트럼프 AI 행정명령 서명… '출시 30일 전 자발적 검증' 도입

도널드 트럼프 미국 대통령이 2026년 6월 2일 '첨단 인공지능 혁신 및 안보 증진' 행정명령에 서명했다. 이 행정명령은 AI 기업이 자사에서 개발한 가장 강력한 모델을 출시하기 최대 30일 전 연방정부에 자발적으로 제출해 검증을 받도록 요청하는 내용을 담고 있다. 지난 2년간 AI 규제 완화 기조를 이어온 행정부로서는 주목할 만한 정책 변화다.

이번 행정명령의 핵심은 자발성에 있다. 행정명령 본문은 새로운 AI 모델 출시와 관련해 정부의 의무적인 면허나 사전 승인, 허가 요건을 신설하는 것으로 해석되어서는 안 된다고 명시했다. 이는 규제 장벽을 세우기보다 업계의 협조를 구하는 조치다. 백악관 역시 구속력 있는 규제는 결국 의회 입법을 거쳐야 한다고 인정했다.

행정명령이 프런티어 모델에 실제로 요구하는 것

30일의 검토 기간을 적용받는 대상은 '대상 프런티어 모델'로 분류되는 시스템이다. 다만 행정명령은 이 분류의 구체적인 기준을 아직 정의하지 않았다. 국가안보국(NSA)과 재무부, 국토안보부는 60일 이내에 모델의 고급 사이버 능력을 측정하는 기밀 벤치마크 절차를 마련하고 이 지정 기준을 수립할 계획이다. 최종 판정 권한은 NSA 국장에게 부여된다.

기준이 수립되면 자발적 검증 절차가 본격 가동된다. 개발사는 개발 중인 모델이 프런티어 지정 대상인지 정부에 확인한 뒤, 기밀 및 내부자 위험 방지, 지식재산 보호 조치 아래 출시 전 최대 30일간 정부에 접근권을 제공할 수 있다. 정부와 개발사는 초기 접근 권한을 부여할 신뢰할 수 있는 파트너도 공동 선정한다. 이는 고성능 모델이 시장에 풀리기 전에 핵심 인프라의 보안을 강화하려는 취지다.

다만 이번 행정명령은 이러한 절차를 강제하지 않는다. 제3조 말미에는 면허 규정 배제 조항이 명시되어 있으며, 전문은 백악관 웹사이트에서 확인할 수 있다. 보안 관련 용어들을 제외하고 보면, 이 행정명령은 규제적 명령이라기보다 업계와의 협력을 위한 상시 초청장에 가깝다.

90일에서 30일로, 업계와의 줄다리기

원래 이 제안은 훨씬 강력한 규제 내용을 담고 있었다. 초안에서는 정부 검토 기간이 최대 90일로 지정되었으나, 미국 개발사들의 속도가 늦춰져 중국과의 경쟁에서 뒤처질 수 있다는 우려로 백악관은 지난달 서명을 보류했다. 당시의 갑작스러운 서명 연기 소식은 이미 보도된 바 있다. 트럼프 대통령이 최종 서명한 법안은 검토 기간을 30일로 단축했다.

행정명령은 오픈AI, 앤트로픽, 구글 등 주요 연구소들의 자발적인 협조에 전적으로 의존한다. 참여하지 않아도 별도의 불이익은 없다. 당국자들의 마음을 움직인 것은 지난 4월 발생한 사건이었다. 당시 앤트로픽은 자사 '미토스 프리뷰(Mythos Preview)' 모델이 스스로 소프트웨어 취약점을 찾아내 악용할 수 있다는 점을 확인하고 출시를 제한했다. 이 기술적 특징은 실리콘밸리와 워싱턴 정가를 모두 긴장시켰다.

이 사건은 규제 논의의 흐름을 바꾸는 계기가 되었다. 그동안 백악관은 주 정부의 AI 규제를 차단하려 했던 지난해 12월 행정명령을 비롯해 감독 최소화 기조를 지켜왔다. 그러나 이번 일을 계기로 고성능 모델이 시장에 출시되기 전 내부 성능을 먼저 점검할 뚜렷한 이유를 갖게 되었다.

AI 사이버보안 청산소, 그리고 자발성의 한계

프런티어 모델 검증 외에도 이번 행정명령은 시한이 촉박한 사이버보안 과제들을 대거 담고 있다. 재무장관은 30일 이내에 업계와 인프라 운영사들이 참여해 취약점 점검과 패치를 조율할 자발적 기구인 'AI 사이버보안 청산소'를 설립해야 한다. 같은 기간 내에 사이버보안·인프라보안국(CISA)은 민간 연방 시스템 강화를 위한 지침을 내놓아야 하며, 인사관리처는 60일 내에 사이버 전문 인력 채용을 확대해야 한다.

강제력을 수반한 조항도 있다. 행정명령은 법무장관에게 AI를 무기화해 컴퓨터 네트워크에 침입하는 자들을 우선 기소하라고 지시하며 관련 연방 사기 및 컴퓨터 남용 법 조항을 구체적으로 명시했다. 방어 목적의 협력은 자발적으로 이뤄지더라도, 이를 범죄에 악용하는 행위는 예외 없이 처벌하겠다는 방침이다.

결국 핵심은 다시 자발성으로 돌아간다. 개발사들을 겨냥한 실질적인 안전장치들은 법적 의무가 아닌 선택 사항이다. 행정명령을 통해 협력의 틀은 마련되었으나, 오픈AI와 앤트로픽, 구글이 여기에 동참할지, 그리고 미 의회가 이 내용을 법제화할지는 앞으로 지켜볼 과제다.