“AI 기본법 이후, 무엇을 어떻게”…조달·보안·거버넌스 체크포인트 제시

KMAC·법무법인 린·셀렉트스타는 17일 서울 역삼 포스코타워 이벤트홀에서 공동 세미나를 개최했다. 세미나 주제는 'AI 기본법 이후의 실전 대응: 책임·거버넌스·검증'이었다. 이번 세미나는 AI 기본법 시행에 따라 기업과 공공기관이 실제로 마주할 과제를 점검하는 자리로 마련됐다.

세미나의 목적은 AI 기본법 시행 대응 차원에서 기업·공공기관을 대상으로 조달시장 변화와 법적 규제 중첩, 보안 위험, 현장형 AI 거버넌스 실행 모델을 공유하는 데 있었다. 이에 따라 이날 행사에서는 조달과 규제, 보안, 거버넌스가 함께 논의됐다.

행사 발표자로는 방석호 법무법인 린 고문이 나섰다. 방석호 고문은 AI 기본법 제16조 3항의 'AI 제품·서비스 우선 고려' 조항이 6조5000억 원 규모 공공조달 시장의 판도 변화를 초래할 것으로 봤다.

이와 관련해 소제목의 취지는 확인서는 인증이 아닌 대체재라는 점에 맞춰졌다. 공공조달 영역에서는 법 조항의 영향이 크게 나타날 수 있다는 관측도 이날 발표의 핵심으로 제시됐다.

한편 이날 행사 사진은 권영석 기자가 촬영했다.

'AI 제품 확인서'가 공공조달 진입의 새로운 기준처럼 부상하며 새로운 진입 관문으로 작동하고 있다. 확인서 취득 절차는 KOSA 접수와 TTA 심사로 이뤄진다. 이 제도는 스타트업의 문턱을 완화하는 방향으로 설명된다. 그 근거로 다수공급자계약(MAS)에서 신인도 가점 1.5점이 부여되고, 납품실적 요건도 면제된다.

다만 이 확인서는 시스템의 정확성·신뢰성을 인증하는 성격은 아니다. 대신 기술요건 입증방식을 대체하는 대체재의 성격을 가진다. 즉 공공조달 진입 과정에서 요구되는 요건 충족 방식을 바꾸는 장치로 기능하지만, 성능이나 신뢰 자체를 보증하는 인증으로 보기는 어렵다.

이와 관련해 지속 학습이 필수인 AI의 특성과 완제품 기준의 TRL 평가 사이에는 근본적 괴리가 있다는 지적도 제기된다. AI가 계속 학습하며 변화하는 특성을 지니는 만큼, 완제품을 전제로 한 평가 방식과는 맞지 않는 측면이 있다는 것이다.

국방 분야는 우선 고려 대상에서 원칙적으로 제외된다. 여기에 중복지정 금지도 존재한다. 이 때문에 민수 실적이 국방 진입으로 연결되지 못하는 단절이 있다는 지적이 나온다.

유창하 법무법인 린 변호사는 행사 발표에서 방 센터장이 팔란티어의 성장 배경으로 민수 시장에서 검증된 기술을 미국 국방부가 구매한 구조를 언급했다고 전했다. 아울러 방 센터장은 공공조달과 국방조달의 차별성이 필요하지만 두 체계의 연결도 필수적이라는 취지로 말한 것으로 소개됐다. 사진은 권영석 기자로 표기됐다.

유창하 법무법인 린 변호사는 'AI 규제구조에 기반한 보안·거버넌스 대응 방안'을 발표했다. 유 변호사는 AI 기본법·정보통신망법·개인정보보호법 3법이 배타 관계가 아니며, 하나의 AI 서비스에 3법이 중첩 적용되는 형태가 '교집합'이라고 설명했다.

유 변호사는 이 같은 구조를 전제로 보안과 개인정보 대응을 따로 볼 수 없다고 연결했다. 하나의 AI 서비스에 여러 법률이 동시에 적용되는 만큼, 보안 대응과 개인정보 대응이 분리된 체계로는 규제 구조를 감당하기 어렵다는 취지다.

유 변호사는 동일 해킹 사고를 기준으로 정보통신망법의 신고·통지 시한은 '발생 인지 시 24시간'이고, 개인정보보호법의 신고·통지 시한은 '가능성 인지 시 72시간'이라고 설명했다. 그는 두 법의 대응 시계가 불일치하며, 두 시계를 하나의 사고 대응 체계로 통합하지 못하면 같은 사고에 두 차례 대응 지연이 발생한다고 봤다.

이어 유 변호사는 조직 내부 보고와 대응 체계를 합치지 않으면 제재와 책임 문제가 커질 수 있다고 짚었다. 이사회 보고체계를 통합하지 못하면 과징금 위험과 책임 전가 위험에 노출된다고 설명했다.

