"이거 챗GPT에 물어보면 안 되요?"…공공 초거대 AI 활용 가이드 곧 나온다

많은 대기업·병원이 정보 유출 우려로 챗GPT 차단...ICT 기업은 제휴·가이드라인 통해 허용

공공은 공공망 구축 형태로 생성 AI 허용 가닥, AI 버전 CSAP 도입 논의도

박윤규 과학기술정보통신부 제2차관이 13일 오후 서울 송파구 이글루코퍼레이션에서 열린 '생성형AI 보안 위협 대응 방안 토론회' 에서 인사말을 하고 있다. [사진=과학기술정보통신부]

과학기술정보통신부, 국가정보원 등 정부 부처가 챗GPT로 인해 촉발된 생성 인공지능(AI) 시대 보안 위협에 효과적으로 대응하기 위해 관련 입법에 속도를 낸다. 미국 기업뿐 아니라 국내 대기업도 민감 정보 유출 우려로 사내에서 챗GPT에 접근하는 것을 막은 것과 달리 정부는 공공기관에 생성 AI 활용을 허용하면서 부작용을 최소화하는 방향으로 정책 설정을 할 전망이다.

13일 과기정통부는 박윤규 2차관 주재로 국내 정보보호 기업, 학계 전문가들과 함께 챗GPT 등 생성 AI 보안 위협 대응 방향 모색을 위한 토론회를 개최했다.

국내 보안기업인 이글루코퍼레이션에서 진행된 이번 행사에서 보안업계 전문가들은 생성 AI가 보안업계에 위협과 기회를 동시에 가져올 것이라고 입을 모았다. 

이상근 고려대 사이버국방학과 교수는 "원래 60의 능력이 있는 보안 전문 인력이 챗GPT를 활용하면 100의 능력을 낼 수도 있다. 하지만 유해한 정보 생성을 막는 챗GPT의 보안장치를 우회하면 보안 취약점을 공격하는 악성코드를 손쉽게 만들 수도 있다"며 생성 AI가 보안업계에 가져온 변화에 대해 설명했다.

많은 대기업이 챗GPT에서 가장 우려하는 문제는 생성 AI가 기업의 민감 정보를 학습하고 이를 외부인에게 무분별하게 알려주는 것(이른바 프롬프트 유출)이다. 특정 기업에 대한 질문을 계속해 챗GPT가 학습한 기업 내부 정보에 대한 단서를 찾고 더 자세한 질문을 계속해 기업 내부 정보를 캐내는 방식이다. 이를 막기 위해 삼성전자, SK하이닉스, 포스코, 삼성서울병원 등 상당수 국내 대기업과 대학병원은 사내에서 챗GPT 접속을 차단하는 강수를 뒀다. 반면 SK텔레콤, KT, 네이버, 카카오 등 ICT 기업은 오픈 AI와 제휴 또는 내부 가이드라인 제정 등을 통해 챗GPT를 업무에 활용하도록 허용했다.

박환석 KT 정보보안단 IT부문 상무는 "KT는 사내 챗GPT 활용을 위해 오픈AI·마이크로소프트와 입력 데이터를 AI 학습에 활용하지 않도록 하는 기업용 계약을 맺었다"며 "다만 암호화돼 보관 중인 기업·개인 데이터를 챗GPT에 물어보는 부분은 여전히 부담이 크며 이 부분도 암호화하는 방안을 찾고 있다"고 설명했다. SKT도 같은 계약을 맺은 것으로 알려졌다.

네이버와 카카오는 사내 개발자들이 챗GPT를 활용할 때 입력해선 안 되는 정보가 무엇인지 활용 가이드라인을 제정했으며 모호한 정보는 보안 부서에서 검토를 받도록 했다. 8월 말 공개 예정인 네이버 초거대 AI인 '하이퍼클로바X'는 이용자의 질문 데이터를 AI 모델 학습에 활용하지 못하도록 선택지를 제공할 계획이다.

정부 등 공공부문 역시 ICT 기업처럼 챗GPT를 업무에 활용하는 것을 허용하기로 가닥을 잡았다. 정부는 이날 토론회에서 건의된 내용을 바탕으로 민간에서 생성 AI를 안전하게 활용할 수 있는 방안을 찾고 이르면 올 하반기 입법 정책에 반영할 계획이다. 박윤규 차관은 "(민간이) 생성 AI를 안전하게 활용할 수 있도록 생성 AI 보안 위협 대응 방안을 모색하겠다"며 "산학연이 협력해 생성 AI를 적극 활용한 사이버 보안 체계를 마련하기를 기대한다"고 말했다.

오중효 금융보안원 데이터혁신센터장은 "공공 부문에서 안전하게 생성 AI를 활용하도록 하기 위해 '클라우드보안인증제도(CSAP)'처럼 최소한의 보안성을 제도적으로 담보할 수 있는 인증 제도를 도입하는 방안도 검토할 필요가 있다"고 주장했다.

공공 보안과 관련한 주무 부처인 국정원은 생성 AI 기술을 활용하는 과정에서 발생할 수 있는 공공·민간 보안 문제를 예방하기 위한 가이드라인을 이달 중 배포한다. 국가보안기술연구소와 학계 전문가가 만드는 이번 가이드라인에는 공공기관에 생성 AI 활용을 허용하되 외국 기업 클라우드에 있는 AI 대신 공공망에 자체 구축한 AI를 활용하도록 유도하는 내용이 담길 것으로 알려졌다.