SOC 2 인증과 구독 모델을 통한 데이터 주권 확보

샌디에이고의 AI 스타트업 Ollie가 가족 중심 AI 비서 서비스 최초로 SOC 2 인증을 획득했다. 외부 전문가가 기업의 데이터 보호 제어 체계와 시스템 운영 안전성을 검증하는 프레임워크다. 이번 인증으로 Ollie는 사용자 데이터를 AI 모델 학습 등 부가 목적으로 무단 수집하지 않는다는 점을 객관적으로 증명했다.

빌 레논(Bill Lennon) CEO는 데이터 주권을 지키기 위해 구독 기반 비즈니스 모델을 채택했다. 데이터를 제3자에게 판매해 수익을 내는 대신, 사용자가 직접 비용을 지불함으로써 프라이버시를 유지하는 구조다. 이는 서비스 약관(TOS)을 통해 사용자 데이터에 대한 '영구적이고 취소 불가능한(perpetual and irrevocable)' 라이선스를 요구하며 학습 데이터를 확보하려는 경쟁사 Instinct의 전략과 정반대되는 행보다.

이런 보안 중심 접근은 텍스트 기반 AI 비서 시장에서 Ollie의 차별점이 된다. 현재 Poke, Fambot, Ohai 같은 소비자용 비서와 Town, Lindy, Reclaim.ai 같은 업무용 비서들이 경쟁 중이다. 특히 3억 5천만 달러의 투자를 유치한 Instinct 같은 거대 자본 서비스 사이에서, Ollie는 SOC 2라는 실질적인 검증 지표로 신뢰 기반의 틈새시장을 공략하고 있다.

클라우드 브라우저 기반의 무비밀번호 접근 방식

Ollie는 계정 아이디와 비밀번호를 직접 요구하지 않는 기술적 메커니즘으로 정보 유출 위험을 차단했다. AI가 특정 웹사이트에 접속해야 할 때, 사용자 기기가 아닌 클라우드 상의 자체 브라우저에서 작업을 수행한다. 이후 시스템이 사용자에게 원격 세션 링크를 제공하면, 사용자는 이미 접속된 화면을 통해 작업을 확인하고 승인만 하면 된다.

결제나 구매 단계에서도 동일한 방식이 적용된다. AI가 민감한 결제 정보를 직접 저장하거나 처리하지 않고, 가상 공간에서 프로세스를 진행한 뒤 결과값만 공유해 보안성을 높였다. 다만 보안을 위해 사용자가 작업마다 매번 수동으로 로그인해야 하는 불편함이라는 트레이드오프가 발생한다.

빌 레논 CEO는 이 불편함을 해결하기 위해 '하드 토큰화(hard tokenization)' 도입을 준비 중이다. 보안을 유지하면서 재입력 과정을 줄이는 최적의 UX를 찾는 것이 다음 단계다. 이는 향후 Plaid 같은 커넥터를 통해 은행 계좌 등 민감한 금융 데이터에 접근하기 위해 반드시 선행되어야 할 신뢰 구축 과정이다.

AI 에이전트 시장의 경쟁 구도와 보안 선택 기준

Ollie는 Khosla Ventures와 AI House로부터 750만 달러의 시드 투자를 유치했다. 핀테크 창업 경험이 있는 빌 레논 CEO의 배경을 살려, 현재의 일정·쇼핑·청구서 결제 기능을 넘어 가계 예산 관리까지 확장할 계획이다.

하지만 LLM(대규모 언어 모델) 특유의 '확률적(stochastic) 특성'으로 인한 불확실성은 여전하다. Instinct가 호텔 예약 테스트에서 잘못된 요금을 제시하거나, Ollie가 인프라 장애로 응답이 중단되는 사례가 대표적이다. 이를 방어하기 위해 오류를 포착하고 방지하는 '에이전트 하네스(agent harness)' 구축 작업이 병행되고 있다.

이제 개인용 AI 에이전트를 도입할 때는 단순한 기능보다 '데이터 학습 권한'과 '계정 접근 방식'을 기준으로 보안 수준을 판단해야 한다. 특히 서비스 약관에서 데이터 활용을 위해 '영구적이고 취소 불가능한' 라이선스를 요구하는지 확인하는 것이 가장 구체적인 선택 기준이 된다. 또한, 비밀번호를 직접 요구하는지 아니면 원격 세션 방식을 사용하는지에 따라 내 데이터의 노출 위험 범위를 측정하고 서비스를 선택해야 한다.