마이크로소프트 “AI 신뢰의 기본은 규제 준수와 거버넌스”

“결국 인간은 믿을 수 있는 기술만 사용합니다. AI 기술 확산의 전제는 신뢰입니다. 그리고 신뢰의 기본은 규제와 거버넌스 준수에서 시작됩니다.”

말론 페츠너(Marlon Fetzner) 마이크로소프트 아시아 지역 법무 총괄 책임자 겸 부총괄 법률 고문은 25일 서울 그랜드 인터컨티넨탈 서울 파르나스에서 열린 ‘마이크로소프트 보안 서밋, AI와 디지털 신뢰’에서 이렇게 강조했다.

페츠너 고문은 AI 확산을 기술 경쟁만의 문제가 아니라 신뢰의 문제로 풀었다. 그는 클라우드 확산기에도 신뢰가 핵심이었고, AI 시대에는 그 중요성이 더 커졌다고 말했다. 기술이 널리 쓰이려면 성능보다 먼저 안전장치와 통제 구조를 갖춰야 한다는 설명이다.

그는 이를 엘리베이터의 역사에 빗대 설명했다. 엘리베이터는 오래전부터 있었지만, 안전 브레이크가 들어간 뒤에야 사람들이 믿고 탔고 도시의 모습까지 바꿨다는 것이다. 페츠너는 이 사례를 들어 “신뢰가 기술 혁신을 확산시키는 핵심”이라고 말했다.

AI 신뢰, 원칙만으로는 부족…규제부터 지켜야

페츠너 고문은 마이크로소프트가 기술 신뢰를 프라이버시, 보안, 안전, 데이터 통제권 문제로 보고 있다고 설명했다. 특히 “데이터 통제권은 단순히 데이터가 어느 나라에 있느냐보다, 누가 데이터를 통제하고 어떤 조건에서 다루느냐의 문제”라고 짚었다.

그는 “책임 있는 AI를 위해 원칙만 세워서는 충분하지 않다”고 강조했다. 실제 운영 단계에서는 각국 규제 준수, 국제 표준 대응, 계약상 약속, 내부 통제 체계가 함께 움직여야 한다는 것이다. “금융처럼 규제가 강한 산업에 별도 문서와 조건을 제공하는 이유도 여기에 있다”고도 말했다.

마이크로소프트는 2018년 생성형 AI 열풍 이전부터 책임 있는 AI 원칙을 세우고 있다. 책임성과 투명성, 신뢰성과 안전성, 개인정보 보호와 보안, 포용성, 공정성이 그 축이다. 이후 이를 제품과 조직에 실제로 적용하기 위해 사내 표준, 교육, 도구, 내부 감사 체계를 추가하고 있다.

법무·엔지니어링 함께 보는 책임 있는 AI 체계

페츠너 고문은 “책임 있는 AI가 특정 부서의 일이 아니라 전사 과제”라고 강조했다. 이사회와 경영진, 연구, 정책, 엔지니어링, 각 국가 조직까지 같은 기준으로 움직여야 한다는 것이다. 이를 위해 마이크로소프트는 법무 조직 안에 책임 있는 AI 거버넌스 체계를 두고, 각 지역에서도 관련 이슈를 점검하는 조직을 별도로 운영하고 있다.

특히 페츠너 고문은 “사내 검토 기준에 맞지 않으면 해당 사업을 과감히 중단할 수도 있다”고 했다. 그는 “만약, 안면인식 기술이 인권이나 민주적 절차를 해칠 우려가 있다고 판단되면 판매하지 않는다”며 “윤리 기준을 충족하지 못한 기술에는 선을 긋는다”고 설명했다.

또한 그는 “책임 있는 AI는 마이크로소프트만의 책임이 아니라 생태계 전체의 공동 책임”이라고 강조했다. 협력사가 AI 애플리케이션을 개발하는 경우에도 같은 원칙이 필요하다는 것이다. 마이크로소프트가 관련 문서와 학습 내용을 공개하는 이유도 여기에 있다고 말했다.

“보안과 프라이버시는 한 몸”…섀도우 AI도 경고

페츠너 고문은 고객 리스크 관리 관점의 AI 통제 원칙도 짚었다. 기업 고객은 운영 리스크를 높은 수준으로 관리해야 하는 만큼, 거버넌스와 책임성, 규제 준수, 데이터 프라이버시, 데이터 보호가 함께 반영되어야 한다는 설명이다. 그는 “보안만 있고 프라이버시가 없으면 충분하지 않고, 프라이버시 정책만 있고 보안이 약해도 의미가 없다”고 말했다.

고객 데이터는 고객의 것이라는 점도 분명히 했다. 그는 “데이터를 광고에 쓰지 않고, 코파일럿(Copilot) 사용 과정에서 들어온 프롬프트와 데이터도 기업용 프라이버시 원칙 아래 다룬다”고 설명했다. 아울러 “이 과정에서 대규모언어모델(LLM)이 고객 데이터로 학습하지 않도록 의도적으로 설계했다”고도 덧붙였다.

페츠너 고문은 AI 도입을 미루는 정책도 답은 아니라고 말했다. 사내 정책 없이 AI를 막기만 하면 직원들이 통제가 약한 소비자용 도구를 쓰는 섀도우 AI가 많아질 수 있다는 것이다. 그는 “최근 법무 조직과 로펌들도 AI를 쓰지 않겠다고 말하지만, 오히려 더 명확한 사용 정책과 관리 체계를 갖추고 써야 한다”고 강조했다.

끝으로 그는 지정학 리스크와 서비스 연속성을 강조했다. 전쟁이나 지진 같은 변수로 데이터센터가 파괴될 수 있는 만큼, 사이버 복원력과 연속성, 지역 간 규제 대응까지 포함한 신뢰 전략이 필요하다는 것이다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network