개요

Claude의 약관이 바뀝니다. 앤트로픽(Anthropic)이 2026년 6월 8일에 새 개인정보 처리방침을 공개했고, 7월 8일부터 효력이 발생합니다. 가장 눈에 띄는 변경점은 한 가지로 모입니다. “정부 발급 신분증과 얼굴 사진, 그리고 얼굴 형상 템플릿을 받아 본인 확인에 쓸 수 있다"는 조항이 새로 들어갔다는 점입니다.

이번 글은 그 정책 개정의 핵심을 한 번에 잡아 드리는 정리본입니다. 어떤 데이터가, 누구를 통해, 어떤 법적 근거로 수집되는지, 그리고 한국·유럽 사용자가 실무적으로 챙겨야 할 포인트가 무엇인지까지 차근차근 풀어 보겠습니다.

신분증과 얼굴 인식 노드가 둘러싼 인물 옆얼굴 일러스트

핵심 요약

  • 시점: 2026년 6월 8일 공개 → 2026년 7월 8일 효력 발생.
  • 대상: Claude Free·Pro·Max 등 소비자 계정만 적용. Team·Enterprise·Platform 등 상용 계약은 제외.
  • 신설 항목: ① 생체 인증 데이터(얼굴 사진·얼굴 형상 템플릿·신분증 정보) ② 에이전트(agentic) 세션의 외부 앱 데이터 흐름 ③ 연구 참여 데이터.
  • 수행 주체: 인증은 앤트로픽이 직접 하지 않고 제3자 KYC 업체 Persona Identities가 처리.
  • 유지되는 약속 3가지: 개인정보 판매 안 함 · Claude에 광고 안 붙임 · 학습 사용 동의는 사용자가 직접 제어.
  • 한국 관할 주체: 앤트로픽 코리아(서울 강남구 테헤란로 152, 41층) · 국내 처리 수탁자는 법무법인 태평양.

본문

1. 무엇이 바뀌었나 — 4개 영역 한 줄 요약

이번 6월 8일 개정은 2025년 9월 이후 가장 큰 폭의 손질입니다. 직전 버전(2026년 1월 12일)은 컨슈머 헬스 데이터 정책 링크를 끼우고 지역별 보충 고지를 한 곳으로 모은 정도의 소소한 정리였습니다. 이번 개정은 결이 다릅니다.

앤트로픽이 직접 정리한 변경 영역은 네 개입니다.

  • 에이전트·외부 앱 연동: Claude가 사용자의 권한을 받아 다른 서비스에 글을 보내거나 파일을 수정하면, 그 과정에서 오가는 데이터가 무엇인지 명시.
  • 인증 데이터(Verification Data): 본인 확인을 위해 받을 수 있는 데이터 항목을 처음 구체화. 이번 글의 핵심 주제.
  • 연구 참여 데이터(Study Participation Data): 앤트로픽이 진행하는 인터뷰·설문 응답을 따로 데이터 항목으로 분리.
  • 소통·제3자 공유 설명 확대: 누구에게, 왜, 어떤 근거로 데이터를 넘기는지 더 상세히 풀어 씀.

반대로 그대로 유지된 부분도 분명합니다. 개인정보 판매 금지, Claude 안에 광고 없음, 모델 학습 동의 제어권이라는 세 가지 약속은 손대지 않았습니다.

2. 생체 인증(Verification Data) — 실제로 무엇을 받나

가장 민감한 조항부터 보겠습니다. 개정안의 인증 데이터 섹션은 이렇게 시작합니다. “특정한 상황에서 우리는 사용자에게 나이 또는 신원 확인을 요청할 수 있다.” 표현은 “요청할 수 있다(may)“로 부드럽지만, 받기로 한 데이터 목록은 매우 구체적입니다.

