머신 언러닝

Machine unlearning; 머신 언러닝
이미 학습된 모델에서 특정 학습 데이터의 영향을 없애, 그 데이터 없이 학습한 모델처럼 만드는 기법

머신 언러닝(machine unlearning)은 학습이 끝난 모델에서 특정 데이터(개인의 기록, 저작물, 오염된 표본, 위험한 지식 등)의 영향을 제거하는 기법이다. 데이터베이스에서 행을 지우는 것과 달리, 모델 가중치에는 학습 데이터가 어디에 어떻게 반영되었는지 표시가 없어서 "지운다"는 것 자체를 정의하고 확인하기가 어렵다. 가장 확실한 방법은 해당 데이터를 빼고 처음부터 다시 학습하는 것이지만, 대형 언어 모델처럼 학습에 수십만 GPU 시간이 드는 모델에서는 삭제 요청마다 재학습할 수 없다. 언러닝은 재학습과 같은 결과를 훨씬 적은 비용으로 얻으려는 연구 분야다.

용어는 인즈 차오(Yinzhi Cao)와 준펑 양(Junfeng Yang)이 2015년 IEEE S&P 논문에서 썼다.^[1] 이후 유럽 GDPR 제17조의 삭제권("잊힐 권리")과 국내 개인정보 보호법 제36조의 삭제 요구권이 학습된 모델에도 미치는가 하는 질문이 연구를 이끌었고, 생성형 AI 이후에는 저작권 문제와 유해 지식 제거가 큰 동기가 되었다. 국내에서는 개인정보보호위원회가 2025년 8월 6일 공개한 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」가 최신 기술 동향으로 머신 언러닝을 다뤘다.^[2]

동기

동기	지울 대상	예
개인정보 삭제 요구	특정 정보주체의 학습 표본	GDPR 제17조, 개인정보 보호법 제36조 삭제 요구
저작권·계약	허락받지 않았거나 이용 기간이 끝난 저작물	특정 도서·기사 묶음
안전	생물·화학 무기, 사이버 공격 지식	WMDP 벤치마크의 대상
보안·품질	오염·백도어 표본, 잘못된 레이블	데이터 오염 공격 사후 대응
프라이버시 공격 완화	모델이 외운 개인정보	학습 데이터 추출 공격, 멤버십 추론 공격의 표적

정의

학습 알고리즘 A, 데이터셋 D, 지울 부분집합(잊을 집합, forget set) $D_{f}$ , 남길 집합(retain set) $D_{r} = D ∖ D_{f}$ , 언러닝 알고리즘 U가 있다고 하자.

정확한 언러닝(exact unlearning): 언러닝 결과의 분포가 처음부터 $D_{r}$ 로 학습한 모델의 분포와 같다. $U (A (D), D, D_{f}) \overset{d}{=} A (D_{r})$ . 무작위성이 있는 학습에서는 "같은 모델"이 아니라 "같은 분포"가 기준이다.
근사 언러닝(approximate unlearning): 두 분포가 차분 프라이버시처럼 (ε, δ) 범위 안에서 구별되지 않으면 된다. 추안 궈(Chuan Guo) 등은 이를 인증된 제거(certified removal)로 정의하고, 선형 분류기에서 이를 보장하는 방법을 제시했다.^[3]

e^{- ε} \leq \frac{\Pr [U (A (D), D, D_{f}) \in 𝒯]}{\Pr [A (D_{r}) \in 𝒯]} \leq e^{ε}

경험적 언러닝: 딥러닝과 LLM의 실용 방법 대부분은 위 보장이 없다. 잊을 집합에서 성능이 재학습 모델 수준으로 떨어졌는지, 남길 집합과 일반 능력은 유지되는지를 실험으로 잰다.

차분 프라이버시로 학습한 모델은 애초에 한 표본의 영향이 묶여 있어 일정 수의 삭제 요청을 "이미 처리된 것"으로 볼 수 있다. 다만 DP의 보호 단위를 넘는 대량 삭제나, 특정 지식 전체를 지우는 요구는 DP로 해결되지 않는다.

