[태그:] 데이터 거래

수만 달러. 암호화폐 스타트업을 접던 킬런 미스켈(Keelan Miskell)이 회사의 코드베이스와 워크스페이스 데이터를 넘기고 받은 돈이다. 미스켈 본인은 회사 데이터에 별 가치가 없다고 생각했는데, 그 디지털 아카이브가 결국 현금이 됐다. MIT 테크놀로지 리뷰가 전한 이 이야기를 창업자 한 명이 운 좋게 건진 거래로만 보면 핵심을 놓친다. 스타트업 폐업을 돕는 회사들이 데이터를 AI 연구소에 파는 시장 자체가 커지고 있고, 미스켈은 그 시장에 나온 판매자 중 한 명일 뿐이다. 회사는 문을 닫아도, 그 회사가 남긴 업무 기록은 AI 모델의 학습 재료로 다시 쓰인다는 얘기다.

파는 쪽, 사는 쪽, 그리고 중간의 폐업 지원 회사

거래에 등장하는 주체는 셋이다. 데이터를 가진 폐업 스타트업, 그 데이터로 모델을 학습시키려는 AI 연구소, 그리고 둘 사이에서 스타트업이 문 닫는 과정을 돕는 회사. 폐업 지원 회사는 원래 회사를 정리하면서 남는 자산을 처분하는 일을 한다. 그 자산 목록에 ‘데이터’라는 항목이 새로 올라간 거다.

창업자가 끌리는 건 당연하다. 폐업 단계에 들어선 회사는 남은 현금이 얼마 없고, 코드나 문서는 보통 남한테 팔 수 없는 내부 자료 취급을 받는다. 미스켈처럼 여기에 값이 붙을 줄 몰랐던 창업자가 적지 않을 거라고 보는 이유다. AI 연구소 쪽 계산은 더 단순하다. 한 회사가 운영 기간 내내 쌓은 코드와 업무 대화를 한 번에 손에 넣을 수 있으니까. 직원이나 고객 한 사람 한 사람에게서 데이터를 모으는 것보다 회사 단위로 사는 쪽이 훨씬 빠르고, 데이터끼리 이어지는 맥락도 끊기지 않는다.

공개·합성 데이터의 한계, 실제 업무 기록으로 메우려는 AI 연구소

수요가 생긴 배경은 학습 데이터 공급이다. AI 연구소들은 누구나 접근할 수 있는 공개 데이터셋에서도, 모델이 만들어 낸 합성 데이터셋에서도 한계에 부딪혔다. 구매자들이 그 빈자리를 메우려고 찾는 게 실제 현장에서 만들어진 기록이다. 주된 용도는 AI 에이전트 학습.

AI 에이전트는 질문에 한 번 답하고 끝나는 AI가 아니다. 여러 단계로 이어진 작업을 스스로 해내도록 설계된다. 코드를 고치고, 테스트를 돌리고, 결과를 동료에게 공유하는 흐름을 처음부터 끝까지 따라가야 한다는 뜻이다. 이런 흐름은 잘 다듬어진 글이나 완성된 문서에는 거의 남지 않는다. 실제 회사에서 일이 어떤 순서로 굴러갔는지 보여 주는 기록에 남는다. 폐업 스타트업 데이터가 주목받는 이유도 아마 여기일 거다.

데이터 유형	출처	AI 에이전트 학습 관점의 위치
공개 데이터셋	누구나 접근할 수 있는 텍스트·코드	AI 연구소들이 이미 한계에 부딪힌 영역
합성 데이터셋	AI 모델이 생성한 데이터	공개 데이터와 함께 한계가 드러난 영역
실제 업무 기록	폐업 스타트업의 코드베이스·워크스페이스 데이터	구매 수요가 늘고 있으나 법적·윤리적 문제 제기

세 유형을 가르는 기준은 양이 아니다. ‘실제로 일한 흔적이 남아 있느냐’다. 공개 데이터는 완성된 결과물 위주다. 합성 데이터는 그걸 만든 모델이 이미 아는 범위를 벗어나기 어렵다는 지적을 흔히 받는다. 반면 실제 업무 기록에는 시행착오와 수정 과정이 고스란히 들어 있어서, 에이전트 입장에서는 배울 거리가 훨씬 많다.