  • 신분증 이미지 — 정부 발급 신분증 사진과 거기에 적힌 정보(ID 번호, 생년월일 등)
  • 얼굴 사진 또는 영상 — 인증 시점에 촬영한 얼굴 이미지
  • 얼굴 형상 템플릿(facial geometry templates) — 정책 본문이 직접 “일부 관할에서는 ‘생체 데이터(biometric data)‘로 분류될 수 있다"고 표기
  • 검증 결과 — 연령 기준을 충족했는지 여부 같은 판정 결과값

여기서 핵심은 **“얼굴 형상 템플릿”**이라는 표현입니다. 단순히 얼굴 사진 한 장이 아니라, 얼굴 기하학을 수치로 추출한 데이터가 함께 처리된다는 뜻입니다. 이는 EU GDPR이 “특별 범주 개인정보"로 더 엄격하게 다루는 항목이고, 미국 일리노이주의 BIPA(생체정보보호법) 같은 주법이 별도의 동의·고지를 요구하는 항목이기도 합니다.

흥미로운 점은 인증 자체를 앤트로픽이 직접 하지 않는다는 것입니다. 정책은 “안전·보안 문제 조사, 사기 예방 및 조사 등의 목적으로 서비스 제공자·비즈니스 파트너와 협력한다"고만 적었습니다. 링크드인에서 이 변경을 분석한 변호사 타냐 칩(Tanya Chib)은 실제 인증 사업자가 Persona Identities라는 제3자 KYC 업체라는 점을 짚었습니다. “대부분의 사용자는 자기 생체 데이터가 한 번도 들어 본 적 없는 회사에서, 따로 검토하지 않은 약관 아래 처리된다는 사실을 모를 것"이라는 게 그의 지적입니다.

3. GDPR 관점에서 걸리는 부분 — “동의” 한 단어의 무게

이번 개정에는 유럽 사용자가 한 번 더 들여다봐야 할 대목이 있습니다. 인증 절차의 법적 근거 항목에 ‘동의(consent)‘와 함께 ‘중대한 이익(vital interests)‘이 함께 적혀 있다는 점입니다. 중대한 이익은 EU GDPR에서 보통 생명·안전 위협 상황 같은 극단적 경우에만 인정되는 근거입니다. KYC 절차에 이 근거가 같이 붙어 있는 건 흔하지 않은 표기 방식이고, 변경 요약문에서 별도 설명도 없습니다.

타냐 칩이 지적한 또 다른 부분이 있습니다. 정책은 “만약 사용자가 인증을 선택할 경우(if you choose to do so)“라고 적었지만, 인증을 거부했을 때 무엇이 어떻게 제한되는지는 적혀 있지 않습니다. GDPR에서 동의가 유효하려면 거절했을 때 불이익이 없어야 합니다. 이 한 줄 공백이 향후 규제 당국 해석에서 쟁점이 될 수 있습니다.

4. 에이전트가 외부 앱과 주고받는 데이터 — 처음으로 명문화

이번 정책은 Claude가 단순 챗봇을 넘어 외부 시스템을 조작하는 시대를 반영합니다. 새 약관은 입력·출력 항목에 “에이전트 세션(Claude가 다단계 작업을 수행하거나 사용자를 대신해 행동하는 세션)과 연결된 서비스"를 명시적으로 포함시켰습니다.

특히 눈에 띄는 한 문장. “사용자가 부여한 권한에 따라, 일부 출력은 메시지 발송·파일 수정·제3자 서비스와의 상호작용 등 서비스 바깥에서 효과를 일으키는 행동으로 이어질 수 있다.” 쉽게 말해 Claude의 결과물은 더 이상 화면에 표시되는 글에 그치지 않고, 다른 시스템을 실제로 바꿀 수 있다는 점을 회사가 정식으로 인정한 셈입니다.

세부 시나리오도 세 가지로 나눠 설명합니다.

  • Claude가 사용자를 대신해 외부 서비스에 입력·출력·지시를 보내는 경우
  • Claude가 외부 서비스에서 데이터를 가져오고, 그 데이터가 사용자 입력의 일부가 되는 경우
  • 일부 연동은 설정에서 해제하기 전까지 계속해서 외부 서비스에 접근할 수 있는 경우

이런 외부 서비스의 데이터 처리는 앤트로픽이 통제·책임지지 않는다는 점도 분명히 적혀 있습니다. 연결 전에 각 제3자의 정책을 직접 검토할 책임이 사용자에게 있다는 구도입니다.

