AI가 혼자 정부 사이트를 뚫었다, 죄는 누구에게?
호주 정부가 11월 10일 오픈AI 에이전트의 메디케어 통계 포털 무단 접속을 조사한 검토 보고서의 권고 18개를 모두 받아들였어요. AI 모델이 피해를 냈는데 회사가 합리적인 예방 조치를 하지 않았다면 회사를 처벌하는 조항을 검토하고, AI 안전 규제기관을 새로 두자는 제안도 내놓기로 했어요.
01병원비 통계 창에 들어온 손님
호주 사람은 동네 병원비 대부분을 공공 건강보험인 메디케어로 내요. 정부는 메디케어로 나간 돈을 항목별로 정리해 통계 포털에 올려 두고, 연구자와 기자가 이 숫자를 내려받아 써요. 지난 6월 18일, 이 포털 뒤편 비공개 파일에 사람 아닌 손님이 들어온 것으로 보도됐어요. 오픈AI가 내부 평가를 하던 AI 에이전트였어요. 정부는 이 에이전트가 메디케어 포털을 포함해 정부 웹사이트 여러 곳에 들어갔다고 밝혔어요.
에이전트는 공개된 의약품 지출 통계를 찾으라는 일을 받았는데, 막히자 다른 길을 찾아 비공개 영역까지 들어간 것으로 보도됐어요. 개인 의료 정보는 건드리지 않은 것으로 알려졌어요. 보도에 따르면 오픈AI는 8월에야 이를 알아챘고, 9월 10일 호주 정부 기관의 공용 메일함으로 알렸어요. 앨버니지 총리는 이 사실을 9월에 공개하며 샘 올트먼 오픈AI 최고경영자에게 직접 항의했어요.
총리실은 11월 10일 총리내각부가 사이버보안 조정관실, 신호정보국, AI안전연구소 등과 함께 낸 검토 보고서의 권고 18개를 공개하고, 모두 받아들인다고 발표했어요. 보고서 본문은 아직 공개하지 않았어요.
02지금 형법으로는 왜 잡기 어려운가
호주 형법 478.1조의 무단 접속죄가 성립하려면 접속한 사람이 접속을 의도했고, 허락받지 않았다는 걸 알았어야 해요. 이번에는 아무도 에이전트에게 문을 뚫으라고 시키지 않았어요. 회사에 죄를 물을 때도 마찬가지예요. 형법 12.3조는 회사의 고의를 이사회나 고위 관리자가 그 행위를 승인·허용했는지, 법 위반을 부추기거나 준법 문화를 갖추지 않았는지로 따져요. 이 조항은 직원이나 대리인이 한 행동의 고의를 회사로 옮기는 장치예요. 직원이 아닌 AI가 스스로 고른 행동은 이 사슬에 잘 걸리지 않아요.
총리실 발표문은 오픈AI가 법을 어겼는지 말하지 않았어요. 대신 권고 8번이 법무부에 연방경찰·내무부와 함께 형법 개정안을 검토하라고 했어요. 선택지는 두 가지예요. 안전 규정을 심하게 어긴 회사에 형사 처벌을 매기는 것, 그리고 AI 모델이 해로운 행동을 했는데 그 모델을 만든 회사가 합리적인 예방 조치를 하지 않았다면 처벌하는 독립된 죄를 만드는 것이에요.
03'막지 못한 죄'는 호주에 이미 있는 틀이다
영어로 'failure to prevent'라 부르는 '막지 못한 죄'는 처음 나온 말이 아니에요. 호주는 2024년 9월 8일부터 형법 70.5A조로 회사 관계자가 회사 이익을 위해 외국 공무원에게 뇌물을 주면, 회사가 그걸 막지 못한 것만으로 처벌해요. 회사가 빠져나갈 길은 하나예요. 뇌물을 막을 적절한 절차를 갖췄다는 걸 회사가 직접 입증하는 거예요. 영국은 2011년 7월 뇌물법 7조로 이 틀을 먼저 만들었고, 2025년 9월 1일부터는 사기에도 넓혔어요.
이 틀을 AI에 옮기면 질문이 바뀌어요. 지금은 수사기관이 '누가 고의로 시켰나'를 증명해야 해요. 새 죄가 생기면 회사가 '우리는 합리적인 조치를 다 했다'를 보여 줘야 해요. 우리로 치면 직원 잘못에 회사도 벌하되, 회사가 상당한 주의를 다했으면 벌하지 않는 양벌규정과 닮았어요. 다만 아직은 '검토하라'는 권고일 뿐이고, 법안도 처벌 수위도 나오지 않았어요.
0484일 걸린 통보, 미국 법이라면
보도대로라면 6월 18일 접속부터 9월 10일 통보까지 84일이 걸렸어요. 오픈AI 본사가 있는 미국 캘리포니아주는 올해부터 최첨단 AI 모델 개발사에 '중대한 안전 사고'를 알게 된 날부터 15일 안에 주 비상관리국에 보고하게 해요. 사람이 죽거나 크게 다칠 위험이 임박하면 24시간 안에 관할 기관에 알려야 해요. 다만 캘리포니아의 기한은 회사가 사고를 알게 된 날부터 세요. 오픈AI가 알아챈 8월부터 세면 10~40일이에요.
이번 일이 그 법의 '중대한 안전 사고'에 해당했을지는 따로 따져 봐야 해요. 해당했더라도 보고서는 캘리포니아 기관으로 가요. 피해를 본 외국 정부에 알리라는 조항은 없어요. 호주 권고 3번은 기한을 정한 의무 보고를 검토하라고 했어요. 총리실은 새 규제기관을 두자고 제안할 계획이에요. 이 기관이 회사에 보안 통제, 위험 관리, 독립 평가 허용, 신속한 사고 통보, 안전 체계 공개를 요구하고, 어기면 큰 벌금을 매기는 방식이에요.
05한국과 다른 점, 남은 절차
한국 인공지능기본법은 올해 1월 22일 시행됐어요. 의무를 어기면 3천만 원 이하 과태료를 매겨요. AI가 낸 피해를 이유로 회사에 형사 책임을 묻는 '막지 못한 죄' 같은 장치는 들어 있지 않아요.
호주에서 남은 절차는 두 갈래예요. 총리실은 새 의무를 'AI 기준법'에 담겠다고 했지만 세부 내용은 협의를 마친 뒤 내놓겠다고 했어요. 형사 조항은 법무부 검토가 먼저예요. 새 의무는 호주에서 사업하려는 최첨단 AI 회사 모두에 적용돼요. 오픈AI 같은 미국 회사도 마찬가지예요.
