다른 용도로 쓰지 말라던 숫자였습니다 : ChatGPT와 검색엔진의 정의

검색엔진이라는 말을 들으면 대개 같은 그림이 떠오릅니다. 가운데 놓인 입력창, 엔터를 누르면 아래로 길게 늘어지는 파란 링크 목록, 그 옆의 광고 몇 줄. 우리가 이십 년 넘게 봐 온 화면이죠.

그런데 법이 쓰는 정의에는 그 화면이 들어 있지 않습니다. 유럽의 디지털서비스법(DSA)이 온라인 검색엔진을 정의하는 방식은 훨씬 건조합니다. 이용자가 어떤 주제로든 키워드나 음성, 문장 같은 입력으로 질의를 넣으면, 원칙적으로 웹 전체를 검색해 요청한 내용과 관련된 정보를 찾을 수 있는 결과를 돌려주는 서비스. 그리고 그 결과는 "어떤 형식으로든" 돌려주면 됩니다. 링크 목록의 모양이어야 한다는 조건은 조문에 없습니다. 그러니 이 정의를 그대로 읽으면 걸리는 것이 하나 더 있죠.

현지 시각 8월 31일 월요일, 유럽연합 집행위원회가 ChatGPT를 디지털서비스법상 초대형 온라인 검색엔진(VLOSE, Very Large Online Search Engine)으로 지정했습니다. 같은 날 Reddit과 Roblox도 지정됐는데, 이 둘은 초대형 온라인 플랫폼(VLOP)으로 분류됐습니다. 검색엔진 쪽으로 들어간 것은 ChatGPT뿐이고요. AI 어시스턴트가 검색엔진으로 분류된 첫 사례입니다.

집행위가 밝힌 근거는 짧습니다. ChatGPT는 이용자의 질문과 요청에 응답하는 AI 시스템이고 그 과정에서 웹을 검색하기도 하므로, 온라인 검색엔진에 해당하는 하이브리드 서비스라는 것이었는데요. 웹을 뒤져 제3자의 정보를 종합해 답을 준다는 기능 하나가 분류를 결정한 셈입니다.

*출처: Wikimedia Commons*

EU 집행위원회의 기술주권·안보·민주주의 담당 집행부위원장인 헨나 비르쿠넨은 이번 지정으로 ChatGPT와 Reddit, Roblox가 시민과 사회에 미치는 영향이 큰 만큼 더 높은 수준의 감독과 책임을 지게 된다고 밝혔습니다. 붙는 의무는 가볍지 않습니다. 매년 자기 서비스가 만드는 시스템적 위험을 평가하고 완화해야 하고, 독립 감사를 받아야 하고, 알고리즘을 어떻게 운용하는지 설명해야 하고, 미성년자 보호 조치를 갖춰야 하고, 광고를 싣는다면 광고 저장소를 공개해야 하고, 연구자에게 데이터 접근을 허용해야 합니다. 기한은 통지로부터 4개월입니다. 어기면 전 세계 연매출의 최대 6%까지 과징금이 나올 수 있고요.

여기서 눈여겨볼 것은 이 의무들이 어디서 온 것인지입니다. 전부 구글 검색과 페이스북 같은 서비스를 겨냥해 설계된 조항들입니다. 그것이 생성형 AI 제품에 그대로 얹혔습니다. 그래서 디지털서비스법상 검색엔진으로 이 규모의 지정을 받은 이름은 셋이 됐습니다. 2023년 4월부터 구글 검색과 마이크로소프트 빙 둘뿐이었던 명단에 ChatGPT가 세 번째로 올랐습니다.

▸ 유럽에는 이미 AI법이 있는데, 이번 건은 DSA로 왔습니다

왜 이렇게 했을까요? EU에는 이미 인공지능법(AI Act)이 있습니다. AI를 겨냥해 만든 전용법이 있는데도 이번 지정은 그 법이 아니라 디지털서비스법을 통해 나왔습니다.

두 법이 무엇을 기준으로 규제하는지가 다르기 때문입니다. 인공지능법은 그 인공지능이 무엇이고 어디에 쓰이는지를 기준으로 삼습니다. 어떤 모델인지, 어떤 용도에 놓이는지, 그래서 어느 위험 등급에 들어가는지를 따집니다. 디지털서비스법은 그 서비스가 실제로 무슨 일을 하고 그로부터 어떤 사회적 위험이 생기는지를 봅니다. 모델이 아니라 서비스와 그 영향이 중심에 놓이는 것이죠.

그러니 이번 사건이 보여준 것은 규제의 새로운 내용이 아니라 규제의 빠른 경로입니다. 새로운 기술에 새로운 분류를 만들어 주는 것보다, 이미 있는 분류의 정의를 늘려 그 안에 넣는 편이 훨씬 빠릅니다. OpenAI는 자기 제품을 검색엔진이라고 부른 적이 없습니다. ChatGPT는 대화하는 제품으로 팔렸고 지금도 그렇게 소개됩니다. 그런데 분류는 회사가 붙인 이름을 묻지 않았습니다. 무엇을 하는 물건인지만 물었죠.