유 변호사는 2026년 개정으로 CISO 임원급 격상 도입과 정부 직권조사 도입이 이뤄졌고, 개인정보보호법은 대표자 책임을 명문화하며 CPO에 인력·예산 확보 권한을 부여했다고 설명했다. 아울러 화이트해커 협력 CVD/VDP의 거버넌스 편입을 제안했다.

사진 속 인물인 손권상 KMAC 본부장은 행사에서 발표를 진행하며 공공기관 AX 과제가 중심 이동을 보이고 있고, 초점이 '전략 수립'에서 '실행·리스크 통제'로 옮겨갔다고 설명했다. 아울러 전략은 있는데 실행체계가 없는 문제가 있다고 짚었다.

손권상 KMAC 본부장은 AI 도입률이 65%라고 밝히면서도 현장 실행 공백 5가지가 남아 있다고 진단했다. 그는 그 공백으로 원칙·규정 미비, 책임체계 불명확, 도입·심의 절차 부재, 성과관리 연계 부족, 데이터·사후관리체계 미흡을 제시했다.

이어 손권상 KMAC 본부장은 해법으로 4대 축 프레임워크를 제시했다. 4대 축은 원칙·규정, 조직·R&R, 업무 프로세스, 변화관리로 구성된다고 설명했다.

그는 임원급 CAIO 중심 체계를 강조하면서 조직 구성으로 윤리위원회, 기획 조직, 개발 조직, 운영 조직을 제안했다. 또 관리 체계로는 기획~폐기 전 생애주기 관리를 제안하고, 관리 방식으로는 SOP·Stage-Gate 체계를 제시했다.

아울러 성과관리 방식으로는 로직 플로우(Logic Flow) 기반 방식을, 인재육성 방식으로는 4단계 체계 결합을 제안했다. 4단계 인재육성은 새싹, 주니어, 리더, 마스터로 구성된다고 설명했다.

손 본부장은 AI 거버넌스를 공동 목표를 위한 협업·의사결정 체계로 규정하며, 이를 위해 원칙·조직·역할의 명확성이 필요하다고 설명했다. 또한 AI 거버넌스가 작동하려면 구조와 역할의 명확화가 전제돼야 한다고 밝혔다.

손 본부장은 여기에 그치지 않고 업무 프로세스와 조직·R&R의 실제 작동이 필요하다고 설명했다. 아울러 지속 가능성을 뒷받침하는 요소로 성과관리·인재양성을 제시했다.

이어 행사에서는 마지막 발표자로 나선 이현택 셀렉트스타 팀장이 거버넌스 완성 조건으로 기술적 증명을 주제로 발표했다. 사진 촬영은 권영석 기자가 맡았다.

이현택 셀렉트스타 팀장은 법률·거버넌스 논의를 엔지니어링 언어로 바꾸는 기술 검증 단계를 소개했다. 그는 정부 가이드라인의 요구 항목으로 투명성·안전성·고영향 리스크를 제시하고, 이를 현장에서 확인하는 방법으로 헌법상 기본권의 측정 가능한 정량 지표화와 개발팀의 실측 필요성을 설명했다.

이현택 셀렉트스타 팀장은 검증 적용 시점이 출시 시점 1회 한정이 아니라고 밝혔다. 이어 검증 범위는 기획부터 운영까지 전 주기이며, 검증 방식으로는 상시 검증의 내재화가 필요하다고 설명했다.

셀렉트스타는 자체 개발 AI 신뢰성 평가 플랫폼 '다투모'로 검증을 지원하고 있다. 다투모는 도메인 데이터 업로드 시 평가지표 산출을 자동화하고, 도메인 데이터 업로드 시 취약점 탐색용 레드티밍도 자동화한다. 다투모는 망분리가 필요한 금융·공공 환경에도 구축할 수 있다.

셀렉트스타는 다투모의 활용 사례로 시중은행 여신심사 AI의 편향 문제를 해소한 사례를 소개했다. 국가 공인 AI 안전성 벤치마크를 구축한 사례도 소개했다. 대형은행 금융 상담 서비스의 검증기간을 단축한 사례도 소개했다.

이 팀장은 AI 기본법이 방향성 가이드라인 성격이라고 설명했다. 이 팀장은 AI 기본법에는 테스트 방식과 관련한 기술적 제시가 거의 부재하다고 밝혔다. 이어 법무법인 린의 법률 검토와 KMAC의 거버넌스 설계, 셀렉트스타의 기술 검증이 결합될 때 외부에 제시 가능한 대응 체계가 완성된다고 강조했다.

출처: 아이티데일리 (IT DAILY) · 권영석 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=241697

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=241697