대륙아주·린·딜로이트 안진 AI 인증 협력, 심사 독립성이 관건

규제 대응이 인증 서비스로 이어질 때

최근 보도에 따르면 법무법인 대륙아주와 린, 딜로이트 안진이 AI 규제 대응과 기업 인증체계 구축을 위해 협력한다. 이번 소식에서 눈여겨볼 대목은 법률·회계 분야의 전문성이 AI 컴플라이언스라는 서비스로 연결된다는 점이다. 컴플라이언스는 기업이 관련 규범을 지키도록 업무와 관리 절차를 갖추는 활동을 뜻한다. 다만 협력 소식만으로 인증의 구체적인 기준이나 효력을 판단하기는 어렵다.

분석의 초점은 인증 사업의 등장 자체보다 기업이 무엇을 믿고 비용을 지불할 것인가에 있다. AI 도입 기업에는 복잡한 요구사항을 정리해 줄 전문 서비스가 도움이 될 수 있다. 거래 상대방도 인증을 공급업체 검토의 참고자료로 활용할 가능성이 있다. 그만큼 인증이 어떤 절차를 거쳐 발급되는지 설명되지 않으면, 구매자는 표시가 주는 인상에 기대어 실제 확인해야 할 내용을 놓칠 수 있다.

자문과 심사의 관계를 묻는 이유

인증의 신뢰를 따질 때 먼저 볼 것은 자문과 심사의 관계다. 일반적으로 개선 방법을 알려주는 역할과 그 개선이 충분했는지 판정하는 역할에는 서로 다른 판단이 필요하다. 같은 조직이나 협력망이 두 역할을 맡는다면 자기 조언의 성과를 스스로 평가할 여지가 생긴다. 이는 이번 협력에 문제가 있다는 뜻이 아니라, 앞으로 공개될 인증체계에서 이해관계를 어떻게 관리하는지 살펴야 한다는 분석이다.

기업이 인증 서비스를 검토한다면 계약 전에 자문 담당자와 심사 담당자가 구분되는지, 최종 판정을 누가 내리는지 물어볼 필요가 있다. 불합격이나 보완 요구에 이견이 있을 때 별도의 검토를 받을 수 있는지도 중요하다. 조직이 다르다는 설명만으로 충분하다고 보기는 어렵다. 심사 결과에 개입할 수 있는 권한과 이의 검토 절차가 문서로 정리돼 있어야 구매자가 서비스의 신뢰성을 비교하기 쉽다.

인증 마크보다 계약 범위를 확인하자

다음으로 확인할 것은 인증의 대상이다. 일반적인 인증을 이해할 때는 회사 전체의 관리체계를 살핀 것인지, 특정 AI 서비스나 업무 절차를 살핀 것인지 구분하는 편이 유용하다. 일부 업무에 대한 점검 결과가 회사의 모든 AI에 대한 보증처럼 받아들여지면 기대와 실제 범위가 어긋날 수 있다. 기업 구매자는 인증서와 설명 자료에 대상 서비스, 적용 조직, 제외 항목이 구체적으로 적혀 있는지 확인해야 한다.

인증의 효력도 범위와 함께 살펴야 한다. 인증 취득을 모든 규제에 대한 대응이 끝났다는 의미로 해석하지 않는 것이 합리적이다. 어떤 기준에 따라 무엇을 확인했는지부터 읽어야 한다는 뜻이다. 특히 거래 계약에 인증 보유를 조건으로 넣으려는 기업이라면, 인증기관의 설명과 계약상 요구사항이 맞는지 대조할 필요가 있다.

확인하지 않은 영역까지 보증받았다고 생각하면 분쟁이 생겼을 때 책임에 대한 기대도 달라질 수 있다.

취득 이후에도 설명이 이어져야 한다

분석상 AI 인증은 발급 시점 이후의 변화도 다룰 필요가 있다. 기업이 사용하는 모델이나 데이터, 서비스의 용도가 바뀌면 이전 점검의 전제가 달라질 수 있기 때문이다. 인증을 구매하는 기업은 어떤 변경을 알리고 언제 다시 심사를 받아야 하는지 확인하는 편이 좋다. 최초 비용뿐 아니라 갱신과 추가 심사에 드는 부담까지 비교해야 인증을 유지하는 데 필요한 예산과 담당 업무를 현실적으로 정할 수 있다.

개인 이용자에게도 확인할 지점은 있다. 서비스에 인증 표시가 있다면 무엇을 대상으로 받은 인증인지, 현재도 유효한지 설명을 찾아보는 것이다. 설명이 없다면 고객 문의를 통해 확인할 수 있다. 앞으로 AI 인증 시장의 신뢰는 참여 기관의 명성뿐 아니라 심사의 독립성과 한계를 얼마나 공개하는지에 따라 달라질 것으로 전망된다. 기업에는 인증 취득 자체보다

그 내용을 거래 상대와 이용자에게 정확히 설명하는 준비가 필요하다.