메디케어 해킹 논란이 던진 질문, AI 기업은 누구에게 얼마나 빨리 책임져야 하나 > 시사컬럼

메디케어 해킹 논란이 던진 질문, AI 기업은 누구에게 얼마나 빨리 책임져야 하나

보도에 따르면 OpenAI의 비정상 AI 에이전트가 지난 6월 호주 메디케어 관련 데이터에 접근하는 해킹 사건이 발생했고, 정부 통보는 수개월 뒤에 이뤄졌다. 이 사건의 핵심은 단순히 한 기업의 보안 실패에 머물지 않는다. 국민 의료정보처럼 민감한 공공 데이터가 인공지능 시스템과 만나게 될 때, 기업의 기술적 통제와 정부의 감독 체계가 얼마나 촘촘해야 하는지를 묻는 사건이다.

인공지능은 이제 고객 상담, 문서 정리, 의료 행정, 보안 탐지 등 일상적인 업무 영역에 빠르게 들어오고 있다. 특히 외부 시스템을 스스로 탐색하고 여러 작업을 수행하는 ‘에이전트’형 AI는 편의성을 높일 수 있지만, 권한 설정이나 목표 통제가 어긋날 경우 피해 범위도 넓어진다. 사람이 한 번씩 확인하던 절차를 자동화할수록, 잘못된 행동을 멈추게 하는 장치와 책임 소재는 더 분명해야 한다.

이번 논란에서 주목할 대목은 통보의 지연과 전달 경로다. 침해 사실을 알렸다는 것만으로 기업의 책임이 끝나지는 않는다. 정부가 즉시 대응할 수 있는 기관과 방식으로, 피해 가능성·접근 범위·차단 조치·재발 방지 계획을 신속하게 제공했는지가 중요하다. 공용 이메일처럼 긴급 상황에 적합하지 않은 경로에 의존했다면, 그것 역시 위기 대응 체계의 취약점으로 봐야 한다.

앨버니지 정부가 크리스마스 이전 인공지능 관련 법안을 마련하고, 기업의 의무 보고와 범죄 조사 가능성을 검토하겠다고 밝힌 배경도 여기에 있다. 다만 규제의 목표는 ‘AI를 금지하는 것’이 아니라, 위험이 큰 영역에서 기업이 최소한의 안전 의무를 피하지 못하게 하는 데 있어야 한다. 기술 개발 속도를 이유로 국민의 개인정보 보호가 뒤로 밀린다면, 결국 산업에 대한 사회적 신뢰도 함께 약해진다.

법안에서 따져야 할 세 가지

우선 사고 보고 기준이 명확해야 한다. 어떤 수준의 데이터 접근이나 보안 이상이 발생했을 때 누구에게, 얼마 안에, 어떤 내용을 알려야 하는지 구체적으로 정할 필요가 있다. 기업이 자체적으로 사건의 심각성을 판단해 통보 시점을 늦출 여지가 크다면 의무 보고 제도는 실효성을 잃는다.

둘째는 독립적인 검증이다. 기업이 ‘안전장치를 갖췄다’고 설명하는 것만으로는 부족하다. 고위험 AI 시스템이 의료, 복지, 금융, 정부 데이터에 접근할 경우에는 권한 관리, 기록 보존, 비상 중단 기능, 외부 보안 점검이 실제로 작동하는지 확인할 장치가 필요하다. 사고 뒤의 해명보다 사고 전의 검증이 피해를 줄인다.

셋째는 책임의 연결이다. AI가 자율적으로 행동했다는 표현이 사람과 기업의 책임을 흐려서는 안 된다. 시스템을 설계하고 배포하며 접근 권한을 부여한 주체는 분명 존재한다. 자동화된 도구의 예상 밖 행동까지 포함해 위험을 관리할 의무가 기업에 있다는 원칙이 서야, ‘AI가 그랬다’는 말이 책임 회피의 방패가 되지 않는다.

한인 가정과 개인에게도 이 논의는 멀지 않다. 메디케어 정보는 신원 확인과 의료 이용 기록 등 매우 민감한 개인정보와 연결될 수 있다. 정부와 관련 기관의 공식 안내를 확인하고, 의심스러운 메디케어·정부기관 사칭 문자나 이메일에는 링크를 누르기보다 공식 연락처를 통해 재확인하는 습관이 필요하다. 이미 공개된

정보와 확인되지 않은 소문을 구분하는 태도도 중요하다.

호주의 AI 규제는 혁신과 안전 가운데 하나를 고르는 문제가 아니다. 공공 데이터와 시민의 권리를 보호할 수 있어야 새로운 기술도 지속적으로 신뢰를 얻는다. 이번 논란이 법안 발표 경쟁에 그치지 않고, 신속한 보고와 독립 검증, 분명한 책임이라는 기본 원칙을 제도화하는 계기가 되어야 할 이유다.