339조 국부펀드도 뚫렸다…업무용 AI 알고 보니 '중국산'

국가 안보 위협하는 중국산 AI의 기술적 공습

국내 산업 생태계와 국가 안보를 위협하는 기술적 위기가 고조되고 있다. 막대한 자본력과 인프라를 바탕으로 한 중국 기업들이 가성비와 오픈소스를 무기로 삼아 테크 분야부터 금융, 공공 부문에 이르기까지 영역을 넓히며 시장을 잠식하고 있기 때문이다. 이는 단순히 기술을 빌려 쓰는 차원을 넘어, 소프트웨어 공급망의 안보 리스크로 직결된다. 설계 단계부터 데이터 통제권이 국외로 빠져나갈 수 있어 국가적 주권 침해 우려가 현실화되고 있다.

최근 국회 기획재정위원회 국정감사에서는 약 339조 원의 국가 자산을 운용하는 한국투자공사(KIC)의 보안 의식이 문제로 지적됐다. 강민국 국민의힘 의원이 공개한 자료에 따르면, KIC가 전 직원의 업무 효율을 높이기 위해 도입한 AI 보조 시스템의 핵심 설비가 모두 중국산인 것으로 밝혀졌다. 문서 요약과 번역, 주간 보고서 작성 및 국회의원 질의 자료 검색 등에 활용되는 언어모델은 알리바바의 '큐엔(Qwen)3'였으며, 내부 자료 검색용 임베딩 모델은 베이징인공지능연구원(BAAI)의 제품이었다. 특히 BAAI는 중국군 현대화를 지원했다는 이유로 이미 미국 상무부의 수출통제 명단에 포함된 기관이다.

보안 검증 부재가 불러온 기술 주권의 위기

정부 주도의 국책 사업에서도 중국산 기술에 대한 의존도가 드러났다. 과학기술정보통신부가 기술 주권 확보를 위해 추진 중인 '독자 파운데이션 모델(독파모)' 구축 사업에서 네이버클라우드가 탈락한 사례가 대표적이다. 당시 네이버클라우드는 사업 취지에 어긋나게 큐엔의 가중치 등을 우회하여 차용한 사실이 확인되어 감점을 받았다. 문제는 모델 선정 시 성능과 경제성만 고려할 뿐, 개발사의 국적이나 제재 여부 같은 기본적인 보안 검증 기준이 마련되어 있지 않다는 점이다. 이로 인해 개인정보의 국외 이전과 같은 보안 사고 우려가 지속적으로 제기되고 있다. 실제로 지난해 4월, 중국 기업 딥시크(DeepSeek)가 국내 이용자의 개인정보를 고지나 동의 없이 국외로 이전했다가 개인정보보호위원회의 시정 권고를 받은 바 있다.

록브리지네크워크 코리아의 보고서에 따르면, 기업들이 중국산 모델 활용 시 가장 우려하는 점은 데이터 유출(80.2%)이었으며, 개인정보 처리의 불투명성(67.7%)이 그 뒤를 이었다. 중견·중소기업 102곳을 대상으로 한 조사에서는 중국산 서비스를 사용 중이라고 명시적으로 답한 곳은 없었으나, 구체적인 모델명을 제시하자 5곳의 기업이 실제 사용 중임을 시인했다.

글로벌 규제 강화와 국내 업계의 과제

주요 선진국들은 이미 공급망 점검을 통한 제도 정비에 나섰다. 미국 국토안보부는 지난 19일(현지시간) 연방 민간기관 시스템에서 중국 딥시크 기술을 전면 퇴출하도록 명령했다. 규제 범위는 마이크로소프트나 아마존웹서비스(AWS) 등 미국 클라우드를 거치거나 딥시크 모델이 간접 탑재된 제3자 소프트웨어까지 확대되었다. 일본 정부 역시 데이터센터와 클라우드의 안전성 인증제를 신설하며 중국산 배제 조치를 단행했다.

국내 업계에서는 정부가 모델 사용에 대한 안전성 가이드라인을 수립해야 한다는 목소리가 높다. 미국 프론티어 모델 대비 비용을 10분의 1 수준으로 아낄 수 있는 가성비 때문에 중국산 사용 유혹을 뿌리치기 어렵기 때문이다. 독파모 구축의 중요성도 강조되지만, 국가 간 이해관계로 인해 정부의 개입이 조심스러울 수 있다는 시각도 존재한다. 이상근 고려대 정보보호대학원 교수는 "무기 개발이나 웹사이트 개설 등에 필수적인 코드 생성 과정에서 중국산 모델을 사용할 경우 취약점이 발생할 수 있다"며, 정부가 독파모를 확보하는 동시에 기업과 기관의 자생적 경쟁력을 지원하는 전략적 접근이 필요하다고 조언했다.