정확한 언러닝: SISA

SISA(Sharded, Isolated, Sliced, and Aggregated) 학습은 루카스 부르툴(Lucas Bourtoule), 니콜라 파페르노(Nicolas Papernot) 등이 2019년 제안하고 IEEE S&P 2021에 실린 방법으로, 처음부터 삭제를 염두에 두고 학습 과정을 나눈다.^[4]

샤드(sharded): 학습 데이터를 서로 겹치지 않는 S개 샤드로 나눈다.
격리(isolated): 샤드마다 별도 모델을 독립적으로 학습한다. 한 표본은 한 모델에만 영향을 준다.
슬라이스(sliced): 각 샤드를 다시 R개 조각으로 나눠 조각을 하나씩 추가하며 점진적으로 학습하고, 조각마다 체크포인트를 저장한다.
집계(aggregated): 추론 때는 샤드 모델들의 예측을 다수결 등으로 합친다.

삭제 요청이 오면 그 표본이 든 샤드 하나만, 그것도 그 표본이 처음 들어간 조각의 체크포인트부터 다시 학습한다. 결과는 그 표본 없이 학습한 것과 같으므로 정확한 언러닝이다. 원 논문은 삭제 요청이 학습 데이터 전체에 고르게 퍼진 최악의 경우에도, 처음부터 재학습하는 것보다 Purchase 데이터셋에서 4.63배, SVHN에서 2.45배 빨랐고, 전이 학습을 쓴 ImageNet 과제에서는 1.36배 빨랐다(약간의 정확도 손실)고 보고했다. 삭제 요청 분포를 미리 알면 삭제될 가능성이 큰 데이터를 같은 샤드에 모아 비용을 더 줄일 수 있다.^[4]

슬라이스를 생략한 최소 예시는 다음과 같다.

import numpy as np
from sklearn.linear_model import LogisticRegression

class SISA:
    def __init__(self, n_shards=5, seed=0):
        self.n_shards, self.rng = n_shards, np.random.default_rng(seed)

    def fit(self, X, y):
        self.X, self.y = X, y
        self.shard_of = self.rng.integers(0, self.n_shards, size=len(X))  # 표본별 샤드 기록
        self.alive = np.ones(len(X), dtype=bool)
        self.models = [self._train(s) for s in range(self.n_shards)]
        return self

    def _train(self, s):
        m = (self.shard_of == s) & self.alive
        return LogisticRegression(max_iter=1000).fit(self.X[m], self.y[m])

    def unlearn(self, idx):
        """삭제 표본이 속한 샤드만 다시 학습한다."""
        self.alive[idx] = False
        for s in set(self.shard_of[idx]):
            self.models[s] = self._train(s)

    def predict(self, X):
        votes = np.stack([m.predict(X) for m in self.models])
        return (votes.mean(axis=0) > 0.5).astype(int)

대가도 분명하다. 샤드마다 데이터가 적어 개별 모델이 약해지므로 샤드 수를 늘릴수록 정확도가 떨어지고, 저장해야 할 체크포인트가 많다. 복잡한 과제일수록 이득이 줄어든다. 결정 트리, k-평균처럼 구조상 일부만 다시 계산하면 되는 모델에 대한 전용 정확 언러닝 연구도 있다.

근사 언러닝

방법	원리	장단점
미세 조정	남길 집합만으로 몇 에포크 더 학습해 잊을 집합의 흔적이 희미해지기를 기대	단순하지만 잘 안 잊힘
경사 상승(gradient ascent, GA)	잊을 집합의 손실을 최대화하는 방향으로 갱신: $θ \leftarrow θ + η \nabla_{θ} ℒ (D_{f}; θ)$	빠르게 잊지만 쉽게 모델 전체가 망가짐
GA + 유지 손실(GradDiff 등)	$- ℒ (D_{f}) + λ ℒ (D_{r})$ 를 최소화, 또는 원 모델과의 KL 발산 제약	유용성 유지와 망각 사이 조정
영향 함수·뉴턴 갱신	2차 근사로 표본을 뺐을 때의 최적점 변화를 한 번에 계산 $θ^{-} \approx θ + H^{- 1} \nabla_{θ} ℓ (z; θ)$	볼록 모델에서 인증 가능(궈 등). 심층망에서는 헤세 행렬 근사가 부정확
레이블 바꾸기·무작위 레이블	잊을 표본에 틀린 레이블을 붙여 학습	분류 모델에서 단순
표현 조작	잊을 지식이 나타나는 내부 활성값을 무작위 방향으로 밀어냄(RMU 등)	지식 단위 제거에 강함, 이론 보장 없음

