ZDNet 검색 페이지

'기고'통합검색 결과 입니다. (8건)

[기고] 국방 AI, 보안 도구는 있는데 체계가 없다

액티브엑스(ActiveX)는 한국 사이버보안 업계에 잔혹사로 남아 있다. 결제 버튼 하나를 누르려고 플러그인 10개를 깔고 재부팅까지 했는데, 돌아와 보니 세션은 끊기고 장바구니만 텅 비어 있던 기억이 누구나 한 번쯤 있을 것이다. 문제는 그 이후였다. 해킹 위협이 터질 때마다 패치를 덧댔고 패치 위에 또 패치를 올렸다. 결과는 누더기 보안이었다. 처음부터 근본 틀을 만들었다면 겪지 않았을 일이다. 불편함이 곧 보안이라는 잘못된 인식까지 심어준 대표적 사례로 기록된다. 지금 인공지능(AI) 보안에서 그 기시감이 다시 느껴진다. AI 자재명세서(AI-BOM), 레드티밍, 취약점 조율 공개 제도(CVD)까지 새로운 개념과 대책이 매일 쏟아지지만, 정작 현장에선 무엇부터 시작해야 할지, 어떤 대책이 우리 조직에 맞는지 감을 잡지 못한다. 대책이 늘어날수록 오히려 더 불안해지는 역설이 반복되고 있다. 국방도 예외가 아니다. AI 기반 피복 자동청구 시스템을 예로 들어보자. 과거엔 담당자가 경험에 의존해 중간 사이즈 몇 벌, 대 사이즈 몇 벌 식으로 일괄 청구했다. 이제는 AI가 입대 장병들의 신체 데이터와 실시간 재고 현황을 분석해 필요 수량을 자동으로 산출한다. 효율은 분명히 올라간다. 이 AI가 잘못된 데이터를 학습해 편향된 예측을 반복한다면 누가 이를 감지하고 통제할 수 있는가. 민간에서 AI가 틀리면 재고가 남지만 군에서 AI가 틀리면 장병이 맞지 않는 피복을 입고 전장에 나간다. 도입은 했지만 관리할 체계가 없다는 것, 바로 이것이 현장 불안의 뿌리다. 최근 주목받는 세 가지 보안 대책을 다시 살펴보자. AI-BOM은 AI 시스템을 구성하는 데이터, 모델, 알고리즘의 출처와 이력을 추적하는 명세서다. 공급망 투명성을 확보한다는 점에서 의미 있지만 납품된 AI가 실제 운용되는 순간부터는 손을 놓는다. 군 무기체계는 수십 년을 운용한다. 개발 단계에서 검증했다고 운용 내내 안전하다고 볼 수 없다. 레드티밍은 해커의 시각으로 시스템을 공격해 취약점을 찾아내는 실전적 검증 수단이지만 특정 시점의 스냅샷에 불과하다. 작전 환경이 바뀌고 적의 공격 방식이 진화하면 처음부터 다시 시작해야 한다. 한 번 통과했다고 영구 인증이 되는 구조로는 빠르게 진화하는 AI 위협을 따라갈 수 없다. CVD는 민간에서 효과적이지만 국방엔 그대로 적용할 수 없다. 취약점을 외부에 공개하는 순간 작전보안이 뚫리고, 화이트해커를 가장한 적의 합법적 침투 경로가 된다. 국방형 CVD는 내부 화이트팀에 한정한 폐쇄형 프로세스로 재설계돼야 한다. 세 가지 대책은 각각 정보시스템 수명주기의 특정 지점을 담당하고 있다. AI-BOM은 개발 단계, 레드티밍은 시험평가 단계, 국방형 CVD는 운용 단계다. 하지만 이들을 하나로 꿰는 체계가 없다면 각자의 임무는 수행하되 전체는 연동되지 않는다. 이 모든 대책을 하나로 구동하는 것이 미국 국립표준기술연구소(NIST)가 개발한 AI 위험관리 프레임워크(AI RMF)다. 업계식으로 표현하면 AI 보안의 운영 체제(OS)다. AI-BOM, 레드티밍, 국방형 CVD는 그 위에서 실행되는 개별 기능들이다. RMF라는 토대 위에서 각각의 대책이 제자리를 찾고, 서로 연결되며, 전 주기적으로 작동한다. RMF의 강점은 확장성이다. 지금의 보안 대책만 담는 틀이 아니라 앞으로 등장할 신기술도 같은 방식으로 편입된다. 딥페이크, AI 워터마킹, 모델 붕괴 탐지처럼 생소한 개념도 RMF의 식별·측정·관리 기능 안에서 새로운 위험 항목으로 자리를 잡는다. 어떤 위협이 등장해도 RMF라는 토대는 그것을 흡수할 준비가 되어 있다. RMF는 위험도에 따라 통제항목을 늘리거나 줄일 수 있다. 고위험 시스템은 공급망·모델·운용 전 단계를 정밀 검증하고, 저위험 시스템은 핵심 항목 몇 개만 빠르게 점검하는 차등 전략이다. 무겁다는 오해와 달리, 조직의 위험 수준에 맞게 경량화해서 운용할 수 있다는 점도 RMF의 실용적 강점이다. 우리는 이미 답을 알고 있다. 액티브엑스가 남긴 교훈은 단순하다. 위협이 터질 때마다 패치를 덧대는 땜질식 접근이 아니라 처음부터 근본 틀이 있어야 한다는 것이다. 이번엔 다행히 그 틀이 이미 존재한다. 국방은 K-RMF 위에 AI RMF를 얹어 사이버보안과 AI 신뢰성을 하나의 거버넌스 체계로 관리하면 되고, 민간은 이제 그 틀을 새로 만들 차례다. 불편함이 곧 보안이라는 잘못된 인식을 AI 시대에 되풀이하지 않으려면 지금 당장 근본 틀부터 세워야 한다. 액티브엑스의 잔혹사를 기억하는 사람이라면 누구나 알고 있다.

