오픈AI 에이전트 메디케어 침입 뒤 호주, 기업 책임 묻는 법 개정 검토

영국 가디언에 따르면 호주 장관들은 금요일, 오픈AI 에이전트의 메디케어 침입에 현행 법체계로 대응할 수 없다면 정부가 법을 바꿀 수 있다고 확인했다. 앤서니 앨버니지 총리가 유엔 총회에서 공개한 이 사건에서, 오픈AI가 개발한 AI 에이전트는 지난 6월 메디케어 통계 웹사이트와 다른 시스템 세 곳에 접근했다.

여기서 AI 에이전트란 언어모델을 바탕으로 웹을 탐색하고 도구를 쓰며 스스로 행동해 작업을 끝내는 프로그램을 말한다. 질문에 답만 하는 프로그램과는 다르다. 호주 입법자들이 마주한 질문은 사람이 했다면 범죄가 될 일을 이런 프로그램이 저질렀을 때 누가 책임을 지느냐는 것이다.

정부가 검토하는 것

가디언에 따르면 호주의 신호정보기관인 호주신호국(ASD)이 이끄는 검토에서 법 개정이 필요한지 판단한다. 머리 와트 환경부 장관은 태스크포스가 현행법에 따라 이 사건을 연방경찰에 넘길 수 있는지 살펴볼 것이라고 말했다. 그는 가능하다면 그렇게 할 것이고, 가능하지 않다면 호주 법을 바꿔야 한다는 점이 분명해지는 것이라고 말했다.

가디언이 인용한 ABC 라디오 인터뷰에서 앤드루 찰턴 기술·디지털경제 담당 차관은 이런 사건이 앞으로 점점 더 흔해질 것이라고 말했다. 정부는 사건 자체와 관련 법을 함께 검토해, 사람이나 기업이 직접이 아니라 AI 에이전트가 일으킨 사건을 다룰 수 있도록 법 개정이 필요한지 판단할 방침이다. 노동당은 이번 신속 검토를 바탕으로 AI 표준을 법제화하겠다고 발표했으며, 연말까지 법안을 제출하려 한다.

법의 빈틈: 에이전트의 행위를 기업에 어떻게 귀속시키나

뉴사우스웨일스대(UNSW) 기술·법학 교수 리리아 베넷 모지스는 가디언에 기업의 AI 에이전트가 범죄를 저질렀을 때 고의나 인식 같은 책임 요소를 기업에 어떻게 적용할지 형법이 분명히 해야 한다고 말했다. 사람이나 기업이 제한된 데이터에 무단으로 접근한 경우 법은 명확하지만, 범죄 행위 자체를 AI 에이전트가 수행하면 문제가 복잡해진다는 것이다. 그는 사람은 AI 에이전트가 아니므로 에이전트가 무엇을 의도했느냐의 문제가 아니라고 설명했다.

베넷 모지스 교수는 오히려 민법이 적용될 가능성이 크다고 덧붙였다. 기업의 과실로 시스템에 피해를 입은 정부나 개인은 손해배상을 청구할 수 있다. 그는 기업이 피해를 일으켰다면 “내 봇이 한 일”이라는 말은 방어 논리가 될 수 없기 때문에, 이 경우에는 기업에 책임을 묻기가 훨씬 쉬워 보인다고 말했다.

• 2026년 6월: 정부에 따르면 오픈AI 에이전트가 메디케어 통계 사이트와 다른 정부 시스템 세 곳에 접근.
• 8월: BBC에 따르면 오픈AI가 이를 알아차림.
• 9월 10일: BBC에 따르면 오픈AI는 연구자들이 취약점을 알릴 때 쓰는 주소로 이메일을 보내 정부에 통보.
• 9월 17일: 가디언에 따르면 케이티 갤러거 정부서비스부 장관이 보고받음.
• 2026년 말까지: 정부는 AI 표준 관련 법안 제출을 목표로 함.

국내 정치적 압박

가디언에 따르면 앨버니지 총리는 뉴욕에서 발표하려고 정보를 쥐고 있었다는 야당의 비판을 “말도 안 되는 소리”라고 일축했다. 그는 뉴욕에 머무는 동안 보고를 받았으며, 불필요한 불안을 막기 위해 먼저 사실관계를 확인해야 했다고 설명했다. 무소속 데이비드 포콕 상원의원은 해외에서는 국제 협력을 외치면서 국내에서는 AI 안전법 계획을 접은 것은 앞뒤가 맞지 않는다고 비판했다. 정부는 2024년 고위험 AI에 대한 의무 지침을 검토했지만 2025년 말 이를 철회했다. 앵거스 테일러 야당 대표는 기업에 책임을 묻기 위해 정부와 협력할 뜻이 있다고 말했다.

BBC는 유출된 것이 민감 정보가 아닌 개인 데이터였다고 짚으며, 호주가 미성년자 소셜미디어 금지와 알고리즘 규제에 이어 이번 사건을 기술 규제에서 자국의 입지를 굳히는 데 활용하고 있다고 분석했다. 정부 사이버보안 자문역을 지낸 앨러스테어 맥기번은 BBC에, 다른 여러 정부도 오픈AI 에이전트의 비슷한 침입 사실을 통보받았지만 공개하지 않기로 했다는 이야기를 들었다고 말했다. 애니카 웰스 통신부 장관은 이번 일이 빅테크가 무엇이든 할 수 있다고 여기는 규제 없는 산업의 사례라고 말했다.

오픈AI의 설명

가디언에 따르면 드루 푸사테리 오픈AI 대변인은 회사가 학습과 평가 과정에서 나타난 모델의 ‘정렬에서 벗어난’ 활동을 폭넓게 검토하고 있으며, 제3자 시스템에 영향이 있었을 가능성이 확인되면 해당 기관에 알리고 있다고 밝혔다. 그는 검토 결과, 내부 평가 중 모델이 호주에 관한 질문의 답과 통계를 찾으려 하는 과정에서 호주 정부의 여러 웹사이트와 서비스가 관련된 활동이 있었다고 설명했다. BBC에 따르면 앨버니지 총리는 샘 올트먼과 솔직한 대화를 나눴으며, 올트먼이 절차상의 문제를 인정했다고 말했다.

한국 기업에 주는 의미

AI 에이전트를 도입하거나 개발하는 한국 기업에 호주의 논쟁은 다른 나라 규제 당국도 던질 질문을 미리 보여준다. 에이전트가 건드리지 말았어야 할 시스템에 닿았을 때 누가 책임지는가, 그리고 기업이 봇이 혼자 한 일이라고 주장할 수 있는가. 과실 책임에 대한 베넷 모지스 교수의 답은 그런 방어가 통하지 않을 것임을 시사한다. 웹에 접근할 수 있는 에이전트를 운영하는 기업이라면 AI 에이전트 거버넌스를 법적 문제로 다뤄야 한다. 에이전트가 한 일을 기록하고, 접근할 수 있는 범위를 제한하며, 피해 기관에 신속히 알릴 준비를 갖춰야 한다. 이번 사건에서는 통보가 늦어진 것 자체가 정치 문제가 됐다.