코드베이스와 워크스페이스, 같은 ‘회사 데이터’라도 속이 다르다

미스켈이 판 건 코드베이스와 워크스페이스 데이터, 두 덩어리다. 둘 다 ‘회사 데이터’로 묶이지만 안에 든 건 꽤 다르다.

• 코드베이스: 제품의 소스 코드 전체. 버전 관리 이력까지 같이 넘어가면 누가 어떤 문제를 어떻게 고쳤는지, 코드 리뷰에서 무슨 의견이 오갔는지까지 따라갈 수 있다. 코딩 에이전트에게는 ‘문제 발견 → 수정 → 검토’가 실제로 일어난 사례 묶음이 되는 셈이다.
• 워크스페이스 데이터: 팀이 협업 도구에 남긴 메시지, 문서, 업무 티켓 같은 기록이다. 일정 조율, 고객 대응, 의사결정 과정이 전부 자연어로 남아 있다. 업무형 에이전트를 학습시키기에 딱 맞는 형태라는 얘기다.

문제는 이 기록이 업무에만 쓰이지 않았다는 데 있다. 협업 도구 메시지에는 직원끼리 나눈 사적인 대화, 채용 평가, 고객 이름과 연락처, 거래처와의 계약 조건이 쉽게 섞인다. 코드 저장소도 다르지 않다. 실수로 커밋한 API 키나 데이터베이스 접속 정보가 이력 어딘가에 남아 있는 경우, 생각보다 흔하다. 판매자가 ‘우리 회사 데이터’라고 믿고 넘긴 묶음 안에 회사 소유가 아닌 정보가 들어 있을 수 있다는 것. 이 거래에서 제일 먼저 따져 봐야 할 지점이다.

동의, 제3자 권리, 암기, 비밀키 — 데이터 판매의 네 가지 쟁점

1. 동의의 범위: 직원과 고객이 정보를 남긴 목적은 업무 수행이나 서비스 이용이었다. 이용약관에 영업양도·합병 때 데이터를 넘길 수 있다는 조항이 있다 해도, 폐업한 뒤 AI 연구소에 학습용으로 파는 행위가 그 범위에 들어가는지는 해석이 갈릴 수 있다. 사업을 넘겨받아 이어 가는 영업양도와, 데이터만 떼어 학습용으로 파는 거래는 모양부터 다르다.
2. 제3자 권리: 고객사가 보낸 문서, 거래처와 주고받은 자료, 라이선스 조건이 붙은 외부 코드. 이런 건 회사가 혼자 처분할 권리가 없을 때가 있다. 비밀유지 계약을 맺은 자료라면 파는 행위 자체가 계약 위반이 될 수 있다.
3. 모델을 통한 노출: 학습된 모델이 학습 데이터 일부를 그대로 뱉어 내는 ‘암기’ 현상은 이미 잘 알려진 위험이다. 비공개 업무 대화가 어느 날 모델 응답에 섞여 나올 가능성을 완전히 배제하기는 어렵다.
4. 보안: 코드에 남은 비밀키가 아직 살아 있다면, 데이터를 받은 쪽은 물론이고 그 뒤 어떤 유출 경로에서든 악용될 수 있다. 클라우드플레어 최고경영자 매슈 프린스는 뉴욕타임스에 AI가 소프트웨어 취약점을 패치 속도보다 빠르게 찾아내고 있다고 말했다. 코드가 여러 손을 거칠수록 그 안의 약점이 발견될 확률도 같이 올라간다.

한국 직원·이용자 입장에서 따져 볼 부분

국내에서도 같은 형태의 거래가 오가는지는 아직 확인되지 않았다. 다만 데이터는 국경을 쉽게 넘는다. 해외 협업 도구를 쓰거나 해외 법인을 둔 국내 스타트업이라면, 그 데이터가 같은 시장에 나올 수도 있다(추측).

국내 개인정보 법제는 개인정보를 다른 회사에 넘길 때 정보주체의 동의를 받도록 하고, 영업양도·합병이라면 이전 사실을 미리 알리도록 한다. 고객 개인정보가 섞인 워크스페이스 데이터를 손대지 않고 그대로 파는 거래라면 국내에서는 걸림돌이 많을 거라고 본다(추측이며 법률 판단은 아니다). 직원 업무 대화도 예외가 아니다. 이름과 발언 내용이 그대로 남아 있으니 이것도 개인정보고, 똑같은 문제가 생긴다.

개인 차원에서 할 수 있는 대응은 두 가지 정도다.

