“기기 밖으로 안 나간다”던 온디바이스 AI의 착시

하드웨어 성능 한계로 완전한 기기 내 처리 어려워
보안 강조 마케팅에 소비자 혼선

'온디바이스 AI'라는 용어가 보안의 대명사처럼 소비되는 가운데, 기술 현실과 마케팅 메시지 사이의 괴리가 논란을 키우고 있다.

온디바이스 AI는 데이터를 외부 서버로 전송하지 않고 스마트폰이나 PC 등 기기 내부에서 직접 처리하는 인공지능 기술로, 클라우드를 거치지 않는 구조인 만큼 데이터 유출 위험을 낮추고 온라인 연결 여부와 관계없이 안정적인 서비스 제공이 가능하다는 점이 장점으로 꼽힌다.

다만 업계 안팎에서는 현시점의 기술 수준에서 모든 기능을 기기 내에서 처리하는 '완전한 온디바이스 AI' 구현은 사실상 어렵다는 지적이 꾸준히 제기돼 왔다. 실제로는 연산 성능 한계나 모델 업데이트, 기능 고도화를 이유로 클라우드를 병행 활용하는 하이브리드 방식이 일반적이라는 것이다. 이 같은 현실을 충분히 설명하지 않은 채 '온디바이스 AI'를 전면에 내세운 마케팅이 소비자를 오도할 소지가 있다는 비판도 나온다.

16일 <메트로경제신문> 취재에 따르면 온디바이스 AI를 둘러싼 논쟁은 기술적 한계를 넘어 마케팅 표현의 적절성과 소비자 고지 의무 문제로까지 확산되는 양상이다.

온디바이스 AI에 관한 논란이 수면 위로 떠오른 계기는 지난 2일 발생한 LG유플러스의 AI 통화 앱 '익시오' 개인정보 유출 사고다. 당시 익시오 이용자 36명의 통화 정보가 101명의 다른 사용자에게 노출되는 사고가 발생했다. 유출된 정보는 일부 이용자의 ▲상대방 전화번호 ▲통화 시각 ▲통화 내용 요약 등으로, 익시오 사용자 A의 휴대폰 화면에 전혀 모르는 다른 이용자의 정보가 표시되는 방식이었다.

문제는 익시오가 그동안 실시간 보이스피싱 탐지, 통화 녹음 및 요약, 보이는 전화 등의 기능을 '온디바이스 환경에서 제공되는 AI 통화 앱'으로 홍보하며 보안성을 강조해왔다는 점이다. 그러나 이번 사고를 통해 익시오가 모든 기능을 기기 내에서 처리하는 구조가 아니라, 일부 기능에서 클라우드 서버를 활용하는 하이브리드 방식이라는 점이 드러났다.

LG유플러스에 따르면 음성을 텍스트로 변환하는 STT(Speech-to-Text) 과정과 보이스피싱 탐지 기능은 기기 내에서 처리되지만, '통화 요약' 기능은 성능과 경량화 문제로 서버를 거쳐 수행된다. 서버로 전송된 텍스트 원문은 요약 직후 폐기되며, 요약된 결과만 서비스 연속성을 위해 6개월간 암호화해 보관한다는 설명이다. LG유플러스는 현재 테스트 중인 경량화 언어 모델(sLM)을 향후 탑재해 논란이 된 요약 기능까지 온디바이스 환경으로 전환하겠다는 계획도 밝혔다.

LG유플러스 측은 입장문을 통해 "마케팅 과정에서 모든 기능이 온디바이스로 처리된다는 인식을 준 점에 대해 책임을 느낀다"고 사과하면서도, 기술 구현 방식 자체가 보안 원칙을 위반한 것은 아니라는 점을 해명했다.

온디바이스 AI를 둘러싼 논쟁은 이번이 처음은 아니다. 통신·모바일 기기 시장에서는 2023년 삼성전자가 갤럭시 S24를 '온디바이스 AI 스마트폰'으로 내세우며 관련 개념이 대중적으로 확산됐지만, 당시에도 온디바이스 AI의 정의와 범위를 두고 갑론을박이 이어졌다.

전문가들은 현재의 하드웨어 환경에서는 엄밀한 의미의 완전한 온디바이스 AI 구현에 물리적 한계가 분명하다고 입을 모은다. 수십억~수천억 개의 매개변수를 가진 고성능 거대언어모델(LLM)을 모바일 기기에서 단독으로 구동하기에는 NPU(신경망처리장치)의 연산 능력과 메모리, 배터리 효율이 충분하지 않다는 이유에서다. 기기 자원만으로 복잡한 추론을 수행할 경우 발열과 배터리 소모 문제가 불가피하고, 반대로 모델을 과도하게 경량화하면 정확도와 응답 품질이 급격히 떨어지는 성능 딜레마에 직면하게 된다.

중국 바이두의 더우 션(Dou Shen) 부대표는 "엔드사이드(기기)에 LM·LLM을 적용하는 흐름이 확산되고 있지만, 수십억 개 이상의 매개변수를 요구하는 대형 모델은 결국 칩에 과부하를 유발한다"며 온디바이스 AI의 한계를 지적한 바 있다.

업계 관계자는 "소비자들은 '온디바이스 AI'를 자신의 정보가 단 1바이트도 외부로 나가지 않는 완벽한 보안 구조로 인식하지만, 실제 서비스 현장에서는 고성능 기능 구현을 위해 클라우드 연동이 불가피한 경우가 많다"며 "기술적 한계를 숨긴 채 '온디바이스'라는 용어만 강조하는 마케팅이 오히려 불신을 키우고 있다"고 말했다. 그는 이어 "어떤 데이터가 기기에 남고, 어떤 정보가 서버로 전송되는지 소비자가 직관적으로 알 수 있도록 명확한 고지 기준과 가이드라인이 필요하다"고 강조했다.