Executive Summary

주요 수치

출처: noyb 발표문(2026-10-27)과 진정서를 항목별로 뜯어본 The Record·PPC Land 보도

noyb는 오스트리아 빈에 있는 개인정보 단체다. 2017년 변호사 막스 슈렘스가 세웠고, 그동안 유럽 각국 감독기관에 빅테크를 겨냥한 진정을 내 왔다. 2026년 10월 27일 이 단체가 스케일 AI를 상대로 진정 5건을 냈다. 프랑스의 Intérêt à Agir, 플랫폼 노동을 연구하는 DiPLab, 노동 조건을 기술로 역추적해 온 Reversing.Works가 함께 이름을 올렸다.

진정서는 프랑스·이탈리아·네덜란드·오스트리아 네 나라 감독기관에 나뉘어 들어갔고, 오스트리아에만 두 건이다. 각 진정은 아웃라이어에서 일하는 노동자 한 명을 대리하는 형식이라 모두 다섯 사람의 사건이다. GDPR 제80조 1항이 단체가 당사자를 대신해 진정을 내는 길을 열어 두고 있다.

무대가 되는 아웃라이어는 스케일 AI가 운영하는 프리랜서 작업 플랫폼이다. 등록 인원은 90만 명이 넘는다. 이들은 모델이 내놓은 답에 점수를 매기고, 더 나은 답을 직접 써 주고, 이미지와 문장에 이름표를 붙인다. 스케일 AI는 이 결과물을 메타·오픈AI·구글·xAI·앤트로픽과 미국 정부 기관에 공급한다. 메타는 2025년 6월 스케일 AI 지분 49%를 사들여 고객이자 대주주가 됐다.

noyb는 감독기관에 위반 여부를 전면 조사해 달라고 요청했고, 필요하다면 과징금도 매겨 달라고 했다. 스케일 AI가 일감을 나누는 방식까지 살펴봐 달라는 요청이 하나 더 있다. 추적기와 생체 자료가 무엇을 모으느냐의 문제라면, 일감 배분은 누구에게 어떤 일이 돌아가느냐의 문제다. 진정서가 공통으로 끌어온 조항은 데이터 최소화를 정한 제5조 1항 (c), 열람 요청의 응답 기한을 정한 제12조 3항, 열람권 자체인 제15조, 설계 단계에서부터 보호를 요구하는 제25조 1항, 처리자에게 보증을 요구하는 제28조 1항이다. 전자통신 개인정보 지침 제5조 3항을 각 나라가 국내법으로 옮긴 규정도 다섯 건에 공통으로 걸린다. 이 지침이 추적기 설치 전에 동의를 받으라고 정한 조항이다.

추적기란 웹페이지 안에 함께 실려 그 페이지에서 일어난 일을 바깥 회사로 보내는 작은 코드다. 프랑스 진정서는 아웃라이어 작업 화면에서 그런 코드가 열여덟 곳으로 나간다고 적었다. 광고와 소셜 미디어로는 페이스북·링크드인·틱톡·스냅챗·쿼라·트위터 애널리틱스, 이용 행태를 재는 도구로는 구글 애널리틱스·앰플리튜드·포스트호그·세그먼트가 거기 들어간다. 설문 도구 스프리그, 오류 추적 센트리, 고객 지원 포어소트, 채용 쪽 리크루틱스도 같은 목록에 있다. 신원 확인 업체 퍼소나도 그 열여덟 가운데 하나다.

목록이 나라마다 같지는 않다. 네덜란드 진정서에 실린 것은 한 노동자가 2026년 5월 22일에 자기 기기의 통신을 직접 기록해 둔 자료이고, 거기서 잡힌 곳은 일곱이다. 더 레코드와 이야기한 noyb 대변인 미키 마나카스는 추적기가 더 있을 것이 분명하며 나라마다 수가 달라진다고 말했다. 소셜 미디어와 분석 쪽 추적기를 주로 들여다봤기 때문에 전수를 센 것은 아니라고도 했다. 열여덟이라는 숫자는 플랫폼 전체의 확정값이 아니라 프랑스 쪽 진정서 한 장이 센 값이다.

noyb는 발표문에서 추적기 다섯 곳을 대표로 들었는데, 그중 데이터독은 프랑스 목록에 없고 두 번째 오스트리아 진정서에 나오는 이름이다. 아래 도식이 늘어놓은 열여덟에 데이터독이 빠져 있는 것은 그래서다. 도식의 위쪽은 프랑스 진정서에 적힌 열여덟 곳이고, 아래쪽 상자는 같은 플랫폼에서 네덜란드 진정서가 잡은 일곱 곳이다.

