Verke Editorial

AI 상담에서 내 데이터는 안전할까요? 어려운 용어 없이 이해하는 암호화

Verke Editorial · April 28, 2026

AI 상담에서 내 데이터는 안전할까요? Verke에서는 대화가 전송 중과 저장 상태 모두 암호화되고, 암호문구를 설정하면 Verke의 누구도 저장된 대화를 읽을 수 없어요. 다른 AI 코칭 제품은 제품마다 답이 크게 달라요. 솔직히 말하면 "데이터를 안전하게 보호합니다"라는 말은 다섯 가지 다른 뜻으로 쓰일 수 있고, 대부분의 제품은 가장 느슨한 뜻으로 써요. 이 글에서는 어떤 제품이든 개인정보 처리방침에서 무엇을 확인해야 하는지, 기술 용어가 실제로 무슨 뜻인지, 그리고 Verke가 어떤 선택을 했는지를 사양서가 아닌 쉬운 말로 설명해요.

이게 왜 중요한지 말씀드릴게요. AI 코칭에서는 친구에게도 말하지 못할 이야기를 나누게 돼요. 이런 대화에서 프라이버시는 법적 체크박스 같은 추상적인 개념이 아니라, 처음부터 완전히 솔직해질 수 있게 해주는 전제 조건이에요. 누군가 보고 있다는 생각이 들면 대화 자체가 달라지고, 제품의 기술 구조가 그 차이를 결정해요. 아래에서 다루는 내용: "암호화"가 실제로 무슨 뜻인지, Verke가 여러분의 대화를 구체적으로 어떻게 처리하는지, 우리가 여전히 볼 수 있는 것은 무엇인지, AI 코칭 제품에 어떤 질문을 해야 하는지, 그리고 암호화와 결합해 전반적인 보호를 강화하는 익명 옵션까지 설명해요.

암호화는 특정 키가 있어야만 읽을 수 있도록 텍스트를 뒤섞는 과정이에요. 키 없이는 암호화된 내용이 무작위 바이트처럼 보여서, 누가 보더라도 아무 의미가 없어요. 중요한 건 "암호화를 하느냐"가 아니에요 — 거의 모든 서비스가 어딘가에서는 암호화를 하니까요. 진짜 중요한 건 "그 키를 누가 갖고 있느냐"예요. 이 하나의 질문이, 회사가 내 메시지를 읽을 수 있는 제품과 읽을 수 없는 제품을 가르는 기준이에요.

종단간 암호화(E2EE)란 암호화 키가 서버가 아닌 사용자의 기기에만 존재한다는 뜻이에요. 서버에서는 암호문 — 뒤섞인 바이트 — 만 볼 수 있고, 키가 없으니 이를 복호화할 방법이 없어요. 반면 서버측 또는 저장 시 암호화(SaaS 제품에서 더 흔한 방식)는 회사 쪽에서 키를 보관하는 방식이에요. 외부 침입으로부터 데이터를 보호하지만, 회사 자체는 원할 때 언제든 복호화해서 내용을 확인할 수 있어요. 둘 다 기술적으로는 "암호화"지만, 누가 내용을 볼 수 있느냐에 대한 답은 완전히 달라요. E2EE는 구현하기 더 어렵지만, 사용자에게는 훨씬 강력한 보호 방식이에요.

대화는 암호화된 연결로 전송되고, AES-256-GCM으로 암호화되어 저장돼요. 이런 용도의 표준으로 쓰이는 강력한 대칭키 암호 방식이에요. 대칭키란 같은 키로 암호화하고 복호화한다는 뜻이고, 암호 방식은 데이터를 알아볼 수 없게 뒤섞는 알고리즘이에요. AES-256-GCM은 은행과 정부 기관, 보안을 진지하게 다루는 메신저 앱이 같은 일에 쓰는 방식이에요. 오랫동안 검증됐고 구현도 탄탄해서, 누군가 가장 먼저 뚫고 들어오는 지점이 되지는 않아요.

대화마다 각자의 키가 있고, 그 키들은 다시 RSA-4096으로 잠겨요. 공개키와 비밀키 한 쌍을 쓰는 비대칭 암호 방식이에요. 비대칭이란 암호화에는 (공유해도 되는) 공개키를 쓰고, 복호화에는 비밀키가 필요하다는 뜻이에요. 4096비트라는 키 길이는 지금 기준으로 상당히 긴 편이라, 앞으로 암호 해독 기술이 발전해도 넉넉한 여유가 있어요.

쉽게 말하면 이래요. 데이터베이스에는 암호화된 데이터만 들어 있고, 그걸 누가 열 수 있는지는 여러분의 선택이 정해요. 암호문구를 설정하면 계정 키가 그 문구로 잠기기 때문에, 데이터베이스를 들여다보는 Verke 직원에게는 대화가 아니라 뒤섞인 바이트만 보여요. 암호문구가 없으면 키는 서버가 가지고 있어요. 세션 요약을 기록하는 백그라운드 작업도 일하는 동안 잠깐 그 대화의 키를 들고 있어요. 어느 쪽이든, 코치의 답을 쓰려면 서버가 메시지를 복호화해서 OpenAI, Google, Anthropic의 언어 모델에 그 텍스트를 보내요. 더 자세한 내용은 개인정보 처리방침에서 볼 수 있고, 위 내용이 그 핵심이에요.

