Mapping General-Purpose AI Governance in Twenty AI Middle-Power Jurisdictions

가장 강력한 인공지능 시스템이 단 두 곳에서만 만들어지지만, 그 영향력은 전 세계 모든 국가로 파급되는 세상을 상상해 보십시오. '범용 인공지능(general-purpose AI)'이라 불리는 이 시스템들은 우편물을 분류하거나 얼굴을 인식하는 것과 같은 단순한 작업만을 위해 설계된 도구가 아닙니다. 대신, 이들은 코드 작성부터 생물학적 과정의 시뮬레이션에 이르기까지 거의 모든 것을 학습할 수 있는 방대하고 유연한 엔진입니다. 이처럼 적응력이 뛰어나기 때문에 이들은 독특한 위험을 수반합니다. 위험한 무기를 만들거나, 사이버 공격을 개시하거나, 인간이 통제할 수 없는 방식으로 행동할 수도 있기 때문입니다. 이러한 시스템을 구축하는 기업들은 몇몇 국가에 집중되어 있지만, 나머지 전 세계 국가들은 이들과 함께 살아가는 방법을 찾아내야 합니다. 이것이 연구자들이 'AI 중견국(AI middle-powers)'이라 부르는 국가들이 직면한 과제입니다. 이들은 스스로 이러한 프런티어 모델을 구축하지는 않지만, 자국 내에서 이 기술이 어떻게 사용되고, 판매되며, 모니터링되는지를 규제해야 하는 국가들입니다.

한 연구팀은 20개국이 이 문제를 어떻게 다루고 있는지 지도를 그려보기로 했습니다. 그들은 광범위한 정치적 성명이나 모호한 약속을 살피지 않았습니다. 대신, 실제로 어떤 규칙이 작성되었는지 확인하기 위해 실제 법률, 규정 및 공식 지침 문서를 깊이 파고들었습니다. 그들은 안전 확보를 위해 반드시 점검해야 할 네 가지 특정 영역에 집중했습니다: 시스템 출시 전 거시적 위험 점검, 시스템이 실제로 무엇을 할 수 있는지에 대한 테스트 및 검증, 위험한 용도나 기능의 금지, 그리고 심각한 사고 발생 시의 보고입니다. 수백 권의 문서를 정독함으로써, 그들은 글로벌 AI 거버넌스의 상세한 풍경을 구축했습니다.

그들이 발견한 것은 '형식은 있으나 힘은 없는' 이야기였습니다. 연구 대상인 20개국 전반에 걸쳐 규칙의 '형태'에 대해서는 명확한 합의가 존재했습니다. 거의 모든 국가가 동일한 네 가지 안전 영역을 다루려 노력하고 있습니다. 모두가 리스크 평가, 테스트, 금지, 그리고 보고에 대해 이야기하고 있습니다. 그러나 그들은 그 규칙들을 실질적으로 작동하게 만드는 데는 실패하고 있습니다. 연구자들은 많은 국가가 이러한 요구 사항을 문서화했지만, 이를 실제로 집행할 수 있는 구속력 있는 법률로 전환한 경우는 매우 적다는 사실을 발견했습니다. 실제로 그들이 발견한 규칙 중 '강제성 있는 법률(hard law)'로 작성된 것은 약 22%에 불과했습니다. 나머지는 기업이 무시할 수 있는 연성 가이드라인, 전략 또는 자율 규약이었습니다. 더욱 놀라운 점은, 국가들이 구속력 있는 법을 통과시킬 때조차 '범용 인공지능'이 정확히 무엇인지 정의하지 않는 경우가 많다는 것입니다. 그들은 기술의 범주에 대한 규칙을 만들면서도, 그 범주에 무엇이 포함되는지를 명확히 밝히지 않습니다. 이는 기업이 자신의 강력한 새로운 모델이 해당 정의에 부합하지 않으므로 규칙을 따를 필요가 없다고 주장할 수 있는 틈을 남깁니다.

이 국가들이 규칙을 집행하는 방식은 또 다른 복잡성의 층위를 드러냅니다. 대부분의 경우, 규칙의 대상은 AI 모델을 만드는 기업이 아닙니다. 대신 법은 모델을 사용하는 사람, 모델을 호스팅하는 플랫폼, 또는 모델을 구매하는 정부 기관을 겨냥합니다. 이는 연구 대상 국가들이 가장 진보된 AI를 만드는 기업들을 보유하고 있지 않기 때문에 발생하는 현상입니다. 그들은 외국 기업들에게 코드를 수정하도록 강요하거나 검사를 받도록 쉽게 강제할 수 없습니다. 따라서 그들은 자국 시장 내에서 기술이 어떻게 배치되는지를 규제함으로써 기술을 통제하려 합니다. 예를 들어, 한 국가는 은행이 AI 도구를 사용하기 전에 테스트하도록 요구하거나, 병원이 AI의 실수에 대해 보고하도록 요구할 수 있습니다. 이 접근 방식은 실용적이기는 하지만, 안전망이 기술 자체가 아닌 기술의 '적용' 주위에 짜여 있다는 것을 의미합니다.

