[현장] AI 시대 오픈소스 리스크 커진다…"거버넌스·공급망 관리 강화해야"

OSBC 오픈소스·AI 컨퍼런스 개최…AI 시대 법률·보안 리스크 대응 논의

(지디넷코리아=한정호 기자)인공지능(AI)이 산업 전반을 핵심 기술로 자리 잡으면서 오픈소스 관리와 소프트웨어 공급망 보안(SBOM)이 기업 경쟁력을 좌우하는 핵심 과제로 떠오르고 있다. 생성형 AI 확산으로 개발 생산성은 높아졌지만 저작권 분쟁과 라이선스 위반, 보안 취약점 등 새로운 위험도 함께 커지면서 체계적인 거버넌스 구축이 필요하다는 목소리가 나온다.

김택완 OSBC 대표는 11일 서울 강남구 더라움에서 개최한 '오픈소스·AI 컨퍼런스'에서 "오픈소스는 이제 산업 경쟁력을 좌우하는 핵심 자산"이라며 "AI와 오픈소스는 더 이상 분리해서 생각할 수 없는 하나의 생태계가 됐다"고 강조했다.

올해로 15회를 맞은 이번 행사는 'AI와 오픈소스의 연결, 글로벌 오픈소스 거버넌스'를 주제로 열렸다. 행사에는 율촌·LG AI연구원·삼성전자·카카오·안랩 등 국내 주요 기업·기관과 일본 소니 OSPO, 사이버트러스트재팬, 인사이너리 등 해외 전문가들이 참석해 AI 저작권 분쟁과 SBOM, 글로벌 규제 대응, 오픈소스 거버넌스 구축 전략 등을 공유했다.

김택완 OSBC 대표 (사진=지디넷코리아)

"AI 성장 다음 과제는 기술 아닌 법과 규제"

첫 기조연설에 나선 임형주 율촌 AI DC센터장은 AI 산업이 기술 발전 단계를 넘어 법·제도 검증 국면에 들어섰다고 진단했다. 또 가트너 하이프사이클을 언급하며 생성형 AI와 파운데이션 모델이 기대 정점을 지나 이른바 '캐즘(Chasm)' 구간에 진입하고 있다고 분석했다. AI 산업의 다음 성장 과제는 기술 성능이 아니라 법적 리스크와 규제 대응이라는 설명이다.

임 센터장은 "전기차가 인프라 문제로 캐즘을 겪었다면 AI는 저작권과 각종 규제 문제로 캐즘을 맞이할 가능성이 높다"며 "우리나라 AI 기본법이 시행되면서 그동안 잠재돼 있던 법적 리스크가 현실화될 것"이라고 말했다.

임형주 율촌 AI DC센터장 (사진=지디넷코리아)

실제 미국에선 AI 관련 저작권 소송이 최근 2년 사이 두 배 가까이 증가했다. 게티이미지와 스태빌리티 AI 분쟁, 뉴욕타임스와 오픈AI 소송 등 AI 학습 데이터 활용을 둘러싼 법적 공방도 확대되는 양상이다.

임 센터장은 "현재 미국에선 생성형 AI 학습 과정에 대한 판결들이 점차 나오고 있지만 국내에는 아직 명확한 판례가 없는 상황"이라며 "올해 말이나 내년께 나올 방송사와 플랫폼 사업자 간 학습 데이터 관련 소송 결과가 국내 AI 저작권 분쟁의 중요한 기준점이 될 수 있다"고 설명했다.

이어 "AI 산업 발전과 창작자 권리 보호 사이의 균형점을 찾는 과정이 앞으로 가장 중요한 과제가 될 것"이라며 "기업들은 데이터 확보 단계부터 저작권과 개인정보, 영업비밀 문제를 함께 검토해야 한다"고 덧붙였다.

"AI가 만든 코드에도 오픈소스 라이선스 책임 따른다"

이어진 기조연설에선 마이크 피텐저 인사이너리 최고전략책임자(CSO)가 생성형 AI 기반 코드 개발 과정에서 발생할 수 있는 새로운 오픈소스 위험을 소개했다. 그는 생성형 AI가 오픈소스 코드 일부를 재생산하면서 개발자들이 인지하지 못하는 '숨겨진 의존성' 문제가 빠르게 확산되고 있다고 지적했다.

피텐저 CSO는 "AI는 오픈소스 코드를 학습해 유사한 코드 조각을 생성할 수 있는데 이 경우 기존 소프트웨어 구성 분석(SCA) 도구로는 탐지하기 어렵다"며 "결과적으로 라이선스 의무를 위반하거나 지식재산권(IP) 분쟁에 휘말릴 위험이 커질 수 있다"고 짚었다.

마이크 피텐저 인사이너리 CSO (사진=지디넷코리아)

또 그는 연구 결과를 인용하며 AI가 생성한 코드 상당수에서 선언되지 않은 오픈소스 코드 조각이 발견됐다고 설명했다. 특히 AI가 생성한 애플리케이션의 경우 절반이 넘는 파일에서 오픈소스 코드 조각이 포함된 사례도 확인됐다고 소개했다. 이는 AI가 생성한 코드 안에 어떤 오픈소스 코드가 섞여 있는지 개발자가 인지할 수 없음을 시사한다.

피텐저 CSO는 "라이선스 위반은 코드 전체를 사용했는지 일부만 사용했는지와 관계없이 동일하게 적용된다"며 "AI가 생성한 코드라 하더라도 기업은 해당 코드의 출처와 라이선스를 검증해야 할 책임이 있다"고 말했다.

그러면서 "AI 도입은 선택이 아니라 필수지만 위험 관리 역시 선택이 아니다"라며 "거버넌스 체계와 개발 프로세스, 기술적 통제를 함께 강화해야만 AI 시대의 오픈소스 리스크를 효과적으로 관리할 수 있다"고 강조했다.

한정호 기자(jhh@zdnet.co.kr)