승인 없는 자료전송으로 간주될 수 있는 구조

산업기술보호법 제36조에 따르면 국가핵심기술에 해당하는 자료를 외국에서 사용될 것을 알면서 국외로 반출하거나 외국인에게 제공하는 행위는 승인·신고 없이 이루어져 처벌 대상입니다. 해외 클라우드 기반 AI 서비스에 자료를 입력하면 서버가 국외에 있는 만큼 자료전송이나 클라우드 접근 허용으로 해석될 여지가 있습니다. 지정된 국가핵심기술은 79개이며, 위반 시 법정형은 징역형에 이릅니다.

출처: 조사 출처

고의 요건과 적용 범위가 걸림돌

동 조항은 '외국에서 사용될 것을 알면서'라는 고의를 요구하고 국가핵심기술 해당 자료를 전제로 하므로, 일반적인 해외 AI 이용 자체가 불법 이전을 의미하는 것은 아닙니다. 다만 국내에 저장된 자료를 쓰더라도 연산은 해외에서 이뤄지는 구분 문제 등 구체적 판단 기준은 불명확합니다. 증권·산업 정보를 해외 AI에 넣는 행위가 어느 지점에서 규제 대상이 되는지 실무 기준이 없는 상태입니다.

정부 보안 가이드라인은 법 집행 기준과 별개

국정원은 2023년 6월 '챗GPT 등 생성형AI 활용 보안 가이드라인'을 배포했고, 2025년 12월에는 '국가·공공기관 AI보안 가이드북'을 내왔습니다. 이는 공공 보안 권고에 해당하며 산업기술보호법상 국가핵심기술 판단 기준과는 다른 체계입니다. 국감 자료에 나온 21곳 건의 등 수치는 단일 출처 보도에 의존하고 있어 독립적인 확인이 아직 이뤄지지 않았습니다.

"해외 AI를 쓰면 기술유출범이 될 수 있다"는 통념적 제목과 달리, 실제 적용은 79개 지정 기술 취급자로 한정되고 실제 처벌 사례가 아닌 가능성 서술입니다. 헤드라인의 '몰린다'는 표현은 적용 대상과 요건을 축소해 담은 것으로 보이며, 주장은 법 조항 구조상 대체로 사실입니다. 정부의 구체적 판단 기준 마련 여부와 실제 집행 사례가 나오는지는 후속 관측이 필요합니다.