“챗GPT 쓰려고 보안서약까지”…공공기관들, AI 사용 기준 ‘제각각’ [오늘의 국감]

[헤럴드경제=주소현 기자] 산업통상부와 중소벤처기업부 등 정부 산하 공공기관의 생성형 인공지능(AI) 사용기준이 천차만별인 것으로 나타났다.

일부 기관에서는 보안 교육 및 서약을 한 직원에 한해 허용되는가 하면 기관망과 인터넷망 분리 없이 사용하는 기관도 다수 파악됐다. 금융권 등에서 AI를 악용한 해킹 사고가 늘어나는 가운데 공공기관의 생성형 AI 사용기준과 보안기준 등을 재정립해야 한다는 지적이 나온다.

국회 산업통상자원중소벤처기업위원회 소속 임문영 더불어민주당 의원이 37개 공공기관(산업통상부 20개·중소벤처기업부 11개·지식재산처 6개)으로부터 제출받은 생성형 AI 사용 현황을 분석한 결과, 사용 기준이 기관마다 다른 것으로 나타났다.

주무부처인 산업통상부는 업무망과 인터넷망을 분리하고, 인터넷망에서는 중국 생성형 AI인 딥시크(DeepSeek)만 차단한 채 그밖의 AI 서비스 접속을 허용하고 있다.

사용 신청·승인이나 보안서약을 거쳐야 생성형 AI를 쓸 수 있는 공공기관은 한국가스공사·강원랜드·한국가스안전공사·한국산업기술시험원·한국산업기술기획평가원·공영홈쇼핑 등 6개 기관이었다.

한국가스공사는 상용 AI를 업무망과 인터넷망 모두에서 기본 차단하고, 필요한 직원이 사내 시스템에서 사이트별로 허용을 신청해야 했다. 강원랜드의 경우 부서별로 64명만 상용 AI 계정을 신청하도록 제한하고, 회사 업무정보를 입력하지 않는 등 7개 보안수칙에 서약해야 1년간 사용할 수 있었다. 공영홈쇼핑은 AI 보안교육을 이수하고, 사내 기밀 및 개인정보 업로드 금지를 서약해야 생성형 AI 사용이 허용됐다.

한국석유공사, 대한무역투자진흥공사(KOTRA), 한국가스기술공사 등 20개 기관은 업무망과 인터넷망을 망라한 기관망에서 생성형 AI를 차단했다. 대신 기관망과 분리된 인터넷망에서는 별도 신청 없이 생성형 AI를 사용할 수 있다.

중소벤처기업연구원, 한국지식재산보호원, 한국특허정보원 등 6개 기관은 기관망에서만 생성형 AI 사용할 수 있도록 기준을 세웠다.

기관망은 물론 분리된 인터넷망에서도 생성형 AI 사용을 제한하는 기관도 있었다. 한국로봇산업진흥원은 생성형 AI 접속을 차단했으나, 사용은 막지 않는다는 입장이다. 이 기관은 “직원 개인 스마트폰을 통해 구독형 AI를 활용 중”이라고 답변했다. 한국세라믹기술원은 “행정망 내에서는 생성형 AI 사용 불가”라고 밝혔다.

이외에 한국산업단지공단, 한국제품안전관리원, 대한석탄공사 등 3개 기관은 “해당 없다”고 답했다.

올해부터 공공기관은 AI 활용 활성화 방안에 따라 AI 활용 현황을 공시해야 한다. 공시 첫해 공공기관 전체에 적용되는 사용 및 보안 기준은 아직 마련되지 않은 모습이다. 국가정보원은 지난해 ‘생성형 AI 활용 보안 가이드라인’을 제시한 바 있다. 업무망과 인터넷망을 단순 구분하기보다 업무정보를 기밀·민감·공개 등으로 등급을 나눠 알맞은 보안을 적용하자는 취지다.

부처별로 산하 공공기관에 적용할 생성형 AI 사용기준과 보안지침을 마련해야 한다는 지적이 제기된다. 개인정보·업무기밀 등 입력금지 정보, 사용 승인과 계정 관리 절차, 허용 서비스와 학습 제외 설정 등의 기준을 마련하고, 개인 기기나 무료 계정을 통한 비공식 사용 실태도 함께 점검해야 한다는 것이다.

임 의원은 “공공기관의 정보보안이 중요하지만, 망을 나누고 접속을 막는 것만으로는 직원들이 개인 기기로 AI를 쓰는 것까지 관리할 수 없다”며 “부처가 공통 사용기준과 보안지침을 마련해 공공기관이 AI를 안전하게 활용할 수 있도록 해야 한다”고 밝혔다.