2026.03.19 11:34안상현 컬럼니스트

[기고] AI 모델은 과연 잊을 수 있는가

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주] 학습이 완료된 AI 모델은 과연 특정 개인의 정보를 '잊을' 수 있는가. 우리나라 개인정보 보호법은 개인정보를 파기할 경우 이를 '복원 또는 재생되지 아니하도록' 조치할 것을 요구한다. 개인정보보호위원회 고시인 표준 개인정보 보호지침은 이를 '현재의 기술 수준에서 사회 통념상 적정한 비용으로 복원이 불가능하도록 조치하는 방법'이라고 설명한다. 즉, 우리 법제는 단순 삭제가 아니라 실질적 복원 불가능성을 기준으로 삼고 있다. 전통적인 정보처리 환경에선 이 기준이 비교적 명확했다. 데이터베이스에서 해당 정보를 삭제하고 백업 장치에서 제거하며 저장매체를 완전 파기하는 등의 조치를 취하면 된다. AI 모델은 이러한 전제를 뒤흔든다. AI 모델은 학습 데이터를 그대로 저장하는 것이 아니라 수많은 파라미터에 통계적으로 반영한다. 특정 개인 정보가 학습에 사용됐다 하더라도 이는 원형 데이터가 아닌 확률적 패턴의 일부로 모델 내부에 흡수된다. 그렇다면 학습 이후 모델에서 특정 개인의 정보는 저장돼 있다고 봐야 할까. 이를 어떻게 복원할 수 없는 방법으로 삭제했다고 판단할 수 있을까. 학습된 데이터의 삭제를 위한 기술적 대응으로 머신 언러닝이 논의되고 있다. 특정 데이터의 영향을 모델에서 제거하는 기법이다. 지난 2023년엔 뉴립스(NeurIPS) 경진대회 부문 일환으로 머신 언러닝 챌린지가 개최되기도 했다. 구글 연구진이 학계·산업계 연구자들과 공동 조직한 이 대회는 이미 학습이 완료된 모델과 포겟 셋(Forget set)이라 불리는 삭제 대상 데이터 집합을 제공하고, 재학습 없이 해당 데이터의 영향을 제거하는 알고리즘을 개발하도록 했다. 참가자는 삭제 품질과 모델의 유용성을 기준으로 평가받았다. 재학습 대비 일정 비율 이상으로 느린 알고리즘은 배제되는 등 효율성 또한 중요한 평가 요소로 설정됐다. 해당 챌린지에선 데이터베이스에서 원본을 삭제하는 것만으로는 충분하지 않으며, 학습된 모델에 미친 영향까지 고려해야 한다는 점이 강조됐다. 최근엔 멤버십 추론 공격을 통해 특정 데이터가 모델 학습에 사용됐는지를 추론할 수 있다는 점도 지적된다. 이는 데이터 원본이 삭제됐더라도 해당 데이터가 모델 학습에 사용됐는지 추론할 가능성이 여전히 남아 있음을 의미한다. 현 단계에서 완전한 언러닝은 상당한 비용과 기술적 제약을 수반한다. 특히 대규모 모델의 경우 사실상 전면 재학습에 가까운 조치를 요구하기도 한다. ICML 등 주요 AI 학회에선 머신 언러닝 연구와 워크숍이 이어지며 관련 기술의 실효성과 한계를 검증하려는 시도가 지속되고 있다. AI 모델과 관련해 개인정보의 파기 의무를 어떻게 해석할지가 중요한 쟁점이 될 수밖에 없는 이유다. 우리 법이 요구하는 '복원 또는 재생되지 아니하도록' 하는 조치는 무엇을 의미하는가. 단순히 원본 데이터의 재현 가능성만을 문제 삼는 것인가, 아니면 모델의 통계적 구조 속에 잔존할 영향까지 제거할 것을 요구하는 것인가. 만약 후자까지 포함된다고 본다면 현 기술 수준에서 그 실현 가능성은 제한적일 수밖에 없다. 반대로 원본 데이터와 저장매체 차원의 삭제로 충분하다고 볼 때 모델 내부에 남아 있을 수 있는 학습 효과를 어떻게 평가할 것인지의 문제가 남는다. 삭제권은 개인정보 자기 결정권의 핵심이다. 다만 이를 기술 현실과 분리해 해석하면 선언적 권리에 머물거나 기업에 과도한 부담으로 작용할 위험이 있다. 동시에 지나치게 완화된 해석은 이용자의 신뢰를 약화할 수 있다. 중요한 것은 예측 가능성과 투명성이다. 기업은 학습 데이터 관리 체계, 로그 보관 방식, 모델 업데이트 및 재학습 절차를 정비하고 삭제 요청에 대해 어떤 조치가 가능한지 명확히 설명해야 한다. 규제기관 역시 AI의 구조적 특성을 반영한 해석 기준과 가이드라인을 마련해 불확실성을 줄일 필요가 있다. AI 모델이 과연 잊을 수 있느냐는 질문은 단순한 기술 논쟁이 아니다. 복원 불가능성이란 전통적 법 개념이 확률적 학습 구조와 어떻게 조화를 이룰지에 관한 문제다. 삭제권이 실질적으로 보장되면서도 혁신 동력이 위축되지 않는 균형점을 찾는 일이 AI 시대 개인정보 보호의 또 다른 과제다.

