왜 AI는 '특별한' 준수 반응이 필요한가요?

AI는 확률적 출력(동일한 입력값이 답변에 변동), 학습 데이터에 의존하는 특성(편향 및 개인정보 보호 문제의 상속), 불투명성(설명하기 어렵음), 지속적인 진화(운영 중 변화)라는 특성을 가지며, 전통적인 IT 제어만으로는 포착하기 어려운 위험을 만듭니다. 마이크로소프트는 책임 있는 AI(공정성, 신뢰성 및 안전, 프라이버시와 보안, 투명성, 책임성, 포용성)의 원칙과 공동 책임 모델을 확립했으며, 제어 기능을 설계 단계부터 내장할 것을 권장합니다. (책임 있는 AI - 마이크로소프트)

일본에서의 AI 활용에 관하여

일본에서는 2025년부터 인공지능법이 완전 시행될 예정이며, 내각실 인공지능전략본부에서 기본 인공지능 계획과 적절성 보장 지침이 시행되었습니다. 이념적 법률임에도 불구하고 투명성, 위험 관리, 정보 제공 관행이 강조되고 있습니다. (인공지능법 - 내각실)

해외 AI 사용

EU:EU AI 법안의 전면 적용

일본 이전에는 EU에서 AI 사용에 관한 더 엄격한 법률이 시행되었습니다. EU AI법은 2024년부터 단계적으로 시행되고 있습니다. 올해 8월부터는 고위험 요건 및 기타 요건이 본격적으로 적용되며, 역외 적용, 높은 벌금, GPAI 의무가 발생할 것입니다. 법이 적용될 경우 다음과 같은 조치가 요구됩니다. (EU 인공지능법 - EU)

• 위험 분류: 채용, 교육, 중요 인프라와 같은 고위험 분야가 적용 가능한지 여부 확인
• GPAI 준비: 기술 문서, 교육 데이터 요약, 저작권 준수
• 투명성 의무: AI 서비스 제공자에 관한 정보 공개
• 거버넌스: 위험 관리, 데이터 관리, 기술 문서 관리
• 인간 모니터링: 시스템 운영 상태와 사용 상태를 포함한 인간 모니터링

미국: NIST

미국 연방 차원에서는 법이 시행되지 않지만, NIST는 AI 사용을 위한 정책을 제시했습니다. 특히, "타당성과 신뢰성", "안전", "보안과 회복력", "책임성과 투명성", "설명 가능성과 해석 가능성", "향상된 프라이버시", "공정성"이 요구됩니다.

법과 규정에 어떻게 대응할까

마이크로소프트 제품의 효과적인 활용

AI를 책임 있게 활용하기 위해서는 마이크로소프트가 제공하는 제품을 효과적으로 활용하는 것이 중요합니다. 따라서 다양한 제품의 사용 사례를 소개하겠습니다.

• Purview 컴플라이언스 매니저: EU AI Act, ISO/IEC 42001, NIST AI RMF 템플릿을 사용하여 평가 및 격차를 시각화
• Defender for Cloud Apps+Purview: 내부 및 외부 AI 앱을 감지, 평가 및 관리하며, 커뮤니케이션과 준수를 통해 생성형 AI와의 상호작용을 탐지 및 조사합니다
• Azure AI 콘텐츠 안전: 폭력, 증오, 자해 등 유해 콘텐츠를 감지합니다
• 감사, 보존, 전자 발견: Copilot의 안내/응답을 포함한 보존 및 감사 로그를 활용하세요.

SOC 서비스 사용

마이크로소프트 제품 사용과 같은 AI 시스템의 부적절한 사용을 감지하고 신속히 대응하는 것이 중요합니다. 이를 위해서는 보안 설계부터 AI 사용까지 전 과정에 대응할 수 있는 시스템을 갖추는 것이 필요합니다. 자체 시스템을 구축하기 어렵다면 외부 SOC 서비스를 사용하는 것도 효과적인 방법입니다.

Colorkrew가 도울 수 있는 것: Colorkrew Security는 위 보안 설계에서 SOC 작동을 수행하는 서비스를 제공합니다.

"운영 부담을 줄이고 싶다"거나 "사이버 공격을 신속히 탐지하고 싶다"와 같은 요청이 있으시면 언제든지 연락해 주세요. 함께 귀사의 보안 운영을 강화해 나가겠습니다.