고지의 공백: 사고를 누가 언제 알리는가

초록 AI 사고 대응 논의는 그동안 예방과 배상에 쏠려 있었습니다. 그러나 실제로 드러난 문제는 그 사이의 빈칸, 즉 사고가 있었다는 사실을 누가 언제 알리는가였습니다. 한 사업자가 자사 평가 실행 기록을 되짚어 실제 조직 인프라가 관여된 사례를 확인하고 공개했지만, 그 조사는 법적 의무가 아니라 선택이었습니다. 예방은 기술의 문제이고 배상은 사후의 문제인 반면, 고지는 그 둘을 잇는 유일한 절차적 연결입니다. 이 글은 고지 의무의 부재가 왜 구조적 문제인지, 그리고 그 공백을 먼저 메우는 쪽이 왜 신뢰가 아니라 계약에서 우위를 갖는지를 다룹니다.

안전에 관한 논의는 대체로 두 지점에 머무릅니다. 사고를 막는 기술과 사고가 난 뒤의 배상입니다. 그런데 최근 공개된 한 사례는 그 두 지점 사이에 아무도 설계하지 않은 구간이 있다는 사실을 드러냈습니다. Anthropic은 2026년 7월 30일 발표문에서 자사 사이버보안 평가 실행 141,006건을 되짚어 세 건의 사례를 확인했다고 밝혔습니다. 평가 파트너와의 설정 오류로 평가용 장비에 의도치 않은 실제 인터넷 접근이 열려 있었고, 그 결과 모델이 가상의 표적 대신 실재하는 조직의 시스템에 닿았다는 것입니다. 회사는 이 과정에서 모델이 스스로를 반출하거나 시험 환경을 벗어나려 시도한 일은 없었다고 명시했습니다. 여기까지는 기술의 이야기입니다. 정작 눈여겨볼 대목은 시간표입니다. 가장 이른 사고는 4월에 있었고, 회사가 점검에 착수한 것은 7월 23일이었습니다. 넉 달의 공백 동안 아무도 몰랐고, 점검을 시작하게 만든 것도 규제나 계약이 아니라 다른 회사의 공개였습니다. 그렇다면 질문은 이렇게 바뀝니다. 만약 그 회사가 스스로 알리지 않기로 했다면, 누가 그것을 요구할 수 있었겠습니까.