• 직원이라면: 업무용 메신저와 문서 도구에 개인적인 대화, 신분증 번호, 건강 정보 같은 민감 정보는 남기지 말자. 회사가 폐업 절차에 들어가면 데이터를 어떻게 처리할 계획인지 물어보고, 사적인 메시지는 직접 지운다.
• 서비스 이용자라면: 쓰던 서비스가 종료 공지를 내면 공지문과 개인정보 처리방침에서 데이터를 파기하는지, 다른 회사로 이전하는지부터 확인한다. 아래 경로는 국내 앱에서 흔한 구성을 기준으로 한 것이다. 앱 설정 → 계정(또는 내 정보) → 회원 탈퇴 순으로 들어가서 서비스가 끝나기 전에 탈퇴한다. 탈퇴 메뉴가 안 보이면 개인정보 처리방침 하단에 있는 개인정보 보호책임자 연락처로 삭제를 요청하면 된다.

확인된 것과 아직 불확실한 것

확인된 것

• 암호화폐 스타트업을 정리한 킬런 미스켈이 코드베이스와 워크스페이스 데이터를 팔아 수만 달러를 받았다.
• 스타트업 폐업을 돕는 회사들이 데이터를 AI 연구소에 판매하는 시장이 커지고 있다.
• 수요 증가의 배경은 공개·합성 데이터셋의 한계이며, 구매자들은 AI 에이전트 학습용 실제 기록을 찾는다.
• 이런 판매는 법적·윤리적 문제를 낳고 있다.

아직 불확실한 것

• 데이터를 사들이는 AI 연구소의 명단과 시장 전체 규모
• 판매 전 직원·고객 개인정보의 비식별 처리 여부
• 거래 계약상 데이터 사용 범위와 재판매 제한 조건
• 국내 스타트업 데이터의 거래 여부와 국내 법 적용 방식

데이터를 넘기기 전 창업자가 지울 것과 남길 것

데이터 판매를 고민하는 창업자라면 ‘무엇을 파느냐’보다 ‘무엇을 빼고 파느냐’가 위험의 크기를 정한다. 아래 순서대로 점검하는 게 안전하다.

1. 데이터 목록 작성: 코드 저장소, 협업 도구 워크스페이스, 고객 데이터베이스, 클라우드 저장소를 나눠서 어떤 데이터가 어디 있는지부터 적는다. 목록이 없으면 뒤 단계에서 뭘 빼야 하는지도 가려낼 수 없다.
2. 워크스페이스 백업과 보존 정책 확인: 협업 도구 관리자 화면 → 설정 → 데이터 내보내기(도구에 따라 ‘워크스페이스 내보내기’ 또는 ‘백업’, 이 단계의 정확한 위치는 도구별로 확인 필요)에서 전체 사본을 받는다. 같은 관리자 설정의 보존 정책 항목에서 기록을 얼마나 남길지도 정해 둔다.
3. 고객 개인정보 분리: 고객 데이터베이스와 고객 응대 기록은 판매 대상에서 빼는 것을 기본값으로 둔다. 넣을지 말지 고민하는 게 아니라, 일단 빼 놓고 시작하는 거다.
4. 비밀키 폐기: 버전 관리 이력 전체에서 API 키와 비밀번호를 검색하고, 찾은 키는 발급처에서 폐기한다. 최신 코드에서 지웠다고 끝난 게 아니다. 이력에 남아 있으면 이력째로 넘어간다. 쓰지 않는 클라우드 계정도 해지한다.
5. 계약 검토: 고객사·거래처 계약의 비밀유지 조항, 외부 코드의 라이선스, 투자 계약의 자산 처분 조항을 확인한다.
6. 직원 고지: 워크스페이스 데이터를 판다면 직원에게 미리 알리고, 개인 메시지를 지울 기회를 준다.
7. 구매 조건 명시: 사용 목적을 모델 학습으로 한정하고, 재판매 금지와 개인정보 필터링 책임을 계약서에 적는다.

폐업한 회사의 데이터에도 값이 붙는다는 건 미스켈의 거래로 드러났다. 그런데 수만 달러짜리 아카이브 안에는 그 회사에서 일한 사람들과 그 서비스를 쓴 사람들의 기록이 같이 들어 있다. 돈은 판매자가 받는다. 그 기록에 담긴 사람들의 정보에 대한 책임도 판매자에게 남는다.

출처: MIT Tech Review AI