회사 문서에는 문서보안(DRM)이 걸려 있고, 장비는 인터넷이 영구 차단된 내부망에 있었다. 문서를 장비에 넣을 공식 경로가 없어 궁리 끝에 나온 아이디어가 회사 PC에서 이메일로 파일을 보내는 방법이었다고 한다. 최첨단 AI를 다루는 프로젝트의 병목이 파일 하나 옮기는 일이라는 사실이 낯설게 들릴지 모르지만, 지금 이 순간 전국의 연구소와 기업에서 똑같은 장면이 반복되고 있다.
여기에 책임 구조가 겹친다. 국내 공공기관과 금융기관에서 보안 담당자가 살아남는 길은 사고를 막는 것이 아니라, 사고가 났을 때 규정을 다 지켰음을 입증하는 것이다. 망분리와 문서보안은 방어 도구이기 이전에 완벽한 면책 도구다. 인터넷도 끊었고 문서도 암호화했다는 것만큼 강력한 알리바이는 없다. 반면 상황에 맞게 판단하고 설계하는 보안은 사고가 나면 왜 그렇게 했느냐는 추궁을 남긴다. 판단에 대한 보상은 없고 처벌만 있는 구조에서는 가장 경직된 통제가 언제나 이긴다.
그 비용은 보안 예산이 아니라 생산성으로 지불된다. 두 대의 PC, 자료 전송 대기, 협업 도구의 부재, 그리고 이제는 AI 활용의 원천 차단까지. 더 역설적인 것은 공식 경로가 막힐수록 이메일 반출이나 화면 촬영 같은 그림자 경로가 늘어나 실질 보안이 오히려 나빠진다는 점이다. 앞의 연구소 사례가 정확히 그렇다. 규정은 완벽하게 지켜지고 있는데, 현장에서는 아무도 통제하지 못하는 우회로가 자라난다.
흥미로운 것은 15년 가까이 어떤 보안 논쟁도 흔들지 못한 이 체제에 균열을 낸 것이 보안 논리가 아니라 AI였다는 사실이다. 망분리 환경에서는 생성형 AI를 쓸 수 없다는 것이 명백해지자 금융위원회는 2024년 8월 망분리 개선 로드맵을 발표하며 자율보안과 결과책임이라는 원칙을 내걸었다.
국가정보원도 기밀, 민감, 공개로 정보 등급을 나누고 등급에 따라 보안을 차등 적용하는 국가 망 보안체계(N2SF)로의 전환을 추진하고 있으며, 2026년 들어 공공기관 실증 사례가 축적되는 단계에 이르렀다. 지난해 통신과 금융에서 이어진 대형 보안 사고들이 차단 위주 정책의 한계를 드러낸 것도 전환을 재촉했다. 세계적 흐름인 제로 트러스트, 즉 경계가 아니라 신원과 데이터를 중심에 두는 보안으로의 이동이 한국에서도 마침내 시작된 셈이다.
같은 일이 문서에서도 벌어지고 있다. 앞의 연구원들이 문서를 장비에 넣는 데 성공하더라도 그다음에 만나는 벽이 있다. 문서의 상당수가 아래아한글, 즉 hwp 파일이라는 것이다.
1989년 태어난 아래아한글은 한국 소프트웨어 산업의 자부심이자, 30년 넘게 정부 공식 문서의 사실상 표준으로 군림해 왔다. 민원 서식도, 보도자료도, 연구 보고서도 hwp였다. 워드도 PDF도 바꾸지 못한 이 관행은 국제 표준과 동떨어진 폐쇄형 포맷이라는 비판 속에서도 요지부동이었다. 그런데 그 벽에 금을 낸 것 역시 개방성 논쟁이 아니라 AI였다.
대통령이 직접 정부 업무보고에서 공문서는 가장 양질의 데이터 자산인데 대부분 아래아한글로 작성돼 AI가 읽지 못한다고 지적했고, 국가인공지능전략위원회와 행정안전부는 올해 정부 문서유통 시스템에서 hwp 첨부를 단계적으로 제한하고 AI가 분석할 수 있는 개방형 포맷인 hwpx로 일원화하는 조치를 내놓았다. 지난 5월부터 중앙부처와 지방자치단체의 온나라시스템에 이 조치가 전면 적용됐고, 공직자 메일 시스템도 오는 10월부터 뒤를 따른다. 30년 관행이 무너지는 데 필요했던 것은 결국 AI가 못 읽는다는 한마디였다.
망분리와 아래아한글은 닮은꼴이다. 하나는 네트워크의 갈라파고스였고 하나는 문서의 갈라파고스였다. 둘 다 나름의 역사적 맥락에서 출발했고, 한번 규정과 관행으로 굳어진 뒤에는 어떤 논리로도 움직이지 않았다. 그런데 AI를 쓸 수 없다는 사실이 확인되는 순간 둘 다 움직이기 시작했다. 보안 논리도 개방성 논리도 하지 못한 일을 AI가 해낸 것이다.
이는 AI가 특별히 강력한 논리여서가 아니라, AI 활용이 국가 경쟁력의 문제로 격상되면서 현상 유지의 비용이 처음으로 변화의 비용을 넘어섰기 때문일 것이다. 갈라파고스는 논리가 아니라 비용 앞에서만 문을 연다.
그러나 제도는 문서 한 장으로 바뀌어도 사람을 움직이는 셈법은 그렇지 않다. 판단했다가 사고가 나면 내 책임이라는 계산이 그대로인 한, 현장은 새 제도 아래에서도 가장 방어적인 해석을 택할 것이다. 포맷이 바뀌어도 첨부 관행과 서식 문화가 그대로면 데이터의 개방은 서류상의 개방에 그친다. 자율보안이 진짜로 작동하려면 결과책임 못지않게 합리적 판단에 대한 면책이 함께 설계되어야 한다. 사고 제로가 아니라 위험의 합리적 관리를 성과로 인정하는 문화 말이다.
연구소의 세 연구원은 오늘도 문서 반입 경로를 고민하고 있을 것이다. 클라우드 AI를 쓸 수 없으니 사내에 AI를 직접 들여오겠다는 그들의 시도는, 어찌 보면 망분리 체제가 낳은 한국 특유의 우회 혁신이다. 그 창의성이 규제를 우회하는 데가 아니라 연구 자체에 쓰이는 날이 와야 한다. 벽에 문을 내는 일은 벽을 세우는 일보다 훨씬 정교한 기술을 요구한다. 절대 바뀌지 않을 것 같던 벽들이 지금 하나씩 흔들리고 있다. 한국이 이제 증명해야 할 것은 벽을 쌓는 능력이 아니라 문을 설계하는 능력이다.
※외부필자의 칼럼은 본지의 편집방향과 다를 수 있습니다.
최윤석 마이크로소프트 Tech PM journalist@ilyo.co.kr