대형 언어 모델의 언러닝

LLM 언러닝은 "특정 문서를 지운다"보다 "특정 인물·작품·위험 지식에 대해 답하지 못하게 한다"는 지식 단위 목표가 많다. 같은 사실이 사전 학습 말뭉치 여러 곳에 반복되므로 표본 단위 정의가 잘 맞지 않고, 재학습 기준 모델을 만들 수도 없다.

방법	연도	내용
해리 포터 지우기(WHP)	2023	로넨 엘단(Ronen Eldan)과 마크 러시노비치(Mark Russinovich)가 Llama2-7b에서 해리 포터 책 내용을 지움. 대상 텍스트로 더 학습한 강화 모델과 원 모델의 로짓을 비교해 대상과 관련된 토큰을 찾고, 고유 표현을 일반 표현으로 바꿔 만든 대체 레이블로 미세 조정. 사전 학습에 18만 4천 GPU 시간 넘게 든 모델을 약 1 GPU 시간 미세 조정으로 처리했고 일반 벤치마크 성능은 거의 유지^[5]
NPO(Negative Preference Optimization)	2024	잊을 응답을 "선호하지 않는 응답"으로만 두는 선호 최적화 형태의 손실. 경사 상승이 모델을 급격히 무너뜨리는 것에 비해 붕괴 속도가 지수적으로 느리다고 주장. TOFU에서 학습 데이터 50% 이상을 잊으면서도 합리적인 결과를 낸 첫 방법이라고 저자들이 보고^[6]
RMU	2024	WMDP 논문이 제안. 위험 지식 텍스트에서 중간층 활성값을 무작위 벡터 쪽으로 밀고, 일반 텍스트에서는 원 모델 활성값을 유지하게 학습^[7]

벤치마크

벤치마크	구성	무엇을 재는가
TOFU	허구의 작가 200명 × 질문·답 20쌍(4천 쌍). 이 데이터로 모델을 미세 조정한 뒤 1%, 5%, 10%(작가 2명, 10명, 20명 분량)를 잊게 함	남길 집합만으로 학습한 기준 모델과 언러닝 모델의 출력 분포가 얼마나 같은지(망각 품질), 실제 작가·세계 상식 질문 성능(모델 유용성). 원 논문 결론은 "검토한 기준 방법 중 효과적인 것이 없다"^[8]
WMDP	생물 보안·사이버 보안·화학 보안 객관식 3,668문항	위험 지식은 낮추고(대리 지표) MMLU 같은 일반 능력은 유지하는지^[7]
MUSE	해리 포터 책, 뉴스 기사로 학습한 7B 모델	여섯 가지: 문장 그대로 암기 없음, 지식 암기 없음, 프라이버시 유출 없음, 남길 데이터 유용성 유지, 삭제 규모 확장성, 연속 삭제 요청 지속성. 8개 방법 중 심각한 프라이버시 유출을 일으키지 않은 것은 하나뿐이었음^[9]

TOFU처럼 허구 데이터를 미세 조정으로 넣은 뒤 지우는 설계는 "정답 기준 모델"을 만들 수 있다는 장점이 있지만, 사전 학습 중 여러 번 본 지식을 지우는 실제 상황과는 다르다.

평가의 어려움

언러닝은 "지워졌다"는 것을 확인하기가 가장 어렵다.