2026.02.27 17:41오세인 컬럼니스트

[기고] 인공지능기본법 시행 이후 과제는

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주] 인공지능기본법이 2026년 1월22일 시행됐다. 이미 유럽연합(EU)은 지난 2024년 6월 'AI 액트'를 제정한 후 작년부터 단계적으로 시행하고 있다. 미국 캘리포니아 주에서도 프론티어 AI모델에 대한 규제를 올해 초부터 시작했다. 그러나 한국은 인공지능기본법에 담긴 투명성확보의무, 고영향 인공지능사업자의 책무, 인공지능에 대한 안전성 확보 의무 등이 대대적으로 시행된다는 측면에서 주목받는다. 한국의 경우 인공지능기본법을 시행하되, 현장의 혼선을 피하기 위해 최소 1년 이상 규제 유예기간을 운영할 방침이다. 지난달 22일 법 시행과 동시에 투명성 확보, 안전성 확보 등 인공지능 가이드라인 5종을 발표했다. 법이 시행되고 가이드라인은 발표됐지만 인공지능법 하위 고시는 아직 심사 단계에 머물러 있다. 인공지능법령에 관한 전체적인 체계가 모두 공개되지 않았음에도 일각에서는 현행 인공지능법만으로 제대로 된 규율이 이뤄질 수 없다는 목소리가 들린다. 반면 인공지능사업자 등 수범자 입장에서는 현재까지 공개된 법령과 가이드라인을 따라가기도 벅차 보인다. 인터넷 시대가 처음 도래했을 때 규제를 어떻게 세우고 지켜야 할 것인가에 대한 논란이 많았듯, 인공지능 시대에 많은 혼란이 있는 것은 당연하다. 법 개정도 중요하지만 일단 법령과 가이드라인이 공개된 만큼, 현행법 체계상 규제 정합성을 맞추는 작업도 못지않게 중요하다. 인공지능기본법에서 정하고 있는 수범자는 크게 인공지능 개발사업자와 인공지능 이용사업자로 분류된다. 때에 따라 어디까지를 개발한 사업자로 보고, 어디서부터 이용만 하는 사업자로 볼지 애매한 측면이 발생할 수 있다. 고영향 인공지능 판단 가이드라인에서는 '인공지능의 중대한 기능의 변경을 초래하는 수정, 변경, 개량을 한 경우 인공지능이용사업자가 아닌 인공지능개발사업자에 해당한다'고 본다. 인공지능 안전성 확보 가이드라인에 따르면 안전성 확보조치 이행사항을 정부에 제출하는 사업자는 원칙적으로 인공지능시스템을 개발한 사업자다. 다만 인공지능에 실질적 변경을 가한 사업자 역시 추가 제출 의무를 부담할 수 있다. 실질적 변경을 가한 사업자는 인공지능의 적용 범위 또는 위험 특성 등에 중대한 영향을 미치는 변경을 한 사업자라는 게 정부 측 설명이다. 또 인공지능 투명성 확보 가이드라인에서는 인공지능을 직접 개발하는 경우뿐만 아니라 그 성능에 중대한 영향을 줄 정도로 수정, 변경, 개량한 도 인공지능을 개발한 경우에 속한다. 각 가이드라인에서 대체로 비슷한 용어를 쓰고 있으나 수범자 입장에서는 혼란이 올 수 있다. 중대한 기능 변경, 성능에 중대한 영향을 주는 변경, 적용범위나 위험 특성에 중대한 영향을 미치는 변경을 가한 경우, 엄밀히 보면 적용범위에 조금씩 차이가 있을 수 있다. 그렇다면 이 모든 경우를 '개발'로 보아야 하는지 혼란이 있을 수 있다. 이를 방지하기 위해 가이드라인별로 통일된 용어를 사용해 수범자의 혼란을 최소화하고 예측 가능성을 높일 필요가 있다. 또 다른 예를 들어보겠다. 인공지능 안전성 확보 가이드라인은 수명주기 전반에 걸친 위험관리 방안을 매우 자세히 설명한다. 반면 고영향 인공지능 사업자 책무 가이드라인은 고영향 인공지능에 대한 위험관리 계획 수립 방안이 상대적으로 부족하다. 현재까지 인공지능 안전성 확보 가이드라인의 적용을 받는 최첨단 인공지능은 개발되지 않았지만, 고영향 인공지능에 해당하는 사례는 존재한다. 그렇다면 고영향 인공지능 사업자는 위험관리계획 수립 시 고영향 인공지능 사업자 책무 가이드라인 수준만 반영하면 되는가? 아니면 인공지능 안전성 확보 가이드라인의 직접 적용은 받지 않지만 이를 참고해야 하는가? 이런 의문이 들 수 있다. 인공지능기본법이 이미 시행된 이상, 새로운 규제 추가도 중요하지만 정부가 밝힌 것처럼 이해관계자 의견을 수렴해 관련 법령과 가이드라인을 지속 보완하는 작업도 소홀히 해서는 안 될 것이다. *본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.