5. 한국 사용자가 알아야 할 실무 포인트

한국 거주자 입장에서 의미 있는 정보가 정책 본문에 그대로 남아 있습니다.

  • 한국 법인: 앤트로픽 코리아 유한회사 · 대표 패트릭 아주바이크 에케루오(Patrick Azubike Ekeruo) · 서울 강남구 테헤란로 152, 41층
  • 국내 처리 수탁자: 법무법인 태평양(Bae, Kim and Lee LLC) · 연락처 +82-2-6252-2080
  • 데이터 보호 책임자: dpo@anthropic.com

EU·영국 사용자는 거주국 감독기관에 진정을 제기할 수 있다는 조항이 그대로 유지됐고, 호주 사용자는 OAIC(호주 정보위원회)에 문의할 수 있습니다. 30일 백엔드 삭제 기한도 종전대로 유지됐습니다(대화 삭제 시 사용자 화면에서는 즉시, 백엔드에서는 30일 이내 자동 삭제).

6. 왜 지금인가 — 제품이 약관보다 앞서 가던 1년

타임라인을 한 번 훑어보면 흐름이 잘 보입니다. 2025년 5월 통합(Integrations) 기능으로 원격 MCP 서버 연결, 8월 Chrome용 Claude 연구 프리뷰, 2026년 1월 macOS Max용 Cowork(파일·브라우저 접근), 4월 Meta 광고 인프라의 MCP 연동, 그리고 6월의 라이프사이트(Lifesight) MCP 커넥터까지. Claude는 한 해 사이에 다른 시스템을 직접 조작하는 도구로 빠르게 바뀌었고, 약관이 그 변화를 뒤늦게 받아 적은 셈입니다.

여기에 2025년 9월의 15억 달러 규모 저작권 소송 합의, 2026년 2월 미 법무부가 “Claude 대화는 변호인-의뢰인 비밀특권 대상이 아니다"라고 주장한 사건, 4월 Claude Desktop의 무동의 네이티브 메시징 브릿지 설치 논란 등이 겹치면서 데이터 처리 관행 전반이 외부 검증 대상이 되었습니다. 이번 개정은 그 흐름 위에 있는 문서로 읽는 게 적절합니다.

실무자가 볼 핵심 포인트

  • 얼굴 사진과 신분증을 요구받을 수 있는 시점이 7월 8일부터 열린다는 점만은 명확히 잡으세요. “요청할 수 있다"는 조건문이지만, 받기로 한 데이터 목록은 매우 구체적입니다.
  • 얼굴 형상 템플릿은 일반 사진과 다른 범주입니다. GDPR·BIPA 같은 법체계에서 별도 보호 대상이라는 점을 인지하고, 회사 내부에서 Claude를 다룰 때 사용자 동의 흐름을 따로 설계하는 게 안전합니다.
  • 실제 인증 처리자는 Persona Identities라는 외부 KYC 업체입니다. 도입을 검토 중인 조직이라면 Persona의 약관·보안 인증·데이터 보관 정책을 별도로 확인해 두세요.
  • 에이전트 세션의 외부 연동은 권한 위임 모델로 봐야 합니다. Claude가 어떤 외부 서비스에 어떤 권한으로 들어갈 수 있는지, 끊을 때 무엇이 끊기는지를 설정 화면에서 주기적으로 점검하는 사내 정책이 필요합니다.
  • B2B는 적용 대상이 아닙니다. Team·Enterprise·Platform 사용자는 이번 개정의 직접 영향권 밖에 있습니다. 다만 동일한 기술 흐름이 이후 상용 계약에도 반영될 가능성이 크니, 보안·법무팀은 이번 문서를 향후 협상의 참고 자료로 두는 편이 좋습니다.
  • 인증 거부 시 어떤 기능이 제한되는지 정책에 적혀 있지 않다는 점은 사용자가 추가로 문의해야 할 영역입니다. 사내 사용자에게 “거부도 선택지"라고 안내하려면 거부 후 어떤 화면이 뜨는지 미리 확인해 두세요.

원문 출처

원문 보기

  • PPC Land · Luis Rijo · 2026년 6월 21일