쓰지 않을 수 없고, 함부로 쓸 수도 없는: 이사회 AI 활용의 법적 과제 [지평 테크레이더]

올해 3월 미국 델라웨어 법원이 국내 한 게임사의 자회사 경영진 해임을 계약 위반으로 판단하면서, 판결문에 이례적인 증거를 인용했다. 경영진이 챗GPT와 나눈 대화였다. 미국의 증거개시절차(Discovery)에서 AI 대화기록이 소송 증거로 등장한 사례라는 점에서 우리 법제와 결이 같지는 않지만, 이 판결이 던진 파장은 컸다. AI에 무엇을 묻고 어떤 데이터를 입력했는지는 더 이상 비밀이 아닐 수 있다는 것이다.

경영진은 이미 AI에 많은 것을 묻고 있다. 헤드헌팅 회사 하이드릭앤스트러글스가 지난해 국내 C레벨 임원 80명을 조사한 결과, 88%가 생성형 AI를 업무에 쓰고 있었고, 활용 이유로는 ‘데이터 기반 의사결정 강화’(73%)가 첫손에 꼽혔다. 미국 갤럽조사에 의하면 리더급의 AI 사용률은 69%로 실무자의 40%를 크게 상회했다. 경영 판단의 도구로 AI가 이미 자리 잡은 것이다. 반면 자체 AI 가이드라인을 갖춘 국내기업은 37%에 그쳤다. 활발한 활용에 비해 거버넌스는 따라가지 못하는 셈이다.

이 틈이 가장 위태롭게 드러나는 곳이 이사회다. 이사회를 며칠 앞두고 수백 쪽의 안건 자료를 받아 든 사외이사를 떠올려 보자. 회사에 상근하지 않는 그가 제한된 시간 내에 방대한 분량을 소화할 가장 빠르고 유혹적인 방법은, 자료를 통째로 AI에 넣고 요약과 쟁점을 뽑아달라고 지시하는 것이다.

넓어진 충실의무, 커진 부담

상법 개정으로 이사의 의무가 넓어졌다. 개정 상법 제382조의3은 이사가 회사뿐만 아니라 주주를 위하여도 직무를 충실히 수행하고, 총주주의 이익을 보호하고 전체 주주의 이익을 공평하게 대우하도록 규정한다. 충실의무의 대상이 회사에서 주주 전체로 넓어진 것이다. 재계가 요구했던 경영판단원칙의 명문화는 이루어지지 않았다. 의무는 넓어졌는데 면책의 근거는 여전히 판례에 머물러 있다.

판례는 경영판단원칙으로 보호받으려면 “합리적으로 이용가능한 범위 내에서 필요한 정보를 충분히 수집·조사하고 검토”해야 한다고 요구한다(대법원 2023. 3. 30. 선고 2019다280481 판결). 책임은 커졌는데, 이를 이행할 여건이 나아진 것은 아니다. 방대한 자료를 제한된 시간에 살펴야 하는 이사에게 AI는 정보수집과 분석을 한꺼번에 맡길 수 있는 가장 현실적인 도구로 보일 수 있다. 시장과 경쟁사가 모두 AI로 분석하는 시대에 홀로 이를 외면한 이사가 “구할 수 있는 정보를 충분히 모았다”고 말하기도 어려워졌다. 나중에 분쟁이 생겼을 때 당시 이용가능한 도구를 충분히 활용했는지가 평가 요소로 작용할 수 있다는 점까지 감안하면, AI 활용은 오히려 의무 이행의 한 요소로 평가될 여지도 있다.

이 변화를 가장 크게 체감하는 자리는 사외이사다. 내부 사정에 밝지 않으면서도, 철저히 독립적인 판단을 요구받고, 판단이 빗나가면 사내이사와 동일한 잣대로 책임을 진다. 상시보고를 받을 참모조직도 없이, 회사 인프라 밖에서 일하므로 이른바 섀도우AI(Shadow AI, 회사의 승인이나 관리 없이 사용하는 AI)를 기업이 탐지하기도 어렵다. 이런 이사에게 이사회 자료를 AI에 넣어 분석하는 일은 자연스러운 선택에 가깝다.

