미국이 AI를 국가안보 자산으로 묶었다 – 자율이라지만 사실상 강제다

2026년 6월 2일, 트럼프 대통령이 AI 관련 행정명령에 서명했다. 국내 언론은 “AI 사전 검토 의무화”나 “준허가제 논란” 정도로 보도했다. 해외에서는 Reuters 같은 통신이 주요 골자를 정리했다. 그런데 사실 이 명령이 한국 직장인 생활에 어떻게 연결되는지를 설명한 곳은 많지 않다.

결론부터 말하면 이렇다.

한국은 미국 AI를 쓰는 순간, 미국 AI 정책도 함께 쓰게 된다.

이게 무슨 뜻인지 하나씩 풀어보겠다.

이 명령, 핵심이 무엇인가

트럼프 대통령이 서명한 행정명령의 정식 이름은 <첨단 인공지능 혁신과 보안 증진 행정명령>이다. 백악관은 같은 날 원문을 공개했다. 이 명령에서 가장 중요한 부분은 두 가지이다.

하나는 사전 검토 프레임워크이다. 강력한 AI 모델을 새로 출시하는 기업은 출시 30일 전에 미국 정부가 그 모델을 먼저 볼 수 있게 해야 한다. 강제는 아니다. “자율”이라고 명시돼 있다. 이 자율의 실제 무게가 어느 정도인지는 뒤에서 설명하겠다.

다른 하나는 AI 사이버보안 클리어링하우스이다.

클리어링하우스(clearinghouse)는 원래 금융에서 나온 말로 거래 정보와 결제, 정산을 한곳에서 모아 검증하고 중복을 제거하고 필요한 곳에 배분하는 중앙 허브를 뜻한다. 정책 분야에서는 이 표현이 확장돼 여러 기관이나 기업에서 올라오는 데이터를 표준화해 모으고(수집), 중요도를 가르고(우선순위), 공유 범위를 정해(배포) 연결해주는 조정 기구를 가리킬 때 자주 쓰인다.

이 행정명령에서 말하는 클리어링하우스는 그 개념을 사이버보안에 적용한 것이다. 재무부가 중심이 되고 국가사이버국장, NSA, CISA와 협의해 운영한다. AI가 찾아낸 보안 구멍, 어디를 먼저 막아야 하는지 순서 같은 정보를 이 기구가 조율한다. 어떤 모델이 검토 대상인지를 결정하는 분류 권한은 NSA 국장이 갖는다.

짧게 정리하면, 미국 정부가 강력한 AI 모델을 국가안보 체계 안으로 끌어들이려는 제도를 만든 것이다.

자율인데 왜 문제가 되나

이 명령은 법률로 AI 허가제를 하겠다는 게 아니다. 백악관도 자율이라고 명시했다. 강제로 승인을 받지 않으면 출시를 막겠다는 뜻이 아니다. 그런데 현실은 다르다. 예컨대 오픈AI나 앤트로픽 같은 회사 입장에서 생각해보자. 정부가 이렇게 말할 수 있다.

“당신 모델 출시를 막지는 않겠다. 다만 우리 정부 기관은 안 쓴다. 우리와 계약한 방산업체도 사용을 재고해야 한다. 국가안보 위험이 해소되지 않았으니까.”

이 말이 나오는 순간 정부, 국방, 공공, 금융과 같은 중요 인프라 시장이 통째로 막힌다. 법으로 출시를 막은 게 아닌데 시장이 닫히는 것이다.

왜 이게 사실상 강제냐면, 이렇다. 오픈AI나 앤트로픽처럼 가장 강력한 AI 모델을 만드는 회사들은 막대한 컴퓨팅 비용과 인건비를 감당하려면 정부, 방산, 공공, 금융 시장을 뺄 수 없다. 정부가 검토하지 않은 모델은 쓰지 않겠다고 하면 그 기업은 법적으로 아무 제재를 받지 않지만 돈줄이 잘린다. 기업은 도산 위험을 피하려면 검토에 응할 수밖에 없다. 허가증을 내주지 않아도 시장을 통제하면 결과는 같다.

그래서 한국이랑 무슨 상관인가

한국 기업에서 클로드나 챗지피티를 쓰는 이용자가 많다. 계약서 초안을 돌리고 코드를 검토하고 보고서를 정리하고 고객에게 보낼 이메일을 다듬는다. 기업에 따라 다르겠지만 IT 사무직종이라면 이미 AI는 업무 인프라가 됐다.

트럼프 행정명령은 한국 기업을 직접 규제하지 않는다. 미국 법이 한국 기업에 직접 적용되는 건 아니다. 그런데 생각해보면 직접 규제가 아니어도 충분히 영향을 받는다.

미국 정부가 어떤 AI 모델에 “이 모델은 국가안보 위험이 있다”고 표시하면, 그 모델은 미국 정부 조달에서 빠진다. 그 소식이 나오면, 한국 대기업 IT 보안팀도 같은 모델을 재검토한다. 미국 파트너사나 미국 고객과 거래할 때 “당신네 회사는 어떤 AI 쓰세요?”라는 질문이 나올 수 있으니까.

