[AI & LAW] 해외 법인의 AI 사용, 본사 승인만으로 충분한가

[아이뉴스24 정종오 기자] 한국 본사가 문서 작성이나 번역을 지원하기 위해 생성형 AI 사용을 승인했다. 그런데 이후 현지 법인이 같은 AI를 채용 지원자의 이력서 평가에 활용하기 시작했다면, 본사가 최초 승인 당시 진행한 검토만으로 충분하다고 볼 수 있을까?

AI의 사용 목적이 문서 작성에서 채용 평가로 바뀌면 AI가 실제 의사결정에 관여하는 방식도 달라지고, 이에 따라 현지 법인에 적용될 수 있는 규제와 필요한 관리 조치도 달라질 수 있다. 따라서 본사는 현지 법인이 AI를 어떤 업무에 사용하는지 파악하고, 당초 승인한 목적과 다른 용도로 사용하려는 경우 변경 내용의 검토와 대응 방안을 마련할 필요가 있다.

AI 거버넌스를 위해 해외 시장에 진출한 기업이 짚어 볼 질문은 세 가지다.

첫째, 현지 법인은 AI를 어떤 업무에 사용하고 있는가?

본사는 AI를 도입할 때 제품의 기능과 공급업체의 보안 수준, 계약조건 등을 검토한다. 도입 당시의 검토만으로는 현지 법인이 AI를 실제로 어떤 업무에 사용하는지 파악하기 어렵다. 예를 들어 같은 AI라도 회의록을 정리하는 데 사용하는 경우와 채용 지원자의 이력서를 분석해 순위를 산출하는 경우 AI는 단순한 업무 보조를 넘어 채용 판단에 관여하게 되기 때문에, 일반적 문서 작성에 사용되는 AI와 다른 규제 검토가 필요할 수 있다.

유럽의 AI 규제도 이러한 차이를 고려해 채용 지원서를 분석 또는 필터링하거나 지원자를 평가하는 AI를 고위험 AI로 분류하고 고위험 AI 제공자에게 위험관리, 평가 기록 제공 등 추가적 의무를 부과한다.

현지 법인은 최종 합격자를 사람이 결정한다는 이유만으로 검토를 끝내서는 안 된다. AI가 채용 절차의 어느 단계에서 사용되는지, AI가 산출한 점수나 순위가 실제 판단에 어떻게 반영되는지를 확인해야 한다.

따라서 본사와 현지 법인은 제품명이나 공급업체 정보에 그치지 않고 실제 사용 현황까지 확인할 필요가 있다. 어느 법인이 어떤 업무에 AI를 사용하는지, AI에 어떤 데이터를 입력하는지, 그 결과가 서류심사나 의사결정 과정의 어느 단계에서 활용되는지를 파악해야 한다. 이러한 정보를 바탕으로 사용 목적에 맞는 규제 검토와 관리 수준을 정할 수 있다.

둘째, AI 사용의 감독 권한은 누구에게 있는가?

현지 법인의 AI 사용 목적을 파악했다면, 다음으로는 누가 AI 사용을 감독하고 문제가 발생했을 때 어떤 조치를 취할 수 있는지 정해야 한다. 외부 공급업체가 AI를 제공한다고 해서 현지 법인의 AI 사용을 모두 관리하는 것은 아니다. 공급업체가 AI를 제공하면서 부담하는 의무와 현지 법인이 이를 실제 업무에 사용하면서 부담하는 의무는 구분할 필요가 있다.

현지 담당자에게 감독 책임을 부여하더라도 실제로 조치할 권한이 없다면 문제가 발생했을 때 대응하기 어렵다. 담당자가 AI의 산출물에서 오류나 차별 가능성을 발견했는데도 산출물의 사용을 보류할 수 없거나, AI 사용을 중단하려면 본사의 별도 승인을 기다려야 한다면 적시에 대응하기 어렵기 때문이다.

