기사 목차 펼치기 / 접기
미국 법률업계에서 생성형 인공지능(AI) 관리의 초점이 ‘사용 정책을 만들 것인가’에서 ‘정책이 실제로 지켜지는지 어떻게 확인할 것인가’로 이동하고 있다. 직원들이 승인받지 않은 AI를 사용하는 ‘섀도 AI(Shadow AI)’가 확산하고 고객마다 AI 사용 조건도 달라지면서, 로펌이 문서로 사용 원칙을 정하는 것만으로는 고객 정보와 업무 위험을 관리하기 어려워졌기 때문이다.
이 문제는 지난 3월 뉴욕에서 열린 법률기술 행사 Legalweek 2026에서도 주요 의제로 등장했다. 행사 주최 측의 Legalweek 2026 공식 프로그램에 따르면 국제법률기술협회(ILTA)는 3월 9일 ‘AI 허용 사용 2.0: 정책 시행 및 규정 준수 격차 해소(AI Acceptable Use 2.0: Enforcing Policies and Closing Compliance Gaps)’ 세션을 열었다. 스펜서 페인(Spencer Fane LLP)의 최고정보책임자(CIO) 앨런 대라(Allen Darrah)와 법률업계 컨설팅업체 트래블링 코치스(Traveling Coaches)의 선임 컨설턴트 케니 레키(Kenny Leckie)가 발표자로 나섰다.
이 세션은 현재 Law.com CLE Center에서 75달러(약 10만4000원)의 온디맨드 과정으로 제공되고 있다. CLE는 ‘Continuing Legal Education(계속법률교육)’의 약자로 미국 변호사들이 자격 유지 등을 위해 이수하는 교육을 말한다. 다만 이 과정에는 ‘NO CLE’라고 명시돼 있어 수강하더라도 CLE 학점은 받을 수 없다. Law.com 페이지는 새로운 정책 발표나 사건 보도가 아니라 앞서 열린 교육 세션을 유료 콘텐츠로 제공하는 페이지다.
“정책 자체가 거버넌스는 아니다”
세션에서 제기된 핵심 문제는 로펌이 AI 정책을 보유하고 있다는 사실과 AI를 실제로 통제하고 있다는 것은 다르다는 점이다.
대라는 4월 15일 스펜서 페인이 공개한 Legalweek 발표 내용에서 “많은 로펌이 AI 정책을 갖고 있기 때문에 규정을 준수하고 있다고 생각한다”며 “그러나 정책 자체가 거버넌스는 아니다. 거버넌스에는 가시성과 통제, 책임성이 필요하다”고 말했다. 세션에서는 초기 AI 실험을 넘어 위험 관리와 AI 공급업체 감독, 데이터 보호, 대규모 AI 도입을 관리하는 체계가 논의됐다.
이를 실제 로펌 업무에 적용하면 문제가 복잡해진다. 직원이나 변호사가 승인되지 않은 생성형 AI를 사용하고 있는지 조직이 알아야 하고, 고객의 기밀정보가 외부 AI 서비스로 입력되는 것도 통제해야 한다. 특정 고객이 AI 사용을 허용하지 않는다면 그 조건이 사건 담당 변호사와 직원의 실제 업무 과정에도 적용돼야 한다. AI가 만든 법률문서와 조사 결과를 사람이 적절히 검증했는지도 관리 대상이 된다.
Legalweek 세션의 설명에서도 ‘정책 작성’보다 집행에 무게가 실렸다. 참가자들이 조직 내 AI 사용을 모니터링하고 위험 신호를 찾아내며, 정책 위반과 규정 준수의 빈틈을 확인하고 이를 시정하는 방법을 배우는 것이 교육 목표로 제시됐다.
승인 안 받은 ‘섀도 AI’…전문직 종사자 3명 중 1명 사용
이 문제가 단순한 가정에 그치지 않는다는 조사 결과도 나오고 있다.
톰슨로이터가 올해 발표한 Future of Professionals Report 2026에 따르면 조사 대상 전문직 종사자의 34%는 조직이 승인하지 않아 사용 현황을 파악할 수 없는 AI 도구를 이용하고 있었다. 조직의 AI 도입 속도가 너무 느리다고 생각하는 사람 중에서는 이런 비율이 41%까지 올라갔다.
로펌 입장에서는 이른바 섀도 AI가 특히 민감하다. 무료 또는 개인용 AI 서비스에 사건 자료나 고객 정보를 입력하면 조직이 어떤 정보가 외부 시스템으로 이동했는지 파악하기 어려울 수 있기 때문이다.
미국변호사협회(ABA)도 생성형 AI 사용 자체를 금지하기보다 기존 변호사 윤리 의무가 AI를 사용할 때도 그대로 적용된다는 원칙을 제시하고 있다. ABA 윤리·전문직책임 상임위원회가 2024년 7월 29일 내놓은 공식 윤리의견 512(Formal Opinion 512)는 생성형 AI를 사용하는 변호사가 직무능력, 고객 정보 보호, 고객과의 의사소통, 직원·외부 업무수행자 감독, 법원에 대한 진실 의무, 합리적인 보수 등 기존 윤리 의무를 고려해야 한다고 밝혔다.
결국 AI가 잘못된 법률정보를 만들어냈다는 이유만으로 변호사의 책임이 AI 서비스로 넘어가는 구조는 아니다. AI를 이용해 작성한 결과물을 검증하고 고객 정보를 보호하는 기존의 전문직 책임이 여전히 변호사에게 남는다.
고객마다 “AI 써라” “쓰지 마라”…하나의 로펌 정책으로 해결 어려워
AI 사용 통제를 더 어렵게 만드는 요인은 고객이다.