목록에서 noyb가 가장 무겁게 본 것은 풀스토리(Fullstory)다. 세션 리플레이라고 부르는 종류의 도구인데, 사용자가 화면에서 한 일을 되감아 영상처럼 다시 볼 수 있게 기록한다. 프랑스 진정서는 이 도구가 마우스 움직임과 클릭, 자판 입력을 담아 몇 초 간격으로 바깥에 요청을 보냈다고 적었다. noyb는 이렇게 모인 기록으로 프리랜서의 하루 작업 전체를 영상으로 만들 수 있다고 본다.

아웃라이어에서 일하려면 신원 확인을 통과해야 하고, 그 절차는 스케일 AI가 직접 하지 않는다. 퍼소나라는 바깥 업체가 맡는다. 노동자는 신분증을 올리고 자기 얼굴을 영상으로 찍어 보낸다. noyb는 이 확인이 한 번으로 끝나지 않고 반복해서 요구된다는 점을 문제 삼는다.

얼굴 생김새를 재서 사람을 가려내는 자료는 GDPR이 따로 떼어 더 엄하게 다루는 종류다. 원칙적으로 처리가 금지돼 있고 좁은 예외에서만 허용된다. noyb는 수집 범위가 신원 확인이라는 목적보다 넓다고 지적한다. 발표문에 따르면 퍼소나는 생체 자료 말고도 IP 주소, 기기 정보, 위치 정보, 주소, 신용 관련 정보까지 가져갈 권리를 자기 약관에 적어 두었다. 사람 한 명이 진짜 그 사람인지 확인하는 데 필요한 양을 넘었다고 보고, 진정서는 데이터 최소화 조항을 끌어왔다.

구조를 보면 한 겹이 더 있다. 노동자와 계약한 쪽은 스케일 AI인데, 가장 민감한 자료를 실제로 쥐는 쪽은 그 회사가 고른 하청 업체다. 진정서가 처리자에게 보증을 요구하는 제28조 1항을 함께 건 것이 이 지점이다. 자료를 맡긴 쪽은 맡은 쪽이 규정을 지킨다는 보장을 갖고 있어야 한다. 데이터를 사 오는 기업에도 같은 모양의 질문이 생긴다. 공급사가 쓰는 하청 업체의 하청까지 계약서가 닿아 있는가.

세 번째 쟁점은 앞의 둘보다 단순하다. 프리랜서 네 명이 2025년 12월부터 2026년 5월 사이에 자신에게서 수집된 개인정보의 사본을 달라고 요청했는데, 스케일 AI가 한 건도 답하지 않았다고 noyb는 말한다.

열람권은 GDPR 제15조가 정한 권리이고, 제12조 3항은 늦어도 한 달 안에 답하라고 정한다. 사정이 있으면 두 달을 더 쓸 수 있지만 그 경우에도 왜 늦는지를 한 달 안에 알려야 한다. 침묵은 선택지에 없다. 앞의 두 쟁점이 "이 처리에 적법한 근거가 있는가"를 두고 양쪽 해석이 맞서는 자리라면, 이 대목은 답을 보냈는지 아닌지만 보면 되는 자리다. 감독기관이 가장 먼저 확인할 사실도 여기일 가능성이 높다.

답이 왔다면 그 답 자체가 자료가 됐을 것이다. 열람 요청에 제대로 응했다면 회사는 한 사람에 대해 무엇을, 어디서, 얼마나 모으고 있는지를 목록으로 내놓아야 한다. 진정서가 추적기 이름을 세는 데 통신 기록 캡처 같은 수단을 쓴 것은 그 목록을 받지 못했기 때문이기도 하다.

스케일 AI는 더 레지스터에 "보고서의 주장은 근거가 없고 부정확하다"고 밝히며, 아웃라이어의 관행은 기여자에게 공개돼 있고 그들의 동의를 받는다고 했다. 이 회사는 아웃라이어에서 일하는 사람들을 노동자가 아니라 기여자라고 부른다. 화면 활동과 작업 시간을 기록하는 도구가 일부 프로젝트에 쓰이는 것은 맞지만 기여자가 직접 선택해 켜는 방식이라는 설명도 덧붙였다. 개인정보를 제3자에게 팔지 않고, 고객사의 AI를 학습시키는 데 쓰지도 않는다는 것이 회사의 입장이다. 생체 확인은 부정 이용을 막고 법을 지키기 위한 절차라고 했다.