숨김과 삭제의 차이: 출력에서 대상 지식이 사라져도 가중치 안에는 남아 있을 수 있다. 린치(Aengus Lynch) 등은 WHP 모델이 익숙함 지표로는 잘 잊은 것처럼 보이지만 다른 방법으로는 기준보다 많은 지식을 안정적으로 끌어낼 수 있고, 해리 포터 질의응답 성능은 원 모델과 비슷하며, 내부 표현에도 지식이 남아 있음을 보였다.^[10]
양자화로 되살아남: 유용성 제약을 둔 언러닝 방법으로 처리한 모델은 전정밀도에서 대상 지식의 약 21%를 유지했지만, 4비트 양자화 후에는 약 83%를 유지했다는 보고가 있다. 언러닝이 가중치를 아주 조금만 바꿔 양자화 오차 안에 묻히기 때문이다.^[11]
재학습 공격: 관련 데이터 조금으로 다시 미세 조정하면 지운 지식이 빠르게 돌아오는 현상이 여러 연구에서 관찰된다. 공개 가중치 모델에서는 특히 문제다.
멤버십 추론으로 검증: 지운 표본이 멤버십 추론 공격에서 "학습에 쓰이지 않은 표본"처럼 보이는지로 평가하기도 한다. 그러나 MUSE 결과처럼 잊을 집합의 손실을 과하게 올리면 오히려 "이 표본이 지워졌다"는 신호가 되어 새로운 프라이버시 유출이 된다.^[9]
부수 피해: 대상과 가까운 지식(해리 포터를 지우다 다른 판타지 소설 지식까지)이 함께 사라진다.^[10]
증명 불가: 서비스 제공자가 언러닝을 했다고 주장해도 외부에서 가중치만 보고 확인할 방법이 없다. 정확한 언러닝(SISA 등)은 절차의 기록으로 증명할 수 있다는 점에서 법적 대응에 유리하다.

잊힐 권리와 법

GDPR 제17조: 정보주체는 수집 목적에 더는 필요하지 않거나, 동의를 철회했거나, 불법 처리된 경우 등에 삭제를 요구할 수 있다. 표현의 자유, 법적 의무, 공익 보관·연구, 법적 청구 방어 등은 예외다.^[12] 학습된 모델 가중치가 개인정보에 해당하는지, 삭제 요구가 모델 재학습까지 요구하는지는 유럽 감독기관 사이에서도 논의가 진행 중이다.
국내 개인정보 보호법: 제36조는 정보주체가 개인정보처리자에게 자기 개인정보의 정정·삭제를 요구할 수 있고, 처리자는 삭제할 때 복구·재생되지 않도록 조치해야 한다고 정한다.^[13] 제37조는 처리정지 요구권을 둔다. 학습 데이터에서 원본을 지우는 것은 이 의무를 직접 따르는 것이지만, 모델이 그 정보를 외워 출력할 수 있다면 원본 삭제만으로 충분한지가 쟁점이 된다. 현실의 대응은 원본 삭제, 출력 필터링(해당 인물 정보 출력 차단), 다음 학습 주기에서 제외, 언러닝을 조합하는 방식이다.
실무 권고: 처음부터 가명처리·차분 프라이버시로 외울 정보를 줄이고, 학습 데이터의 출처와 포함 여부를 추적할 수 있게 기록하며, 재학습 주기를 정해 두는 것이 사후 언러닝보다 확실하다.