암호화는 메시지 내용을 보호해요. 하지만 모든 이용 흔적까지 전부 가려 주는 건 아니에요. Verke는 메타데이터를 봐요. 언제 로그인했는지, 어떤 코치와 이야기했는지, 세션이 얼마나 이어졌는지, 메시지를 대략 몇 개 주고받았는지요. 크래시 로그도 봐요(메시지 내용이 아니라 스택 트레이스가 담겨 있어요 — 꼼꼼히 확인했어요). 전체 사용자의 집계 숫자도 봐요. 세션이 몇 건인지, 이번 주에 몇 명이 앱을 열었는지, Anna와 Judith 중 누구를 더 많이 골랐는지요. 이 중 어느 것도 개인의 대화를 읽어야 알 수 있는 건 아니에요.

암호문구가 더해 주는 건 저장된 대화에 대한 보호예요. 설정해 두면 소환장이든, 내부 조사든, 데이터베이스에 접근할 수 있는 호기심 많은 엔지니어든 뒤섞인 바이트만 보게 돼요. 그걸 읽을 키가 여러분의 암호문구로 잠겨 있고, 그 문구나 저희가 메일로 보내 드린 복구 코드로만 열리기 때문이에요. 저장된 대화에 대해서는 "하지 않겠다"는 약속이 아니라 "기술적으로 할 수 없다"는 설명이에요. 다만 코치가 답을 쓰는 동안에는 메시지가 서버에서 복호화돼요.

Verke를 선택하든 아니든, 어떤 AI 코칭 제품이든 대화 내용을 맡기기 전에 확인해 볼 만한 체크리스트예요. 대부분의 제품은 이 중 적어도 하나에서 부족할 거고, 답은 보통 눈에 띄게 안내되기보다 개인정보 처리방침 깊숙이 묻혀 있어요:

• 대화 내용이 종단간 암호화인가요, 저장 시 암호화인가요? "암호화"라고만 적혀 있다면 보통 저장 시 암호화를 뜻하고, 그 경우 회사가 내용을 읽을 수 있어요.
• 회사 직원이 사용자 대화를 읽을 수 있나요? 모호한 "엄격한 접근 통제를 따릅니다"가 아닌 명확한 아니오를 찾으세요.
• 대화가 모델 학습에 사용되나요? "비식별화"나 "집계" 데이터라고 해도 결국 내 대화 내용으로 학습하는 거예요.
• 데이터가 지리적으로 어디에 저장되나요? 관할권은 정부가 무엇을 요구할 수 있고 어떤 보호가 적용되는지에 영향을 줘요.
• 계정을 삭제하면 데이터가 완전히 지워지나요? 보관 일정 속에 묻힌 30일 임시 삭제가 아니라, 진짜 삭제가 되는지 확인하세요.
• 데이터 처리 계약(DPA)을 제공하나요? 제대로 된 개인정보 보호 체계라면 반드시 필요하고, 특히 GDPR 적용 시 필수예요.

Verke는 이메일도, 전화번호도, 결제 정보도 없이 익명으로 시작할 수 있어요. 기술적인 이유는 단순해요. 계정에 신원이 덜 묶여 있을수록, 최악의 상황에도 새어 나갈 게 적어요. 제품 차원의 이유도 중요해요. 이런 대화가 가장 필요한 분들 중에는 현실의 신원을 거기에 붙이는 걸 가장 망설이는 분들이 있어요. 처음부터 이메일을 요구하면 그분들이 걸러져 버리고, 굳이 물어볼 이유도 없어요.

계속하고 싶어지면, 무료 계정을 만드는 것만으로 7일 무료 체험이 시작돼요. 신용카드는 필요 없어요. 계정은 신원을 대화와 연결해요. 그래서 바로 그때가 암호문구가 가장 중요해지는 순간이에요. 설정해 두면 서류상 여러분이 누구든, 저장된 대화는 저희가 읽을 수 없는 상태로 남아요. 나중에 구독을 시작하면 결제 식별 정보가 더해지지만, 결제 관계가 생긴다고 해서 암호화의 경계선이 움직이지는 않아요.

자기 돌봄과 AI 코칭으로 많은 걸 할 수 있지만, 한계도 있어요. 오랫동안 나아지지 않는 심한 우울감, 일상을 방해하는 공황 발작, 자해에 대한 생각, 트라우마 처리가 필요한 상황, 물질 의존 — 이런 증상은 코칭 도구를 더 밀어붙이라는 신호가 아니라 전문 상담사의 도움이 필요하다는 신호예요. 부담 적은 상담 옵션은 opencounseling.com 또는 국제 상담 전화를 다음에서 확인하세요: findahelpline.com. 필요 이상으로 오래 기다린다고 좋을 건 없어요.