OpenAI의 새로운 실험: 웹 생태계를 가로지르는 `__obi` 쿠키

디지털 광고의 근간은 추적(Tracking) 기술에 있다. 사용자의 행동을 파편적으로나마 연결하여 광고 효과를 측정하고 최적화하는 것은 모든 플랫폼의 오랜 과제였다. 최근 한 독립 연구원에 의해 발견된 OpenAI의 `__obi` 쿠키는 이 해묵은 과제에 대한 AI 기업의 새로운 접근법을 제시함과 동시에, 웹 프라이버시의 경계에 대한 근본적인 질문을 던진다.

이 쿠키의 핵심은 지속성(Persistence)과 교차 도메인(Cross-domain) 식별 능력에 있다. ChatGPT 서비스에 접속할 때 브라우저에 저장되는 이 쿠키는, OpenAI 광고 픽셀이 설치된 제3의 웹사이트를 방문할 때 다시 활성화되어 동일한 사용자임을 식별하는 매커니즘으로 작동한다. 이는 기술적으로는 정교한 해결책이지만, 사용자 동의의 부재라는 측면에서는 심각한 문제를 내포한다.

본 칼럼에서는 `__obi` 쿠키의 기술적 원리와 광고 생태계에 미치는 영향, 그리고 이것이 야기하는 프라이버시 규제상의 딜레마를 심층적으로 분석하고자 한다.

`__obi` 쿠키 분석: 기술적 메커니즘과 그 의미

이 사안을 정확히 이해하기 위해서는 기술적 작동 방식을 먼저 해부해야 한다. `__obi` 쿠키는 단순히 한 사이트 내에서의 활동을 기록하는 퍼스트파티 쿠키(First-party Cookie)의 역할을 넘어선다.

  1. 1. 식별자(Identifier)의 생성과 저장

    사용자가 ChatGPT 웹사이트에 접속하면, OpenAI 서버는 고유한 식별 값을 담은 `__obi` 쿠키를 생성하여 사용자의 브라우저에 저장한다. 이 쿠키는 브라우저를 닫거나 컴퓨터를 재부팅해도 사라지지 않는 ‘영구 쿠키(Persistent Cookie)’의 특성을 가질 가능성이 높다. 이는 장기간에 걸쳐 사용자를 식별하기 위한 전형적인 설계다.

  2. 2. 교차 도메인 추적의 구현

    진정한 문제는 다음 단계에서 발생한다. 사용자가 ChatGPT와 무관한 A라는 쇼핑몰(이 쇼핑몰에는 OpenAI 광고 픽셀이 설치되어 있다고 가정)을 방문하면, 이 픽셀 스크립트가 브라우저에 저장된 `__obi` 쿠키를 읽어 들인다. 이로써 OpenAI는 ‘ChatGPT 사용자’와 ‘A 쇼핑몰 방문자’가 동일 인물임을 인지하게 된다.

    이것이 바로 서드파티 쿠키(Third-party Cookie)가 수행하던 교차 도메인 추적의 본질이다. 브라우저 제조사들이 프라이버시 강화를 위해 서드파티 쿠키 지원을 중단하는 추세 속에서, OpenAI는 자사 서비스(ChatGPT)를 일종의 앵커(Anchor)로 삼아 유사한 추적 환경을 구축한 셈이다.

    이것이 광고 성과 측정의 그림을 어떻게 바꾸는지 구체적으로 그려봅시다. 한 사용자가 ChatGPT를 방문해 `__obi` 쿠키를 받습니다. 며칠 뒤, 이 사용자가 웹의 다른 공간에서 OpenAI 광고를 접한 후, 광고 픽셀이 설치된 제3의 웹사이트에서 특정 행동(전환)을 일으켰다고 가정해 보겠습니다. `__obi` 쿠키는 바로 이 지점에서 ‘광고 상호작용’과 ‘최종 전환’이 동일한 사용자로부터 비롯되었음을 연결하는 고리가 됩니다. 이를 통해 OpenAI는 자사 광고 캠페인이 실질적인 성과로 이어졌는지 파악하고 그 효과를 측정할 수 있습니다.

  3. 3. ‘분석’이라는 이름 뒤의 진실

    OpenAI가 해당 쿠키를 ‘분석(Analytics)’용으로 분류했다는 점은 가장 논쟁적인 부분이다. 일반적으로 ‘분석’ 쿠키는 웹사이트 자체의 성능 개선이나 사용자 경험 최적화를 위해 사용자의 사이트 내 행동을 분석하는 데 국한된다. 그러나 `__obi`의 핵심 기능은 여러 웹사이트에 걸친 광고 효과 측정, 즉 명백한 ‘광고(Advertising)’ 및 ‘추적(Tracking)’ 목적이다.

    이러한 분류는 GDPR(유럽 일반 개인정보보호법)과 같은 강력한 데이터 보호 규제 하에서 요구되는 ‘명시적 동의’ 절차를 우회하려는 시도로 해석될 여지가 충분하다. 기능적으로는 광고 쿠키임에도 불구하고, 덜 엄격한 동의 요건이 적용되는 분석 쿠키로 포장한 것이 아니냐는 합리적 의심이 제기되는 지점이다.

AI 시대, 데이터 거버넌스의 새로운 시험대

이번 `__obi` 쿠키 사안은 단순히 하나의 기술적 발견을 넘어, AI 기업의 사업 모델 확장과 그에 따르는 사회적 책임을 조명한다. AI 모델 학습을 위해 막대한 사용자 데이터를 처리하는 기업이, 이제는 그 영향력을 웹 생태계 전반의 광고 데이터 시장으로 확장하려 하고 있다.

마케터에게는 불투명했던 광고 기여도를 명확히 밝혀주는 강력한 도구가 될 수 있다. 하지만 그 대가로 사용자는 자신도 모르는 사이에 웹 활동 전반을 감시당하는 상황에 놓인다. 기술적 정교함이 투명성과 사용자 통제권을 침해할 때, 혁신은 감시와 동의어가 될 수 있다.

결국 `__obi` 쿠키는 AI 기업이 데이터 처리자(Data Processor)를 넘어 데이터 통제자(Data Controller)로서 어떤 철학을 가져야 하는지에 대한 중요한 질문을 던진다. 기술적 가능성을 추구하는 것과 사용자 신뢰를 지키는 것 사이의 균형점을 어떻게 찾을 것인지, OpenAI를 비롯한 모든 빅테크 기업들이 답해야 할 시점이다.