군 작전 시스템에 AI가 들어간다. 행정 처리도, 치안 판단도 AI가 보조한다. 이건 먼 미래 얘기가 아니다. 지금 실제로 일어나고 있는 일이다. 그런데 여기서 조용히 터지는 문제가 있다. 바로 AI 공급망 위험이다. 민간 기업에서도 골치 아픈 문제인데, 국방이나 공공 서비스에선 한 번 잘못되면 국가 안보까지 흔들린다. 성능이 좋냐 나쁘냐를 넘어서, 그 AI가 어디서 왔고 누가 만들었으며 어떻게 관리되는지가 국가 시스템 전체의 안정성을 좌우하는 셈이다.
왜 지금 이 문제가 터졌나
예전엔 소프트웨어 공급망 위험이라 하면 오픈소스 라이브러리 취약점 정도였다. Log4j 사태 같은 거. 그런데 AI 시대엔 범위가 완전히 달라졌다. 학습 데이터가 편향돼 있거나 출처가 불분명한 경우, 개발 과정이 불투명한 경우, 특정 해외 기업에 지나치게 의존하는 경우 — 전부 위험 요인으로 분류된다. 심지어 개발사의 윤리 기준이나 정부와의 협력 태도까지 따진다. AI가 단순한 도구가 아니라 실제 의사결정에 개입하기 시작했으니, 그 전 과정이 다 리스크 영역에 들어오는 거다.
- 데이터 편향성 및 오염: AI 판단의 품질은 결국 학습 데이터에서 결정된다. 편향된 데이터는 잘못된 결론으로 이어지고, 오염된 데이터는 백도어 공격 통로가 될 여지도 있다.
- 블랙박스 문제: AI가 왜 그 결정을 내렸는지 추적이 안 된다. 국방 분야에서 이건 치명적이다. 오류가 나도 원인을 모르면 대응이 불가능하다.
- 공급자 의존도: 소수 기업에 몰리면 그 기업이 갑자기 정책을 바꾸거나 협조를 거부했을 때 시스템 전체에 타격을 줄 수 있다. 기술 종속은 생각보다 빠르게 심해진다.
- 보안 취약점: 모델 자체, 학습 인프라, 배포 파이프라인까지 — AI 생명주기 전반이 사이버 공격 표적이 된다.
도입 전에 따져봐야 할 것들
국방·공공 AI는 민간이랑 기준 자체가 다르다. 인명과 국가 기밀이 걸려 있으니. 성능 벤치마크만 보고 사면 안 된다는 얘기다. 시스템 신뢰성과 보안성을 먼저 따지는 게 순서다.
- 기술 독립성과 국산화: 핵심 AI를 해외 단일 기업에 의존하는 구조는 장기적으로 위험하다. 유사시에 공급이 끊겼을 때 대안이 없으면 그냥 멈추는 거다. 국내 기술 역량을 키우는 방향을 병행해야 한다.
- 개발사 신뢰도 검증: 기술력만 볼 게 아니다. 그 회사의 정보 보안 정책, 정부 협력 의지, 지배 구조까지 확인해야 한다. 투자자가 어떤 국가 자본인지도 변수가 된다.
- 데이터 거버넌스: 학습 데이터 수집부터 폐기까지 전 과정에 명확한 정책이 있어야 한다. 개인정보와 국가 기밀 유출 차단이 핵심이다.
- 설명 가능한 AI(XAI) 적용: 결정 과정을 추적하고 감사할 수 있어야 한다. 책임 소재를 가려야 할 때 블랙박스면 아무것도 못 한다.
- 보안 인증과 정기 감사: 국제 표준 인증 여부는 기본이고, 배포 후에도 외부 감사를 정기적으로 돌려야 한다. 한 번 통과했다고 끝이 아니다.
공급망 위험, 어떻게 줄이나
기술 하나로 해결되는 문제가 아니다. 접근 자체를 여러 층위로 가져가야 한다. 단일 대응책으로 커버되는 영역이 없다는 게 이 문제의 어려운 지점이다.
- 공급망 다각화: 단일 벤더에 몰빵하지 않는 게 첫 번째다. 상호 보완 가능한 기술 스택을 여러 업체에 분산시켜야 한 곳이 무너져도 버텨낼 수 있다.
- 표준화와 상호운용성: AI 모델과 데이터 포맷을 표준화하면 벤더 락인을 막는다. 갈아탈 수 있는 구조를 처음부터 설계해 두는 게 맞다.
- 지속 모니터링: 배포하고 끝이 아니다. 새 취약점이 발견되거나 성능이 이상하게 떨어질 때 즉각 대응하는 체계가 없으면 시스템은 서서히 썩는다.
- 법·제도 정비: 계약 단계에서 공급자의 책임과 의무를 못박아야 한다. 특정 기업이 정부 사업 참여에 제약을 받을 경우의 절차와 기준도 사전에 명확히 해야 한다. 이게 없으면 나중에 분쟁만 생긴다.
- 내부 역량 확보: 외부 전문가에 전부 맡기는 구조는 취약하다. 공급망 위험을 직접 식별하고 판단할 수 있는 내부 인력을 키워야 한다. 판단 능력이 없으면 좋은 벤더도 구별하지 못한다.
AI 스타트업, 정부 계약 따내려면
공공·국방 계약은 스타트업 입장에서 매력적인 시장이다. 규모도 크고 안정적이니까. 근데 민간이랑 룰이 다르다는 걸 모르고 들어갔다가 낭패 보는 경우가 꽤 있다.
- 보안이 최우선: 국가 기밀과 개인정보를 다루는 만큼, 일반 SaaS 수준의 보안으론 안 된다. 인증 획득은 기본이고, 회사 내부 보안 문화 자체를 뜯어고쳐야 하는 경우도 있다.
- 투명한 개발 프로세스: 모델 편향성이나 윤리 문제가 터졌을 때 “우린 몰랐다”가 통하지 않는다. 처음부터 책임 구조와 추적 체계를 갖춰야 한다.
- 장기 협력 태도: 계약 따고 튀는 식이면 안 된다. 실제로 한 AI 스타트업이 정부와의 관계에서 ‘비협조적인 태도’를 이유로 공급망 위험으로 지정될 여지가 있다는 보도가 나온 적 있다. The Verge AI가 전한 이 사례는 기술력 외에 태도도 평가 항목이라는 걸 보여준다.
- 컴플라이언스 준수: 정부 조달 법규는 작은 절차 실수 하나로도 계약이 날아갈 수 있다. 꼼꼼히 따지고 들어가야 한다.
결국 ‘믿을 수 있는 AI’를 어떻게 만드느냐의 문제
AI 공급망 위험 관리의 핵심은 기술적 완성도가 아니다. 신뢰성이다. 국방과 공공 서비스에 AI가 깊이 들어올수록, 그 기반이 되는 공급망이 얼마나 단단한지가 국가 안보와 직결된다. AI 기업 입장에선 혁신적인 기술을 파는 걸 넘어 신뢰할 수 있는 파트너로 보여야 한다. 정부 기관은 단기 성능 비교가 아니라 장기 전략으로 공급망 전체를 설계해야 한다. 지금 이 판단을 잘못 내리면 나중에 수습 비용이 훨씬 커진다.
출처: The Verge AI
AI리서치팀
Home-In-One AI리서치팀은 인공지능, 머신러닝, 생성형 AI의 최신 동향과 실용적 활용법을 연구합니다. ChatGPT, 클로드, 미드저니 등 AI 도구 비교 분석과 활용 가이드를 제공합니다.