입력하는 순간 무너지는 비밀, 거버넌스가 해법이다

문제는 AI에 입력한 정보가 법적으로 어떻게 취급되는가이다. 올해 미국에서는 공개형 AI에 입력된 정보를 둘러싼 분쟁에서 유의미한 판단이 잇따라 나왔다. 캘리포니아 북부연방법원은 챗GPT로 개발했다는 기술에 관한 영업비밀 침해 주장을 받아들이지 않았다(Trinidad v. OpenAI Inc.). 챗GPT에 입력한 내용은 약관상 OpenAI가 활용할 수 있고 별다른 비밀관리조치도 없었으므로, 스스로 넘겨준 정보를 비밀이라 부를 수 없다는 것이다. 뉴욕 남부연방법원은 증권사기로 기소된 피고인이 클로드로 작성한 방어전략 문서 31건에 대해 변호사-의뢰인 특권(attorney-client privilege)을 인정할 수 없고, 수사기관이 볼 수 있다고 판단했다(United States v. Heppner). 물론 사안에 따라 반대의 사례도 있으나, 적어도 이 두 사건은 공개형 AI의 일반 약관 하에 넘긴 정보는 비밀로 보호받지 못할 수 있다는 위험을 상기시킨다. 기업용(Enterprise) AI 서비스는 입력한 내용을 모델 학습에 쓰지 않고 약관에 접근통제, 비밀유지의무를 지는 경우가 많아 사정이 다를 수 있지만, AI 사업자도 사기업인 이상 강제수사 등 외부적 요소에서 자유롭지 않다는 점에서 보장된 안전지대는 아니다.

이사회 자료는 미공개 재무정보, 신사업 계획, 인수합병 검토안, 핵심 인사·보상 자료가 담긴 영업비밀의 집합체다. 이것을 공개형 AI에 통째로 입력하면, 회사가 비밀 유지를 위해 공들인 관리 조치가 무너질 수 있다. 부정경쟁방지법이 영업비밀의 요건으로 삼는 ‘비밀관리성’을 이사 스스로 허문 셈이 되기 때문이다. 충실의무를 다하려는 노력이 자칫 새로운 법적 부담으로 되돌아올 수 있는 셈이다.

이사는 AI를 외면할 수도, 남용할 수도 없다. “주어진 정보를 충분히 검토했는가”를 묻던 책임의 잣대는 머지않아 “그 과정에서 안전하고 통제된 방식의 AI를 활용했는가”를 함께 묻게 될 것이다. 이런 딜레마를 이사 각자가 알아서 조심하라고 미루어 둘 수는 없다. ‘쓰지 않을 수 없는’ 도구라면, 이사들이 위험을 감수하지 않고도 합리적인 의사결정을 내릴 수 있도록 통제된 인프라를 제공해야 한다. 어떤 자료를 AI에 입력할 수 있는지, 어떤 도구를 사용할 수 있는지, AI의 답변을 어떻게 검증하고 의사결정 과정에 남길 것인지에 관한 기준도 마련되어야 한다. 넓어진 이사의 충실의무를 뒷받침하면서도 회사의 영업비밀을 보호하는 정교한 AI 거버넌스의 구축은, AI 시대에 선진적인 이사회를 운영하고 경영진의 리스크를 방어하기 위한 과제가 되었다.

[지평 테크레이더]에서는 ­AI, 데이터, 디지털 기술 발전에 따라 급변하는 법·제도 환경을 기업ㆍ기관 실무자가 이해하기 쉬운 형태로 전달하고자 합니다. 최정규 변호사는 지평 IPㆍIT 그룹장 및 개인정보ㆍ데이터ㆍAI팀장으로서, 지식재산, 인공지능, 개인정보ㆍ데이터 분야의 자문 및 분쟁 업무를 수행하고 있습니다. 개인정보 분쟁조정위원회 위원으로도 활동하고 있습니다.