따라서 감독 담당자를 지정할 때에는 책임 범위뿐 아니라 결과의 사용을 보류하거나 AI 사용을 중단할 수 있는 권한도 함께 정해야 한다. 오류가 확인되었을 때 결과를 다시 검토할 수 있는지, 사용을 일시 중단할 수 있는지, 중대한 문제가 발생하면 누구에게 보고해야 하는지 구체적으로 정해 둘 필요가 있다.

기업 내부에서도 현지 법인이 AI로 인한 오류나 차별 가능성을 발견했을 때 즉시 취할 수 있는 조치와 본사의 판단이 필요한 사항을 구분해야 한다. 본사는 각 단계에서 누가 어떤 결정을 내릴지를 실제 업무 절차에 반영하고, 현지 법인의 감독 담당자가 AI 산출물의 사용을 보류하거나 시스템 사용을 중단하는 등 필요한 권한을 적시에 행사할 수 있도록 해야 한다.

셋째, AI의 기능이나 사용 방식이 달라지면 누가 다시 검토하는가?

AI 사용을 승인하고 감독할 담당자를 정하는 것만으로 관리가 끝나는 것은 아니다. 공급업체가 모델이나 주요 기능을 변경할 수 있고, 현지 법인이 새로운 유형의 데이터를 AI에 입력하거나 당초 승인한 목적과 다른 업무에 사용할 수도 있기 때문이다. 따라서 최초 도입 당시의 검토 결과를 이후에도 그대로 적용할 수 있는지 판단하려면 AI의 기능과 실제 사용 방식에 어떤 변화가 있었는지 확인할 필요가 있다.

AI 사용 변경을 적시에 확인하려면 본사와 현지 법인이 어떤 사항을 보고 대상으로 삼을지 미리 정해 둘 필요가 있다. 현지 사업부서가 새로운 업무에 AI를 사용하거나 AI가 분석하는 데이터의 범위를 확대하는 경우에는 법무·컴플라이언스 부서에 알리고, 필요한 경우 기존 승인 내용을 다시 검토하도록 해야 한다. 아울러, 새로운 국가에서 사용을 시작하거나 서비스 이용 대상을 확대하는 경우에도 같은 절차를 적용할지 정해 둘 필요가 있다.

공급업체의 시스템 변경을 확인할 수 있는 계약상 절차도 마련해야 한다. 공급업체가 모델이나 주요 기능을 변경하면 AI의 성능뿐 아니라 그 결과를 업무에 활용하는 방식과 기업의 관리 조치에도 영향을 줄 수 있다. 현지 법인이 변경 사실을 제때 알지 못하면, 변경된 기능이 기존 승인 범위에 포함되는지 또는 추가적인 검토가 필요한지를 판단하기 어렵다.

따라서 계약을 체결할 때에는 공급업체가 모델이나 주요 기능의 변경을 언제, 어떤 방식으로 통지할지 정해 둘 필요가 있다. 알려진 한계나 오류에 관한 정보를 제공받을 수 있는지, 문제가 발생했을 때 원인 조사에 필요한 로그와 자료를 확보할 수 있는지도 확인해야 한다.

체계적 AI 거버넌스가 필요하다

앞서 살펴본 바와 같이 해외 진출 기업의 AI 거버넌스는 본사의 최초 승인만으로 완성되지 않는다. 본사가 최초로 AI를 도입하고 사용 방안에 대한 정책과 기준을 마련하면 현지 법인은 그 기준에 따라 AI를 활용하고, 최초사용 목적이나 처리 대상 데이터가 달라졌는지 지속적으로 점검해야 한다. 결국 해외 진출 기업의 AI 거버넌스는 AI의 사용 방식과 그 변화를 지속적으로 파악하고 관리할 수 있는 체계를 마련하는 것이 관건이라 할 수 있다.

전민규 미국 변호사(법무법인 화우) mgjun@yoonyang.com