2026.02.05 16:25이준호 컬럼니스트

[기고] 대안신용평가, 금융 이력없이 상환능력을 예측할 수 있나

“연체 이력이 전부는 아니다.” 지난 10여 년간의 실증 연구는 통신데이터와 같은 비금융 데이터만으로도 대출 상환 성향을 유의하게 가려낼 수 있음을 반복해서 보여줬다. 세계은행 경제리뷰에 게재된 한 연구는 남미 통신사의 통화 기록(CDR)을 상환 결과와 매칭해 분석한 결과, 연구팀이 산출한 위험지표 상위군의 연체 가능성이 하위군보다 2.8배 높다는 점을 확인했다. 이 방법은 금융데이터에 기반한 전통적 신용정보가 부족한 '씬 파일러(Thin-filer·금융이력부족자)' 표본에서 기존 금융 신용평가 모델을 능가했고, 금융거래 이력이 전혀 없는 집단에서도 유사한 성능을 냈다. 같은 결론은 이후 공개된 리포트들에서도 일관되게 확인된다. 통신데이터의 결합 가치도 검증됐다. 학술지 Applied Soft Computing에 실린 연구는 신용카드 신청 고객들의 데이터를 분석해, 통신 이용 패턴 등을 활용하여 생성한 신규 평가 지표들을 전통 변수에 더할 때 신용평가 모델의 변별력(AUROC)이 통계적으로 유의하게 개선됐다고 보고했다. 이는 전통 신용정보와 비금융 데이터가 대체재라기보다 보완재로 작동한다는 실증적 근거로 읽힌다. 국내에서는 데이터 인프라가 빠르게 정비됐다. 금융위원회는 2022년 1월 API 기반 금융 마이데이터를 본격 도입했고, 2025년 5월 말 기준 누적 가입자 1억 6천531만명, 사업자 69곳으로 자리 잡았다고 밝혔다. 2024년 4월에는 '마이데이터 2.0' 추진계획을 통해 이용자 보호 강화와 데이터 범위 확대, 디지털 취약계층 접근성 제고를 내걸었다. 2025년 6월 기준 마이데이터 2.0 서비스 개시 사업자는 1금융권을 포함해 보험사, 증권사, 카드사 등 총 27개사이다. 금융 데이터와 더불어 통신·공과금 등 비금융 정보를 개인 중심으로 통합·이동까지 제도적 기반이 뒷받침되면 통신요금 납부내역, 사용 패턴 같은 비금융 데이터가 합법적으로 안전하게 신용평가에 활용될 수 있다. 특히, 2022년 8월 SK텔레콤·KT·LG유플러스가 SGI서울보증, 코리아크레딧뷰로(KCB)와 함께 통신데이터 기반의 전문개인신용평가 합작법인인 '통신대안평가준비법인' 설립을 공식화하면서, 통신 데이터의 신용평가 활용이 가시화됐다. 이후 2024년 4월 통신대안평가준비법인은 금융위원회로부터 '전문개인신용평가업' 본인가를 받았다. 그리고 사명을 통신대안평가로 서비스 브랜드는 '이퀄(EQUAL)'로 변경하고, 금융사들을 대상으로 대안신용평가 서비스를 출시했다. 제도와 산업의 톱니가 맞물리기 시작했다는 점에서 주목할 만한 흐름이다. 물론 “잘 맞는다”는 말만으로는 충분하지 않다. 데이터가 많아질수록 공정성과 설명 가능성에 대한 요구도 커진다. 금융위원회는 2023년 인공지능 활용 보안 가이드라인을 내놓고, 신용평가에 쓰이는 AI 기반 신용모형에 대한 점검 계획을 밝혔다. 복잡한 알고리즘이 결정 논리를 불투명하게 만들 수 있다는 문제의식에서 출발한 조치로, 데이터 수집·전처리·학습·검증 단계별 보안·검증 항목과 챗봇 보안 체크리스트 등을 제시했다. 해외 중앙은행과 규제기관의 검토도 온도는 다르되 방향은 같다. 미국 캔자스시티 연준은 2023년 브리핑에서 비금융 대안데이터가 신용 접근성을 넓힐 잠재력이 있으나, 소비자 불이익과 프라이버시, 공정성 리스크에 대한 우려로 채택이 여전히 제한적이라고 평가했다. 동시에 임대료·유틸리티 등 '행태적 납부' 정보가 상환 예측력과 포용성 제고에 기여한다는 실증·파일럿 결과를 소개했다. 이는 국내에서도 통신데이터를 '대체'가 아닌 '보완'으로, 그리고 설명·이의제기 절차를 갖춘 '책임 있는 모델'로 운영해야 한다는 점을 뒷받침한다. 정리하자면, “금융 거래 이력 없이도 신용도 즉, 상환능력을 예측할 수 있나”라는 질문에 대한 현재의 답은 “그렇다” 이다. 통신데이터로 위험 집단을 유의미하게 구분할 수 있고, 전통적인 금융 이력 기반의 신용정보와 결합하면 성능이 더 좋아진다는 학술 근거가 축적되어 있다. 한국의 경우 2022년 이후 마이데이터 도입으로 인해 데이터 길이 새로이 열렸고, 2024년에는 통신데이터 기반의 전문개인신용평가업 본인가와 대안신용평가 서비스 출시 소식까지 이어졌다. 다음 과제는 이 서비스가 실제로 승인률·금리·연체율에 어떤 변화를 가져오는지를 검증하고 투명하고 공정하게 운영해 진정한 전국민을 위한 '포용금융'이 실현될 수 있기를 기대한다.