톰슨로이터의 2026 AI in Professional Services Report에 따르면 전문서비스 조직 전체에서 생성형 AI를 조직적으로 사용한다는 응답은 지난해 22%에서 올해 40%로 거의 두 배가 됐다. 로펌에서는 41%가 생성형 AI를 사용하고 있는 것으로 조사됐다.
하지만 로펌과 고객의 AI 사용 원칙은 아직 일치하지 않는다. 로펌 등 외부 서비스업체 응답자의 40%는 서로 다른 고객들로부터 AI를 사용하라는 요구와 사용하지 말라는 요구를 모두 받아본 것으로 조사됐다. 기업 법무부서와 로펌 응답자의 약 4분의 3은 적절한 AI 사용에 관한 대화를 로펌이 먼저 시작해야 한다고 봤다.
이는 로펌의 AI 거버넌스를 전사적인 단일 규칙만으로 운영하기 어렵다는 뜻이다. 같은 AI 도구라도 A기업 사건에서는 허용되고 B기업 사건에서는 금지될 수 있다. AI 사용 여부뿐 아니라 어떤 데이터까지 입력할 수 있는지, AI 결과물을 어느 단계까지 사용할 수 있는지 등 조건도 고객별로 달라질 수 있다.
미국 로펌들이 고객사의 제안요청서(RFP)에서 AI 관련 질문을 받는 경우도 늘고 있다. ABA가 7~8월호에서 공개한 로펌 RFP와 AI에 관한 분석에 따르면 기업 법무부서는 로펌이 어떤 AI를 사용하는지뿐 아니라 AI를 어떻게 관리하고 고객 데이터와 기밀정보를 보호하는지까지 묻고 있다.
AI 거버넌스, ‘금지 목록’에서 지속적인 관리 체계로
법률업계의 AI 관리가 정책 제정을 넘어 지속적인 관리 체계로 이동하는 흐름은 미국에만 국한되지 않는다.
싱가포르 법무부는 3월 6일 ‘법률 분야 생성형 AI 사용 가이드’를 공개했다. 변호사와 사내변호사뿐 아니라 법률 보조인력, 법률기술 담당자와 AI 공급업체 등을 대상으로 한 비구속적 지침이다.
가이드는 AI 도입을 일회성 결정이 아니라 단계적인 관리 과정으로 제시한다. AI 도입 프레임워크 수립에서 시작해 조직의 필요 분석, AI 도구 평가, 도입과 교육을 거쳐 마지막 단계로 ‘지속적인 검토와 개선’을 두고 있다. 기밀유지와 투명성, 전문직 윤리도 별도의 핵심 원칙으로 다룬다.
AI 도입 속도가 빨라질수록 로펌의 과제도 달라지고 있다. 직원들에게 ‘공개형 AI에 고객 정보를 입력하지 말라’는 정책을 배포하는 초기 단계에서 벗어나 누가 어떤 AI를 사용하는지 파악하고, 고객별 제한을 업무 시스템에 적용하며, 위반을 발견하고 시정하는 운영 체계를 만드는 단계로 넘어가는 것이다.
Legalweek에서 제시된 ‘AI 허용 사용 2.0’이라는 표현은 이런 변화를 압축한다. 생성형 AI가 법률업무의 일상적인 도구가 되면서 로펌의 AI 거버넌스도 이제 규칙을 만드는 문제에서 규칙이 실제 업무에서 작동하도록 만드는 문제로 이동하고 있다.
Q&A
Q1. Legalweek의 ‘AI 허용 사용 2.0’은 새로운 법이나 규제인가?
아니다. 미국 정부나 규제기관이 발표한 규정이 아니라 Legalweek 2026에서 ILTA가 지원한 법률기술 교육 세션이다. 현재 Law.com이 녹화된 것으로 보이는 세션을 온디맨드 교육 과정으로 제공하고 있다.
Q2. Law.com 페이지에 CLE라고 쓰여 있는데 변호사가 학점을 받을 수 있나?
이 과정은 받을 수 없다. CLE는 미국 변호사의 계속법률교육을 뜻하지만 Law.com은 이 과정에 ‘NO CLE’라고 명시했다. 따라서 법률 전문가를 대상으로 한 교육 콘텐츠와 CLE 학점 인정 여부는 구별해야 한다.
Q3. AI 사용 정책을 만들어 놓는 것만으로 왜 부족한가?
정책이 있어도 직원이 개인 계정으로 승인되지 않은 AI를 사용하면 조직이 이를 알지 못할 수 있다. 고객별 AI 사용 제한이나 기밀정보 입력 금지 규칙도 실제 업무 과정에서 집행되지 않으면 문서상의 규정에 그친다.
Q4. 변호사가 생성형 AI를 사용하면 AI가 만든 오류에 대한 책임도 AI 회사가 지나?
그렇게 볼 수 없다. ABA Formal Opinion 512는 생성형 AI를 사용하는 경우에도 직무능력, 기밀유지, 감독, 법원에 대한 진실 의무 등 변호사의 기존 윤리적 의무가 적용된다고 설명한다. AI 출력에 대한 적절한 검토가 중요한 이유다.
Q5. 앞으로 로펌의 AI 거버넌스에서 무엇이 중요해질까?
승인 AI 목록을 정하는 데서 더 나아가 실제 사용 현황 파악, 섀도 AI 탐지, 고객별 사용 조건 관리, 데이터 유출 통제, AI 공급업체 평가, 사람에 의한 결과 검증과 지속적인 정책 개선 등이 중요해질 가능성이 크다.