여기서부터가 실무에선 핵심이다. 출시 일정도 마찬가지이다. 미국 정부 검토가 30일 걸린다면 그 기간만큼 새 모델 출시가 늦어질 수 있다. 한국 이용자도 같이 기다리는 것이다. 그리고 더 중요한 건 기능이다. 기능 제한도 올 수 있다. 보안 구멍 찾기, 코드 자동화, 사이버 관련 기능은 이 행정명령이 직접 들여다보는 영역이다. 검토 결과에 따라 해당 기능이 제한될 수 있다.

직장에서 내가 해야 할 게 뭔가

그렇다고 당장 쓰던 AI를 끊어야 한다는 뜻이 아니다. 다만 지금부터 한 가지는 생각해두면 좋겠다. 첫 질문은 이것부터 시작하자. 회사 안에서 어떤 정보를 AI에 넣고 있는가? 계약서, 고객 정보, 보안 취약점 리포트, 영업비밀, 내부 코드. 이런 것들이 미국 서버를 거쳐 처리된다.

물론 미국 정부가 한국 기업 데이터를 마구 들여다본다는 뜻이 아니다. 이렇게 단정하면 오히려 위험하다. 다만 미국 AI 기업이 정부 검토에 참여할수록 예를 들어 모델을 넘기고, 취약점 정보를 공유하고, 정부 요청에 응답하는 절차가 생길수록 AI 기업과 정부 사이의 정보 접점이 넓어진다. 그 접점이 넓어지면 한국 기업이 AI에 넣은 어떤 데이터가 그 접점 어딘가에 걸릴 가능성이 조금씩 높아진다.

그런데 여기서 개인 이용자가 할 수 없는 일은 사실 거의 없다. 현실적으로 대부분의 회사는 약관이나 DPA를 바꿀 힘이 없다. 그렇다면 개인이 할 수 있는 건 한 가지이다. AI에 넣는 정보를 선별하는 것이다.

즉, “정책을 바꿔라”가 아니라 “내가 넣는 데이터를 조절하라”로 정리해야 한다. 개인 기준으로는 간단히 이 원칙만 지키면 된다. 고객 식별정보, 계정정보, 내부 코드 원문, 취약점 리포트, 영업비밀처럼 되돌릴 수 없는 정보는 그대로 넣지 말고 필요하면 핵심만 요약하거나 익명화해서 넣는다. 반대로 공개자료나 이미 외부 공유가 가능한 범위의 정보는 상대적으로 부담이 덜하다.

예를 들어 정책 문서(여기서 말하는 정책 문서는 정부 문서가 아니라, AI 서비스 제공사가 공개하는 이용약관, 프라이버시 정책, 보안 안내, DPA 같은 문서를 뜻한다)에 유효한 법적 절차(소환장, 법원 명령, 국가안보 관련 요청 등)가 있을 때 고객 데이터를 제공할 수 있다는 문구가 있다면 조심해야 한다. 쉬운 말로 미국 법원이든 정부기관이든 법적으로 강제력 있는 문서를 들이밀면 회사가 데이터를 넘길 수 있다는 뜻이기 때문이다.

또 정부 요청을 받으면 고객에게 통지하는지(사전/사후) 아니면 법적 비공개 의무 때문에 통지하지 못하는지 같은 문구가 있으면, 우리 회사 데이터가 정부로 넘어갔는지를 고객이 알 수 있는 구조인지(알림 있음/없음)를 가르는 문장이다. 마지막으로 제공 범위를 필요 최소한으로 제한한다고 적었는지, 또는 익명화나 집계 형태로만 제공한다고 밝혔는지는, 정말 어쩔 수 없이 주더라도 전부가 아니라 최소만 주겠다는 약속인지, 아니면 이름을 가린 통계만 주겠다는 약속인지 확인하는 대목이다.

앞으로 어떤 변화가 있을까

이 행정명령이 보여주는 것은 하나이다. 강력한 AI 모델이 더 이상 순수한 민간 제품이 아니라는 것이다. 보안 구멍을 찾고 코드를 읽는 AI는 방어자에게도 공격자에게도 똑같이 강력한 도구이다. 미국 정부가 이 능력을 국가안보 체계 바깥에 그냥 두지 않겠다는 판단을 한 것이다.

이것은 트럼프가 아니어도 비슷한 방향으로 갔을 결정이다. 바이든 행정명령(EO 14110)도 이미 AI 안전 검토와 국가안보 체계 편입을 시도했으니까. 스탠퍼드 HAI가 2026년 4월 발표한 AI 인덱스 2026에서 한국은 주목할 만한 AI 모델 수 기준으로 미국(50개), 중국(30개)에 이어 세계 3위(5개)에 올랐다. 모델을 만들 수 있는 나라일수록, 그 모델이 어느 나라 법 아래에서 움직이는지를 더 빨리 따져야 한다.

한국은 미국 AI를 배제할 수 없다. 오히려 잘 써야 한다. 다만 “잘 쓴다”는 말의 뜻이 이제는 달라졌다. 프롬프트를 잘 쓰는 것 말고 AI 공급망을 보는 눈도 필요하게 됐다. 에이릿이 여러분의 좋은 파트너가 되겠다.

주요 출처

백악관 행정명령 원문 · Reuters 보도 · 스탠퍼드 HAI AI 인덱스 2026

FAQ