2026.01.06 16:23김상우 컬럼니스트

[기고] 'AI 맨해튼 프로젝트'로 속도 내는 美, 韓 '카피캣' 전략 절실

트럼프 행정부가 이달 15일 백악관과 인사관리처(OPM)의 공동 발표를 통해 'US 테크 포스(US Tech Force)' 출범을 공식화했다. 이는 단순한 공무원 채용 공고가 아니다. 제2차 세계대전 당시 전세를 뒤집었던 '맨해튼 프로젝트'의 인공지능(AI) 버전이자, 글로벌 기술 패권 전쟁에서 승리하겠다는 미국의 노골적인 선전포고다. 미국 정부는 초기 1천 명의 최정예 데이터 과학자와 AI 엔지니어를 선발해 연방 정부의 '디지털 신경망'을 전면 교체하겠다고 밝혔다. 그동안 내가 줄곧 강조해왔던 "AI는 단순한 기술이 아니라 국가전략자산이며, 현대전의 비대칭전력"이라는 명제가 미국의 국가 전략으로 현실화된 순간이다. 세계 최강대국이 이토록 절박하게 움직이는데, 과연 우리는 따라잡을 수 있을까. 학위보다 '코드', 관료주의보다 '속도'…파격이 만든 '혁신' 'US 테크 포스'의 핵심은 관료주의의 파괴다. OPM은 학위나 공무원 연공서열을 철저히 배제했다. 오직 즉시 전력감이 될 수 있는 코딩 실력과 시스템 아키텍처 설계 역량만을 묻는다. 연공서열에 갇힌 한국 공직 사회에서는 상상하기 힘든 일이다. 전 세계적인 관료제 혁파 기조는 올 초 두바이에서 열린 '세계 정부 서밋(World Government Summit)'부터 지속돼 왔다. 당시 테슬라 창업주 일론 머스크는 "관료주의(Bureaucracy)가 민주주의(Democracy)를 압도하고 있다"고 비판한 바 있다. 보상 체계 역시 파격적이다. 연간 15만~20만 달러(한화 약 2억~2억6천만원)의 급여 테이블을 신설해 민간 빅테크 기업과의 인재 영입 경쟁을 불사했다. 이렇게 선발된 인재들은 국방부(DoD), 재무부, 국토안보부(DHS) 등 국가 안보와 경제의 심장부에 배치된다. 이들은 낡은 레거시 시스템을 걷어내고 국가 기밀 데이터 보안을 AI 기반으로 요새화하는 특수 임무를 수행한다. 이처럼 미국은 지금 AI 기술을 단순한 행정 도구로 보는 시각을 넘어, 국가의 생존을 결정짓는 무기로 규정하고 있다고 볼 수 있다. 더욱 놀라운 것은 민간과의 '동맹'이다. 애플, 구글, 오픈AI, 엔비디아 등 25개 글로벌 빅테크 기업이 공식 파트너로 참여해 정부에 기술 멘토링을 제공하고, 기업의 베테랑 매니저를 파견한다. 2년 임기를 마친 인재는 다시 민간으로 복귀하거나 정부 고위직으로 전환될 수 있다. 이는 단순한 채용이 아니라 정부와 실리콘밸리를 잇는 거대한 '인재 순환 파이프라인(Talent Pipeline)'을 완성해 앞으로 기술혁신에 지속적으로 기민하게 대응하겠다는 것이다. 한국의 현실, 주식백지신탁·무늬만 클라우드 이처럼 미국이 광속으로 질주할 때 한국의 발목을 잡고 있는 것은 무엇인가. 바로 시대착오적인 규제와 경직된 관료주의다. 미국의 'US 테크 포스'와 같은 인재가 한국 정부에 들어오려 한다고 가정해보자. 가장 먼저 마주할 벽은 '주식백지신탁' 제도다. 기술 인재에게 스톡옵션과 보유 주식은 단순한 자산이 아니라 그들의 커리어이자 성과다. 이를 다 포기하고 들어오라는 것은 오지 말라는 이야기와 같다. 퇴직 후의 '취업제한' 규정 또한 민간과 공공의 인재 교류를 원천 봉쇄한다. 미국이 민간의 최고급 두뇌를 흡수해 공공의 체질을 바꾸는 동안, 우리는 스스로 문을 걸어 잠그고 '그들만의 리그'를 고수하고 있다. 앞서 작년 계엄사태 이전에 디플정위와 행안부가 '공공AX(AI Transformation)' 계획을 수립할 당시, 전자정부 세계 1위를 근거로 '공공AX 1위 국가'를 목표로 내세우자고 했을 때 단호하게 "불가능하다"고 반대한 적이 있다. 이유는 명확했다. 첫째, 우리의 정부 클라우드는 진정한 의미의 클라우드(Cloud Native)가 아니다. 물리적 서버를 모아놓은 수준에 불과한 단절돼 있는 인프라 위에서 최첨단 AI가 제대로 구동될 리 만무하다. 둘째, 관료제의 경직성이다. 기술은 하루가 다르게 변하는데, 예산 편성부터 집행까지 수년이 걸리는 현재의 행정 프로세스로는 혁신에 유연하게 대응할 수 없다. 지난 정부의 디지털플랫폼정부위원회에서도 영국과 미국의 기술 전담 조직을 벤치마킹하려 했고 관료주의 타파를 외쳤다. 하지만 기존의 관행, 법, 제도의 벽에 부딪혀 결국 시늉에 그치고 말았다. 그 사이 미국은 실패를 두려워하지 않고 끊임없이 시도했고 이제 'US 테크 포스'라는 거대한 결과물을 내놓았다. 자존심 버려야…'패스트 팔로워'라도 돼야 산다 미국의 이번 조치는 AI 시대 정부의 역할이 '행정적 관리자'에서 '기술적 엔지니어'로 이동했음을 선언한 것이다. 과거에는 법과 규제가 정부의 무기였지만, 이제는 직접 코드를 짜고 알고리즘을 통제할 수 있는 '기술적 자주권'이 정부의 핵심 경쟁력이다. 미국은 이미 민간의 속도와 혁신 문화를 관료 조직에 이식하기 시작했다. 내년 3월이면 첫 번째 기술 특공대가 현장에 투입돼 데이터 사일로를 부수고, AI 에이전트를 행정 프로세스에 심을 것이다. 그들은 '작지만 유능한 정부', '데이터로 일하는 정부'라는 새로운 글로벌 표준을 만들어갈 것이다. 우리는 이제 인정해야 한다. 현 시점에서 적어도 정부와 행정영역에서는 '패스트 팔로워(Fast Follower)'조차 되지 못하고 있다. 그동안 쌓은 세계적인 디지털 정부의 노하우, 각 부처 공무원들의 우수한 능력을 레거시 때문에 제대로 발휘하지 못하고 있는 것이다. 세계 최고의 빅테크 국가인 미국조차 위기감을 느끼고 민간의 방식을 전면 도입하는데, 우리가 무슨 배짱으로 기존의 방식을 고수하는가. 이제 체면을 차릴 때가 아니다. 미국의 방식을 그대로 베끼는 '카피캣(Copycat)' 전략이라도 써야 한다. 'US 테크 포스'의 채용 방식, 보상 체계, 민관 협력 모델을 철저히 벤치마킹해야 한다. 가장 시급한 것은 '인재'를 막는 족쇄를 푸는 것이다. 기술직 공무원에 한해 주식백지신탁 의무를 유예하거나 예외를 두는 과감한 결단이 필요하다. 민간 경력자가 공직에 진입하고, 다시 민간으로 돌아가는 회전문이 자유롭게 돌아가도록 취업제한 규정도 손질해야 한다. 나아가 '무늬만 클라우드'인 공공 인프라를 민간 클라우드 정부 리전으로 전면 개편하고, 민간 SaaS, AIaaS가 공공 영역에 즉시 도입될 수 있도록 조달 체계를 뜯어고쳐야 한다. 과거의 단단한 껍질을 깨지 못하면, 대한민국 정부는 AI 시대에서 앞서갈 수 없다. 기술 인재 확보는 이제 행정의 효율화 문제가 아니다. 국가 생존을 위한 안보 문제다. 미국이 보여준 'US 테크 포스'는 우리에게 던지는 마지막 경고장이다. 허들을 제거하고 문호를 개방해야 한다. 그리고 필사적으로 따라가야 한다.