두 주장이 정면으로 부딪히는 것처럼 보이지만, 자세히 보면 서로 다른 질문에 답하고 있다. 회사는 동의를 받았다고 말하고, noyb는 그 동의가 유효한 법적 근거가 되는지를 묻는다. GDPR에서 동의가 성립하려면 자유롭게 준 것이어야 하는데, 일감을 받으려면 그 플랫폼에 들어가야 하는 사람과 플랫폼 사이에 그런 자유가 있느냐가 쟁점이다. 수집 범위가 목적에 견줘 넓다는 최소화 쟁점은 동의가 있어도 따로 남는다.

아직은 어느 쪽도 판정을 받지 않았다. 진정은 신고이지 감독기관의 결론이 아니다. 네 나라에 흩어진 다섯 건이 어떻게 묶여 처리될지, 주된 관할을 어디가 쥘지도 정해지지 않았다. 신고인이 유명하다는 이유로 결론을 미리 그릴 일은 아니다.

학습 데이터를 사고팔 때 오가는 서류에는 대개 건수와 단가, 품질 지표, 납기가 적힌다. 그 데이터를 만든 사람이 어떤 화면 앞에서 어떤 기록을 남기며 일했는지는 적히지 않는다. 이번 진정이 바꾸는 것은 그 빈칸의 성격이다. 지금까지 노동 조건은 공급사의 사정이었지만, 감독기관 앞에 올라간 순간부터는 공급망에 매겨지는 값이 된다.

구매자 쪽에서 직접 걸리는 자리도 있다. 라벨링 작업은 보통 구매 기업의 자료를 공급사 플랫폼에 올려 두고 진행한다. 그 화면에 제3자 추적기가 붙어 있다면 작업자의 행동만 바깥으로 나가는 것이 아니다. 화면에 떠 있던 우리 쪽 자료의 일부가 함께 담길 수 있다. 세션 리플레이는 설계상 화면에 보이는 것을 기록하는 도구다.

라벨링 데이터를 사 오는 자리에 있다면, 다음 계약서를 쓰기 전에 세 가지를 문서로 확인해 둘 수 있다.

• 작업 화면에 어떤 제3자 코드가 실려 있는가. 공급사에 목록을 요구하고, 그 가운데 화면 녹화와 입력 기록이 있는지 따로 묻는다.
• 우리 자료가 떠 있는 화면이 기록되는가. 기록된다면 그 기록이 어디에 저장되고 누가 볼 수 있으며 얼마나 남는지가 계약서에 적혀 있는가.
• 작업자가 자기 정보를 요구하면 누가 답하는가. 공급사가 쓰는 신원 확인·결제·분석 업체까지 포함해 응답 책임이 어디에 있는지 정해 두었는가.

세 질문 모두 라벨의 정확도를 묻지 않는다. 묻는 것은 그 라벨이 만들어진 자리의 구조다. 데이터에 계보가 붙어 있어야 나중에 되짚을 수 있다는 말은 출처와 가공 이력에만 해당하지 않는다. 어떤 조건에서 만들어졌는지도 그 계보의 한 줄이고, 그 줄이 비어 있으면 공급망에 법적 문제가 생겼을 때 우리가 산 데이터가 거기 걸려 있는지 아닌지를 확인할 방법이 없다.

여기까지 읽어 주셔서 감사하다. 진정서의 원문 요지는 noyb 발표문에, 스케일 AI의 반박은 The Record 보도에 정리돼 있다. 라벨링 공급사와 계약서를 쓰면서 작업 환경이나 데이터 취급 범위를 조항으로 적어 본 경험이 있다면, 그 문장이 어떻게 쓰였는지 들려주시면 좋겠다.

1차 출처

• 1.noyb. (2026). "AI training platform Outlier illegally surveils European platform workers." noyb — European Center for Digital Rights, 2026-10-27.

보도

• 2.The Record. (2026). "European digital rights nonprofit noyb sues Scale AI for 'invasive' worker surveillance." Recorded Future News, 2026-10-27.
• 3.The Register. (2026). "EU privacy advocates accuse US data annotation firm of snooping on contractors." The Register, 2026-10-27.
• 4.PPC Land. (2026). "Scale AI faces 5 GDPR complaints over tracking of Outlier AI trainers." PPC Land, 2026-10-28.