▸ 지정의 방아쇠를 당긴 것은 규제 대상이 직접 신고한 숫자였습니다

그런데 제가 이 사건에서 더 오래 들여다본 대목은 분류가 아니라 숫자였습니다.

지정 문턱은 EU 월평균 이용자 4,500만 명입니다. ChatGPT가 신고한 값은 1억 5,910만 명이었습니다. 문턱의 3.5배가 넘죠. 그런데 이 숫자를 만든 곳은 집행위가 아닙니다. 디지털서비스법 제24조 2항이 6개월마다 EU 월평균 이용자 수를 공표하도록 하고 있어서, OpenAI의 아일랜드 법인이 2026년 3월 31일로 끝나는 6개월을 기준으로 직접 산출해 올린 값입니다.

그 숫자에 OpenAI가 붙여 둔 단서를 읽어 보면 이렇습니다. 이것은 통상적인 월간 활성 이용자 수로 읽어서는 안 되고, ChatGPT 전체 사용이 아니라 검색 기능에 한한 값이며, 디지털서비스법 준수 목적으로만 산출한 것이니 다른 용도로 쓰지 말라는 것이었는데요. (실은 이 대목이 걸려서 글을 쓰기 시작했습니다.) 다른 용도로 쓰지 말라고 적어 둔 숫자가 지정의 법적 근거가 됐습니다.

*출처: Wikimedia Commons*

물론 규제 대상이 자기 수치를 신고하는 구조는 이상한 일이 아닙니다. 이용자 수를 바깥에서 셀 방법이 없으니 신고에 의존하는 것이 오히려 자연스럽죠. 셈의 큰 틀도 법에 적혀 있습니다. 검색엔진의 경우 이용자가 질의를 넣고 그 결과로 제시된 내용에 노출됐을 때 한 명으로 센다는 정도까지는 정해져 있는데요. 다만 그 틀을 자기 서비스에 어떻게 적용할지는 신고하는 쪽이 정합니다. ChatGPT 안의 수많은 주고받기 중 어디까지를 검색으로 셌는지, 그 적용 기준이 공개되지 않았습니다. 문턱을 넘긴 숫자는 확정됐는데 그 숫자가 정확히 무엇을 센 것인지는 확정되지 않은 상태입니다.

OpenAI 대변인의 답변 문장을 보면 다툼의 지점이 어디인지도 보입니다. ChatGPT search가 디지털서비스법상 검색 서비스로 기능한다는 점을 받아들이고 추가 준수 요건을 맞출 준비를 하고 있다는 내용이었는데요. 집행위는 ChatGPT를 하이브리드 서비스라고 불렀고, OpenAI는 ChatGPT search가 검색 서비스라고 답했습니다. 한쪽은 서비스 전체를 가리키고 다른 한쪽은 기능 하나를 가리킵니다. 위험 평가와 독립 감사를 어디까지 받아야 하는지가 이 차이에서 갈릴 수 있는데, 어느 쪽이 맞는지는 아직 공식 문서로 정리되지 않았습니다. 불복 움직임도 지금까지는 확인되지 않았고요.

▸ 한국은 AI의 성질로 분류하고 있습니다

한국에서도 올해 1월 22일 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법이 시행됐습니다. 이 법이 분류하는 방식은 EU 인공지능법 쪽에 가깝습니다. 사람의 생명과 신체의 안전, 기본권에 중대한 영향을 미칠 우려가 있는 시스템을 고영향 인공지능으로 묶고, 생성형 인공지능은 따로 관리합니다. 제품이나 서비스가 고영향이나 생성형 인공지능에 기반해 돌아간다는 사실은 이용자에게 미리 알려야 하고요. 과기정통부는 시행 후 최소 1년 이상의 계도기간을 두고 행정조사를 유예하고 있습니다.

그러니까 한국의 기준도 그 인공지능이 무엇인지, 어디에 쓰이는지입니다. 서비스가 실제로 어떤 기능을 수행하는지를 물어 이미 있는 규제의 분류에 집어넣는 경로는 아직 본격적으로 열리지 않았습니다. 그런데 우리에게도 그런 분류는 이미 여러 개 있습니다. 부가통신사업자, 정보통신서비스 제공자 같은 것들이 그렇죠. AI 서비스가 그 정의에 걸리는지를 묻는 질문은 아직 앞에 놓여 있습니다.

이번 지정에서 남는 교훈은 규제 강도에 관한 것이 아닙니다. 서비스를 만드는 쪽이 자기 서비스를 어떻게 부르는지는 분류에 영향을 주지 않는다는 것입니다. 대화하는 도구라고 소개해도, 웹을 뒤져 답을 만들어 주고 있다면 검색엔진의 정의에 걸립니다. 그리고 그 정의에 걸리는지를 판단하는 첫 재료가 스스로 신고한 숫자라면, 그 숫자를 어떻게 세고 어떤 단서를 붙일지도 결국 규제의 일부가 되겠죠. 우리가 만드는 서비스가 어느 분류에 들어가는지, 그리고 우리가 내놓는 숫자가 나중에 무엇의 근거가 될지 고민이 필요합니다.