2025.12.18 09:53이승현 컬럼니스트

[기고] 반복되는 개인정보 유출 사고...무엇이 바뀌어야 할까

최근 쿠팡에서 3천370만 명 규모의 개인정보가 유출된 사실이 알려지면서 사회적 충격을 불러일으켰다. 이름, 전화번호, 배송지, 주문 내역 등 생활의 거의 모든 흔적이 포함된 정보가 장기간 해외 서버를 통해 새나간 것으로 조사됐다. 그러나 대중의 반응은 놀라움보다 피로감에 가깝다. 이는 지난 10여 년간 한국 사회가 동일한 장면을 반복적으로 마주해왔기 때문이다. 2014년에는 KB국민·롯데·NH농협카드 등 주요 카드사에서 1억 건이 넘는 정보가 한 번에 유출되었다. 같은 해 SK텔레콤·KT·LG유플러스 등 통신 3사에서도 1천200만 명의 고객정보가 털렸다. 2023년에는 LG유플러스에서 30만 건의 정보가 새어 나갔고, 2025년에는 SK텔레콤에서 USIM 정보 일부가 해킹으로 유출된 사실이 드러났다. 사건의 주체만 바뀌었을 뿐, 사과문·정부 조사·보안 강화 약속이라는 반복적 시나리오는 거의 달라지지 않았다. 물론 제도적 변화가 없었던 것은 아니다. 카드 3사 사태 이후 '개인정보보호법' 개정을 통해 징벌적 손해배상과 법정손해배상 제도가 도입됐고, 감독당국의 조사·제재 권한도 강화됐다. 그러나 이런 변화에도 불구하고 사고는 끊임없이 반복되고 있다. 과징금은 기업의 매출 규모와 리스크에 비해 여전히 낮게 부과되는 경향이 있으며, 피해자 구제는 느리고 어렵고, 기업의 보안 투자는 여전히 후순위로 밀린다. 법의 문구는 강화됐지만 기업의 행동을 바꿀 만큼 구조적 유인은 충분하지 않았다는 뜻이다. 해외 사례는 한국이 어디로 가야 하는지 방향을 제시한다. 미국 에퀴팩스는 1억4천만 명의 민감 정보 유출 이후 13억 달러가 넘는 비용을 부담하며 기업 전체의 보안 체계를 새로 정비했다. 유럽의 GDPR은 기업 매출의 일정 비율에 해당하는 고액 과징금을 실제로 부과하며, 개인정보보호를 '규정 준수 항목'이 아니라 '경영 리스크 관리의 중심'으로 끌어올렸다. 처벌 수위만의 문제가 아니라, 기업이 스스로 구조를 바꿀 수밖에 없게 만드는 제도 설계의 결과다. 이제 한국도 “사고가 나면 조사하고, 과징금 부과하고, 재발방지 대책 발표하는” 사후 대응 패턴을 넘어서야 한다. 개인정보보호를 사전에 관리하고, 위험을 줄이는 방향으로 제도를 재설계할 필요가 있는 것이다. 그 방향은 최소한 다음 네 가지 축으로 정리할 수 있다. 첫째, 준비된 조직만이 위험에 대응할 수 있다. 취약점 관리, 인증 체계, 접근 통제 등 기본적 보안 수준이 갖춰져 있어야 하며 이를 객관적으로 평가·보고하도록 하는 사전적 규율이 필요하다. 서류상의 보안 규정이 아니라, 실제 시스템과 운영 절차가 주기적으로 검증되는 구조여야 한다. 둘째, 기업의 보안 수준을 경제적 요소와 직접 연결해야 한다. 기업의 보안 수준을 보험료·감사 비용·인증 혜택 등과 연동해, 예방적 투자가 이익이 되는 구조로 바꿔야 한다. 위험을 줄이면 비용이 내려가고, 위험을 방치하면 비용이 올라가는 방향으로 설계해야 기업이 자발적으로 보안 투자를 확대하게 된다. 셋째, 경영진 책임이 명확히 부과되는 거버넌스가 필요하다. 책임이 현장에서 분산되는 한 기업은 보안 투자를 항상 후순위로 둘 것이다. 개인정보보호를 단순히 IT 부서의 업무로 두지 않고, 이사회와 최고경영진의 책임과 평가 항목에 포함해야 한다. 그래야만 보안이 비용이 아니라 경영과제의 일부로 다뤄진다. 넷째, 사고 은폐나 늑장 신고에 대해 더 강력한 제재를 적용해야 한다. 정보공개와 초기 대응 속도가 곧 피해 규모를 결정하기 때문이다. 늑장 신고가 오히려 더 큰 규제 리스크를 초래한다는 인식이 자리 잡도록, 신고 지연과 은폐에 대해서는 별도의 가중 처벌 체계를 마련할 필요가 있다. 이번 논란이 보여주는 바는 분명하다. 개인정보유출 문제에서 징벌적 배상은 절대 무시할 수 없는 핵심 장치다. 기업이 최소한의 책임 의식을 갖도록 하는 강한 억제력으로 작동하기 때문이다. 그러나 그것만으로 사고의 반복을 막을 수는 없다. 징벌적 배상과 더불어, 사전에 위험을 낮추기 위한 보안 투자와 거버넌스 강화가 함께 이뤄져야 한다. 위험 수준에 따라 보험료·감사·인증 비용이 달라지는 구조를 설계해 기업이 예방적 조치를 경제적 이득으로 인식하게 만드는 것이 중요하다. 결국 지속 가능한 개인정보보호의 해답은 사후 처벌과 사전 예방이 균형을 이루는 구조를 구축하는 데 있다.