같이 보기

각주

↑ Yinzhi Cao, Junfeng Yang, 〈Towards Making Systems Forget with Machine Unlearning〉, IEEE S&P 2015, 463~480. doi:10.1109/SP.2015.35
↑ 뉴스서울, 개인정보위, '생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서' 공개, 2025-08-06.
↑ Chuan Guo, Tom Goldstein, Awni Hannun, Laurens van der Maaten, 〈Certified Data Removal from Machine Learning Models〉, ICML 2020. arXiv:1911.03030
↑ ^4.0 ^4.1 Lucas Bourtoule 외, 〈Machine Unlearning〉, IEEE S&P 2021. arXiv:1912.03817
↑ Ronen Eldan, Mark Russinovich, 〈Who's Harry Potter? Approximate Unlearning in LLMs〉, 2023. arXiv:2310.02238
↑ Ruiqi Zhang, Licong Lin, Yu Bai, Song Mei, 〈Negative Preference Optimization: From Catastrophic Collapse to Effective Unlearning〉, 2024. arXiv:2404.05868
↑ ^7.0 ^7.1 Nathaniel Li 외, 〈The WMDP Benchmark: Measuring and Reducing Malicious Use With Unlearning〉, ICML 2024. arXiv:2403.03218
↑ Pratyush Maini, Zhili Feng, Avi Schwarzschild, Zachary C. Lipton, J. Zico Kolter, 〈TOFU: A Task of Fictitious Unlearning for LLMs〉, 2024. arXiv:2401.06121; 데이터셋 locuslab/TOFU
↑ ^9.0 ^9.1 Weijia Shi 외, 〈MUSE: Machine Unlearning Six-Way Evaluation for Language Models〉, 2024. arXiv:2407.06460
↑ ^10.0 ^10.1 Aengus Lynch, Phillip Guo, Aidan Ewart, Stephen Casper, Dylan Hadfield-Menell, 〈Eight Methods to Evaluate Robust Unlearning in LLMs〉, 2024. arXiv:2402.16835
↑ Zhiwei Zhang 외, 〈Catastrophic Failure of LLM Unlearning via Quantization〉, ICLR 2025. arXiv:2410.16454
↑ GDPR Art. 17 Right to erasure ('right to be forgotten')
↑ 개인정보 보호법 제36조(개인정보의 정정·삭제), 국가법령정보센터.

참고 문헌

[cao15-1] Yinzhi Cao, Junfeng Yang, 〈Towards Making Systems Forget with Machine Unlearning〉, IEEE S&P 2015, 463~480. doi:10.1109/SP.2015.35

[pipc25-2] 뉴스서울, 개인정보위, '생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서' 공개, 2025-08-06.

[guo20-3] Chuan Guo, Tom Goldstein, Awni Hannun, Laurens van der Maaten, 〈Certified Data Removal from Machine Learning Models〉, ICML 2020. arXiv:1911.03030

[sisa-4] 4.0 ^4.1 Lucas Bourtoule 외, 〈Machine Unlearning〉, IEEE S&P 2021. arXiv:1912.03817

[whp-5] Ronen Eldan, Mark Russinovich, 〈Who's Harry Potter? Approximate Unlearning in LLMs〉, 2023. arXiv:2310.02238

[npo-6] Ruiqi Zhang, Licong Lin, Yu Bai, Song Mei, 〈Negative Preference Optimization: From Catastrophic Collapse to Effective Unlearning〉, 2024. arXiv:2404.05868

[wmdp-7] 7.0 ^7.1 Nathaniel Li 외, 〈The WMDP Benchmark: Measuring and Reducing Malicious Use With Unlearning〉, ICML 2024. arXiv:2403.03218

[tofu-8] Pratyush Maini, Zhili Feng, Avi Schwarzschild, Zachary C. Lipton, J. Zico Kolter, 〈TOFU: A Task of Fictitious Unlearning for LLMs〉, 2024. arXiv:2401.06121; 데이터셋 locuslab/TOFU

[muse-9] 9.0 ^9.1 Weijia Shi 외, 〈MUSE: Machine Unlearning Six-Way Evaluation for Language Models〉, 2024. arXiv:2407.06460

[lynch24-10] 10.0 ^10.1 Aengus Lynch, Phillip Guo, Aidan Ewart, Stephen Casper, Dylan Hadfield-Menell, 〈Eight Methods to Evaluate Robust Unlearning in LLMs〉, 2024. arXiv:2402.16835

[quant-11] Zhiwei Zhang 외, 〈Catastrophic Failure of LLM Unlearning via Quantization〉, ICLR 2025. arXiv:2410.16454

[gdpr17-12] GDPR Art. 17 Right to erasure ('right to be forgotten')

[pipa36-13] 개인정보 보호법 제36조(개인정보의 정정·삭제), 국가법령정보센터.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]