연구자들은 또한 누가 점검을 수행하는지도 살펴보았습니다. 많은 경우, AI를 테스트할 책임을 맡은 기관은 금융을 규제하거나 데이터를 보호하기 위해 만들어진 기존의 다른 목적을 가진 기관들입니다. 이러한 기존 기관들은 AI 감독을 위한 특정한 기술적 권한을 갖추지 못한 채 AI 감시 업무를 맡게 됩니다. 나아가, 일부 국가가 AI를 평가하기 위해 구축한 새로운 안전 연구소들은 위험한 시스템을 발견하더라도 이를 중단시킬 권한이 없는 경우가 많습니다. 그들은 위험을 측정하고 보고서를 발행할 수는 있지만, 개발자에게 문제를 해결하도록 강제할 수는 없습니다. 이는 마치 소방서가 건물이 얼마나 뜨거운지 측정하고 위험에 대한 보고서를 쓸 수는 있지만, 건물주에게 스프링클러를 설치하거나 건물을 폐쇄하라고 명령할 권한은 없는 것과 같습니다.

아마도 가장 중요한 발견은 사고 보고에 관한 것입니다. 심각한 피해가 발생했을 때, 누가 당국에 알려야 합니까? 연구 결과, 조사 대상 국가 중 절반은 심각한 AI 사건을 보고하도록 요구하는 규칙이 전혀 없는 것으로 나타났습니다. 그러한 규칙이 존재하는 국가에서도 지침이 불완전한 경우가 많았습니다. 규칙이 "사고를 보고하라"고 명시하면서도, 누구에게 보고해야 하는지, 얼마나 빨리 해야 하는지, 혹은 아무도 보고하지 않을 경우 어떻게 되는지에 대해서는 말하지 못하는 식입니다. 이 네 가지 요소—수신자, 트리거(발생 조건), 기한, 그리고 결과(처벌)—가 없다면 보고 규칙은 그저 제안에 불과합니다. 연구자들은 이것이 사각지대를 만든다고 지적했습니다. 만약 AI 시스템이 즉각적인 데이터 유출이나 재정적 손실을 일으키지 않는 방식으로 실패한다면, 장기적인 피해가 심각하더라도 보고되지 않을 수 있기 때문입니다.

본 논문은 더 많은 법률이 더 나은 안전을 의미한다는 생각에 의문을 제기했습니다. 일부 국가는 수십 개의 문서와 가이드라인을 만들어내어 두꺼운 서류 층을 형성했습니다. 그러나 연구자들이 그 문서들의 법적 힘을 살펴보았을 때, 많은 문서이 구속력이 없다는 것을 발견했습니다. 반대로, 문서의 수는 적지만 엄격하고 집행 가능한 법을 통과시킨 국가들도 있었습니다. 이 연구는 한 국가가 보유한 규칙의 수가 그 국가의 AI 환경이 실제로 얼마나 안전한지를 보여주는 좋은 지표가 아니라는 점을 보여주었습니다. 중요한 것은 규칙이 집행 가능한 방식으로 작성되었는지, 그리고 그 규칙이 적절한 사람들에게 닿느냐 하는 것입니다.

결국, 이 연구가 그려낸 지도는 기술의 속도가 법보다 빠르게 움직이는 현실 속에서 뒤처지고 있는 세상을 보여줍니다. 20개국은 안전의 '용어'에는 합의했습니다. 그들은 모두 리스크를 평가하고, 시스템을 테스트하며, 나쁜 사용을 금지하고, 사고를 보고해야 한다는 점을 알고 있습니다. 그러나 그들은 그 단어들의 '힘'에 대해서는 아직 합의하지 못했습니다. 규칙은 종종 모호하고, 정의는 누락되어 있으며, 집행 메커니즘은 취약합니다. 연구자들은 세계가 단일한 국제 규칙에 합의하기 전에, 이 개별 국가들이 먼저 자국 시스템의 틈새를 메워야 한다고 제언합니다. 그들은 정확히 무엇을 규제할 것인지 결정하고, 안전 기관에 행동할 수 있는 권한을 부여하며, 문제가 발생했을 때 실제로 책임을 물을 수 있는 체계를 갖추어야 합니다. 그때까지 인공지능을 위한 글로벌 안전망은 선의로 짜여 있으나, 그것이 보호하고자 하는 기술의 무게를 견뎌낼 힘이 부족한, 구멍이 숭숭 뚫린 상태로 남아 있을 것입니다.