스웨덴 정부청사, 챗GPT·클로드 접속 막고 코파일럿 안내…갈린 기준은 모델 아닌 계약

스웨덴 정부청사(Government Offices)가 직원 업무용 컴퓨터에서 오픈AI의 챗GPT와 앤트로픽의 클로드를 막았다. 대신 마이크로소프트의 코파일럿을 쓰도록 안내했다. 노트북체크(Notebookcheck)에 따르면 차단은 10월 26일(현지시각) 월요일부터 적용됐다.

이유는 정보 보안이다. 정부는 공식 계약 없이 쓰는 AI 서비스가 정보 보안에 영향을 줄 수 있다고 설명했다. 같은 이유로 일부 기관은 이미 비슷한 조치를 취했거나 준비 중이다.

총리실·각 부처 PC에서 브라우저 접속 차단

노트북체크는 스웨덴 라디오(Sveriges Radio)가 처음 보도했다고 전했다. 이 매체에 따르면 월요일부터 두 챗봇의 브라우저 버전에는 직원 컴퓨터로 접속할 수 없다. 정부청사에는 총리실과 각 부처가 포함된다. 정부청사는 스웨덴 공영방송 SVT에 보낸 이메일로 차단 사실을 확인했다.

정부청사 디지털화 담당 책임자 Mikael Wettercrantz는 사내 인트라넷에 글을 올렸다. 노트북체크가 인용한 디크립트(Decrypt) 보도에 따르면 그는 “열린 AI 서비스를 문제적으로 사용한 사례를 여러 건 확인했다”고 적었다. 테크레이더(TechRadar)는 그를 최고정보책임자(CIO)이자 디지털화 책임자로 소개했다. 테크레이더에 따르면 그는 직원들이 승인받지 않은 플랫폼을 쓰는 이른바 ‘섀도 IT’가 “스웨덴의 정보 보안에 영향을 줄 수 있다”고 설명했다.

테크레이더는 이번 조치로 챗GPT와 클로드가 딥시크와 함께 승인되지 않은 AI 도구 목록에 오르게 됐다고 전했다. 스웨덴은 앞서 GDPR(유럽 개인정보보호 규정) 위반 우려를 이유로 딥시크의 정부 업무 사용도 금지한 바 있다고 이 매체는 덧붙였다.

갈린 기준은 모델이 아니라 계약과 설정 통제권

차단 대상에서 빠진 코파일럿은 정부청사가 먼저 검토를 거친 서비스다. 노트북체크에 따르면 정부청사는 코파일럿을 검토한 뒤 서비스의 보안을 강화했다. 이 매체는 코파일럿과 다른 서비스를 가르는 것이 모델 자체가 아니라 계약과 설정에 대한 통제권이라고 짚었다.

테크레이더는 기업 계약이 없을 때 생기는 문제를 구체적으로 설명했다. 공식 업무에서 적절한 기업 계약 없이 AI 서비스를 쓰면 챗봇에 입력한 민감 정보가 개발사로 넘어가 학습에 쓰일 수 있다. 사용 내역을 감사하기도 어려워진다. 유럽 규정으로 보호해야 할 데이터가 미국 데이터센터에서 처리되는 식으로 유럽 경계를 벗어날 위험도 있다.

직원들이 두 챗봇과 완전히 단절되는 것은 아니다. SVT를 인용한 노트북체크 보도에 따르면 직원들은 내부 플랫폼 Intric을 통해 오픈AI와 앤트로픽 모델에 계속 접근할 수 있다. 테크레이더는 정부가 제한된 수의 직원에게 ‘AI 어시스턴트 전용 플랫폼’을 통한 챗GPT·클로드 접근을 허용한다고 전했다.

앤트로픽 모델의 코파일럿 활성화 여부는 확인되지 않았다. 노트북체크에 따르면 마이크로소프트는 코파일럿에서 앤트로픽 모델도 제공하는데 EU에서는 기본값이 꺼짐이다. 관리자가 직접 켜야 쓸 수 있다. 정부청사는 이 모델을 켰는지 밝히지 않았다.

세무청·교통청 등 다른 기관도 비슷한 조치

정부청사가 처음은 아니다. SVT에 따르면 스웨덴 세무청과 청소년 보호시설·중독 치료시설을 운영하는 국가시설관리청에는 이미 비슷한 차단이 있다. 집행청은 자체 결정을 준비하고 있다.

교통청의 내부 감사는 이런 흐름에 근거를 제공했다. 디크립트에 따르면 감사에서 광범위하게 쓰이는 위험한 AI 서비스가 약 10개 확인됐다. 테크레이더는 올해 초 스웨덴 교통청 직원들이 쓰는 AI 도구를 점검했더니 업무에서 ‘문제적’으로 쓰인 사례가 드러났다고 전했다.

스웨덴 밖에서도 비슷한 조치가 있었다. 노트북체크에 따르면 유럽의회는 2월에 업무용 기기의 AI 기능을 꺼 두었다. 데이터 보안을 보장할 수 없다는 이유였다.

테크레이더는 딥시크 사례도 짚었다. 미국은 중국의 데이터 관련 법이 당국의 서버 접근을 허용할 수 있다는 우려로 딥시크 관련 제품과 서비스를 모두 금지했다. 미 국토안보부는 딥시크 플랫폼에 ‘악성코드 및 기타 보안 취약점’이 있을 수 있다고 경고했다.

개인 계정 사용자에게도 남는 질문

노트북체크는 같은 논리가 개인 사용자에게도 적용된다고 짚었다. 일반 계정에서는 입력한 프롬프트가 제공사 서버에서 표준 약관에 따라 처리된다. 기업 계약은 데이터 보관 기간과 처리 장소, 학습 활용 여부를 정할 수 있다.

챗GPT와 클로드의 개인 계정에서는 개인정보 설정이 학습 활용 여부를 좌우한다. 노트북체크는 오픈AI·구글·메타의 AI 학습 거부 방법을 별도 안내 기사로 소개했다. 이 매체는 AI 챗봇 9종의 대화 데이터가 광고 추적기에 전달됐다는 최근 연구 결과도 언급했다.

차단 소식을 처음 전한 스웨덴 라디오와 이를 확인한 SVT의 보도 외에 정부청사가 추가로 밝힌 내용은 없다.