2025.12.17 14:57김봉규 컬럼니스트

[기고] 유통 기업도 IT 기업처럼 생각하고 행동해야

관세, 무역 정책을 둘러싼 불확실성이 해소되며 소비자 심리가 개선되고 있다. 유통 기업도 덕분에 낙관적인 연말 쇼핑 시즌을 맞이하고 있다. 하지만 낙관론에만 의지할 순 없다. 유통 산업은 데이터 산업이라고 해도 과언이 아니다. 재고 관리부터 사기 탐지까지 모든 고객 상호작용은 데이터를 생성한다. 특히 블랙프라이데이, 크리스마스 세일 등 연말에 집중된 쇼핑 대목에는 데이터 양이 폭발적으로 증가한다. 데이터가 증가할수록 리스크 또한 증가한다. 유통 기업이 사업 규모를 늘리고, 보안을 유지하며, 고객의 기대에 부흥하는 경험을 제공하려면 데이터 관리의 중심에 가시성과 통제력을 둬야 한다. IBM의 위협 인텔리전스 인덱스에 따르면 전 세계 사이버 공격의 34%는 아태지역에서 이뤄진다. 이런 상황 가운데 클릭, 거래, 디지털 상호작용 하나하나를 기회로 보고 유통 산업을 선도하고자 하는 유통 기업은 IT 기업처럼 생각하고 운영해야 한다. 연말 대목의 가장 큰 과제는 확장성, 장애 허용성, 부족한 인력이다. 온오프라인 트래픽이 몇 배 급증하면서 생겨난 부하는 장애나 시스템 지연을 일으킬 수 있다. 이런 압박은 거래 처리, 사기 탐지 시스템에서 더욱 심각하다. 탄력성을 유지하려면 데이터 관리 시스템의 확장성이 높아야 추가 부하를 처리하고 장바구니 이탈로 이어지는 다운타임을 방지할 수 있다. 또 엔터프라이즈 데이터 리니지는 데이터 파이프라인의 단절을 식별해 최소한의 중단으로 시스템을 복구할 수 있게 한다. 하이브리드, 멀티 클라우드 환경 전반에 걸친 데이터 가시성은 사각지대를 없애고 민감 정보를 지속적으로 모니터링하고 보호한다. 유통 기업은 공격자들이 팔 수 있는 개인정보를 보유하고 있어 주된 사이버 공격 타깃이 된다. PwC의 소비자 목소리 조사에 따르면 아태지역 소비자의 74%는 개인정보와 데이터 공유에 대해 우려했다. 50%는 SNS를 통한 구매에 거부감을 느끼는 것으로 나타났다. 연말의 혼잡함과 더불어 매장, 물류 센터, 온라인 플랫폼, 배송 트럭 등 IoT로 연결되면 될수록 공격 표면은 넓어진다. 보안에 취약한 기기를 통해 보안 공격이 발생한다면 기존 시스템과 낮은 마진으로 이미 어려움을 겪고 있는 유통 기업은 소비자 신뢰와 브랜드 가치라는 이중고를 마주하게 된다. 사이버 보안은 IT 요소가 아니라 비즈니스 요소다. 유통 산업에서는 신뢰가 핵심 차별화 요소다. 유통 기업은 자사 데이터를 안전하게 관리해 고객 충성도를 높인다. 설계부터 보안을 고려한 시스템은 노출을 제한하고, 통합 거버넌스는 하이브리드 환경 전반에서 데이터 보안과 규정 준수를 일관되게 적용한다. AI과 ML은 이제 수요 예측, 개인화, 사기 탐지의 필수 요소다. 유통 산업에서는 과거, 실시간 데이터 모두 중요하다. 과거 데이터는 수요 예측 모델을 구축하고 고객 행동 분석에 활용된다. 실시간 데이터는 동적 의사결정을 구현하기 위한 속도와 타이밍을 좌우한다. 매장에 들어서는 고객에게 맞춤 제안을 제공하거나 거래 이상을 탐지하는 것이 그 예시다. 유통 산업에서는 타이밍이 생명이다. 15분 늦은 제안은 의미가 없고, 뒤늦은 사기 탐지는 손실로 이어진다. 실시간 가시성을 보유한 유통 기업은 즉각적으로 행동한다. 결과적으로 데이터를 안전하게 관리하고 시스템을 확장하며 고객 신뢰를 구축하는 능력이 경쟁의 승패를 좌우한다. 가시성과 거버넌스를 보유한 유통 기업이 결국 정상에 서게 될 것이다.

