원의 뇌 데이터를 삭제하라고 명령했다. 반대편에서 중국 회사들은 트럭 운전사와 건설 노동자에게서 뇌파를 모으고 있는데, 일부는 비식별 처리도 거치지 않는다. 광저우와 충칭, 베이징의 공사 현장에서 쓰이는 뇌파 측정 안전모만 약 2,000개이고, 피로와 주의력을 살핀다는 명목으로 쌓인 기록이 30만 시간을 넘는다. 다른 회사는 운전사의 뇌파를 교통경찰이 실시간으로 볼 수 있게 열어 두었다. 유네스코와 경제협력개발기구도 최근 소비자용 뇌-컴퓨터 인터페이스의 확산을 프라이버시 사안으로 짚었다.

학습 데이터가 어디서 왔는지 묻는 질문은 지난 몇 년 동안 글과 그림을 상대로 던져졌다. 이번 조사가 보여 주는 것은 같은 질문이 몸에서 나온 신호에 닿았다는 사실이다. 글은 지우고 다시 쓸 수 있고 그림은 내려받기를 막을 수 있지만, 잠든 사이에 측정된 뇌파는 바꿔 쓸 수 있는 종류가 아니다. 동의서에 'AI 학습'이라는 넉 자가 빠져 있었고, 기자가 묻고 나서야 채워졌다.

데이터가 모델 학습에 쓸 만한 상태인지를 따질 때 흔히 보는 것은 양과 품질이다. 이번 사건은 세 번째 항목을 앞으로 당겨 놓는다. 어떤 약속 아래 모인 데이터인가 하는 것이다. 동의의 계보가 끊긴 기록은 5만 시간이 쌓여도 쓸 수 있는 상태가 되지 않는다. 반대 증거는 같은 기사 안에 있다. 피라미달은 출처가 분명한 경로로 400만 시간을 모았다.

사용자 데이터를 모델 학습에 쓰고 있거나 쓸 계획이라면, 다음 네 가지를 문서로 확인해 둘 수 있다.

• 수집 시점의 고지 문구에 학습 용도가 적혀 있는가. 기능 개선이라는 말이 모델 학습까지 덮는다고 보고 있지는 않은가.
• 용도가 늘어날 때 동의를 다시 받는 경로가 있는가. 방침 개정 공지만으로 갈음하고 있지는 않은가.
• 어느 학습에 어떤 동의 조건의 데이터가 들어갔는지 기록이 남아 있는가. 모델이 여러 판으로 갈린 뒤에도 그 기록을 거슬러 올라갈 수 있는가.
• 사용자가 삭제를 요청했을 때 그 요청이 저장소에서 멈추는가, 모델까지 닿는가. 닿지 않는다면 그 사실을 사용자에게 어떻게 설명할 것인가.

네 질문 모두 데이터가 정확한지를 묻지 않는다. 묻는 것은 그 데이터가 어떤 약속 아래 들어왔는지다. 방침은 하루면 고칠 수 있지만 학습을 마친 모델은 그렇지 않다는 것이, 이번 조사가 남긴 가장 실무적인 교훈이다.

여기까지 읽어 주셔서 감사하다. 조사의 원문은 Science에 있고, 방침 집계와 규제 맥락은 Inside BCI가 따로 정리해 두었다. 사용자 데이터를 모델 학습에 쓰면서 동의 문구를 어떻게 적었는지, 또는 어디까지 적어야 할지 고민한 경험이 있다면 들려주시면 좋겠다.

조사 원문과 요약

• 1.Moens, J. (2026). "Wearable device makers are harvesting brain data to train AI—without telling users." Science. (퓰리처 센터 AI 책임성 네트워크 공동 취재)
• 2.Inside BCI. (2026). "Brain-wearable makers left AI training on users' brain data out of their privacy policies, Science finds."
• 3.AI Weekly. (2026). "Consumer EEG Headband Makers Have Quietly Harvested Tens of Millions of Hours of Brain Data for AI Training."

업계·보도

• 4.Tom's Hardware. (2026). "Wearable sleep trackers are using your brainwaves to train AI models without explicit user consent."
• 5.FourWeekMBA. (2026). "Muse Headband Maker Says It Trained AI on 50,000 EEG Hours."

규제·제도

• 6.Tech Times. (2026). "Connecticut Classifies Brain Data as Sensitive Starting July 1: New Rights for EEG Wearable Users."