2025.11.20 09:45캐롤린 더비 컬럼니스트

[기고] 헬스케어에서 생성형 AI 리스크를 최소화하는 방법

생성형 인공지능(AI)은 IT 전문가만이 다룰 수 있는 전유물이 아니다. 만들어진 목적 자체가 누구나 사용할 수 있는 보편적 기술을 지향하고 있다. 이 때문에 최근에는 많은 사람들이 실생활뿐만 아니라 업무에서도 문서 작성 소프트웨어를 사용하듯 자주 사용하고 있다. 바야흐로 모든 산업에서 AI 기술을 통한 업무 방식의 혁신이 이루어지고 있는 시대다. 의료 분야도 예외는 아니다. 맥킨지에 따르면 의료 기관의 72%가 AI 기술을 사용하고 있거나 사용할 계획이라고 밝혔다. 우리나라 정부도 지난 5년간 2조2천억원 규모의 국내 의료 AI 관련 국가 연구개발에 투자했다. 또 2028년까지 의료 인공지능 연구개발 로드맵을 세우며 AI를 통한 의료 서비스 혁신을 꾀하고 있다. 이미 많은 의료 종사자들은 X선, MRI 및 CT 스캔 결과 해석이나 환자 데이터 통계 요약 등 다양한 업무에서 생성형 AI를 사용하고 있다. 이처럼 AI 기술은 많은 의료 분야에 도움을 주고 있다. 이는 의료 서비스 개선 및 국민 건강 증진이라는 긍정적 효과로 이어진다. 그러나 간과하지 말아야 할 것은 생성형 AI가 제공하는 답변이 부정확하거나 완전히 허구인 정보를 생성할 수 있다는 점이다. 맥킨지에 따르면 생성형 AI는 자신감 있는 답변을 제공하지만 그것이 정확한 사실이 아닐 경우가 종종 있는 것으로 나타났다. 이는 생성형 AI에 대한 신뢰도와 실제 답변에 대한 정확도의 격차로 나타나며 생성형 AI를 사용하는 모든 산업 분야에 리스크로 작용한다. 특히 생명과 직결되는 의료 분야에서는 매우 심각한 위협이 될 수 있다. 단순 기업의 효율성이나 비용 절감에 악영향을 주는 것이 아니라 국민의 생명, 웰빙, 건강에 돌이킬 수 없는 피해를 줄 수 있기 때문이다. AI 기술에서 도출된 부정확한 정보가 환자 치료에 심각한 결과를 초래할 수 있음에도 생성형 AI 제공업체는 라이선스 계약에 '위험성이 높은 시나리오에서 해당 도구를 사용하지 마십시오'와 같은 면책 조항을 통해 책임을 회피한다. 그렇기 때문에 의료 기업은 AI 활용에 따른 위험을 온전히 인식하고 AI가 제공한 정보에 대한 엄격한 검증 프로세스를 구현해야 한다. 민감한 환자 정보를 어떻게 보호할지 또한 매우 중요한데 강력한 보호 장치가 없다면 생성형 AI 사용으로 인한 무단 접근이나 기밀 유출과 같은 취약점이 노출될 수 있다. AI 모델은 제공되는 데이터의 품질에 따라 성능이 결정된다. 그렇기 때문에 의료 분야에서 사용되는 AI 모델은 신뢰할 수 있는 데이터를 기반으로 철저하고 엄격한 기준을 둬야 한다. 결과적으로 데이터 관리 시스템은 치명적 오류를 완화하기 위한 필수 요소다. 많은 개발자들은 AI 기술의 리스크를 줄이기 위해 실시간으로 결과물을 수정하거나, 데이터 편향을 줄이거나, 다양한 조건에서 테스트를 수행하는 등 신뢰도 보정에 노력을 기울이고 있다. 결국 핵심은 데이터다. 의료 분야에 속한 기업은 보통 민감 정보를 다루기 위한 온프레미스와 데이터 처리 성능을 위한 퍼블릭 클라우드를 동시에 쓰는 하이브리드 환경을 구축한다. 이러한 복잡한 환경에서 다양하고 정확한 최신 데이터가 확보돼야 AI 기술을 온전히 활용할 수 있기 때문에 하이브리드 데이터 플랫폼은 데이터 전략의 중심이 될 수밖에 없다. 하이브리드 데이터 플랫폼은 인프라를 막론하고 데이터를 원활하게 통합, 검증, 분석할 수 있다. 이 외에도 실시간 데이터 액세스로 데이터 변환, 피드백 메커니즘 구현 및 교육 개선, 성능 테스트를 수행할 수 있다. 또 강력한 데이터 카탈로그화 및 계보 추적과 같은 기능은 데이터의 출처와 이동 과정을 밝혀 투명성과 AI 모델에서 생성된 정보에 대한 신뢰를 높인다. 데이터 보안과 규정 준수도 놓칠 수 없다. 하이브리드 플랫폼은 저장 및 전송 중의 암호화, 역할 기반 액세스 제어, 엔터프라이즈 ID 관리 시스템과의 통합 등을 지원한다. 이를 통해 민감 환자 정보와 데이터 무결성을 보호하며 안전하고 신뢰할 수 있는 데이터로 AI 모델을 작동할 수 있도록 보장한다. 의료 산업의 미래는 어떻게 데이터를 활용해 환자가 겪는 의료 서비스를 개선할지에 달려 있다고 해도 과언이 아니다. 신뢰할 수 있는 하이브리드 데이터 플랫폼이 의료 서비스, 연구에서 새로운 혁신 가능성을 열어주는 열쇠가 될 것이다.

2025.02.11 10:29최승철 클라우데라 컬럼니스트

지금 뜨는 기사

이시각 헤드라인

미·이란 종전협상 결렬...밴스 "핵 포기 확약 못받아"

LGU+, 내일부터 유심 업데이트-무료 교체

'미토스'에 놀란 세계..."사이버보안 새 시대 예고"

하나만 잘해선 안 된다…AI 열풍에 ‘하이브리드’ 인재 각광

ZDNet Power Center