Loading...

컴플라이언스

5 Contents
최신순

기조연설: When AI Met Compliance

AI와 저작권의 관계는 영화 '해리가 샐리를 만났을 때'의 주인공들처럼 초기에는 긴장과 대립이 존재하지만, 결국 서로를 깊이 이해하며 발전해 나가는 과정을 닮아 있습니다. 오늘날 생성형 AI의 등장은 창작의 효율성을 극대화했으나, 동시에 이미지나 텍스트 검색 과정에서 흔히 마주치는 저작권 경고 문구처럼 법적 권리에 대한 고민을 깊게 만들고 있습니다. 개인의 사진 한 장을 사용할 때조차 초상권과 창작적 노력이 들어간 저작권의 경계를 검토해야 하는 시대가 도래한 것입니다. 단순히 정보의 정확성을 확인하는 수준을 넘어, 창작물의 정당한 권리를 어떻게 보호하고 활용할 것인가가 AI 시대의 핵심 화두로 떠오르고 있습니다. 기업적 측면에서 AI와 저작권의 갈등은 더욱 치열한 법적 분쟁으로 이어지고 있습니다. 디즈니와 미드저니의 소송 사례처럼, AI가 방대한 데이터를 학습하여 특정 화풍이나 캐릭터를 유사하게 생성하는 행위는 원작자의 창작 가치를 훼손한다는 비판을 받습니다. 특히 지브리 스타일의 이미지 생성 사례는 원저작자의 기여 없이 기술적 편의성만을 추구하는 것이 '공정 이용'의 범위에 포함되는지에 대한 거센 논란을 불러일으켰습니다. 이는 단순히 법률적 해석을 넘어 상업적 서비스에서 원작자의 권리를 어디까지 인정할 것인지, 그리고 기술 발전과 창작자 보호 사이에서 어떤 균형을 잡아야 할 것인지에 대한 사회적 합의가 필요함을 시사합니다. 기술의 발전 이면에는 역설적으로 AI 스스로의 존립을 위협하는 위기가 숨어 있습니다. 개발자들이 지식을 공유하던 대표적인 커뮤니티인 스택 오버플로우의 사례에서 볼 수 있듯이, AI가 즉각적인 답변을 제공하면서 사람들의 자발적인 콘텐츠 생산이 눈에 띄게 줄어들고 있습니다. 만약 십수 년간 축적된 인류의 지식 데이터가 동나기 시작하면, AI 역시 더 이상 학습할 양질의 정보를 얻지 못해 성능이 정체되는 현상이 발생하게 됩니다. 결국 인간의 고유한 창의력이 뒷받침되지 않는 AI는 과거의 데이터를 반복하는 수준에 머물 수밖에 없습니다. 따라서 저작권 보호는 단순히 개인의 권리를 지키는 것을 넘어 AI 생태계의 지속 가능성을 위한 필수 조건입니다. 반면 AI는 복잡해진 오픈소스 컴플라이언스 문제를 해결하는 강력한 조력자가 되기도 합니다. 현대의 소프트웨어 개발에서 AI 모델 자체의 라이선스뿐만 아니라 학습에 사용된 데이터셋의 규정까지 일일이 확인하는 작업은 매우 고난도이며 많은 시간이 소요됩니다. 하지만 AI 기술을 활용하면 수많은 패키지의 라이선스 규칙을 자동으로 분석하고, 카피레프트 조건이나 재배포 가능 여부를 신속하게 판단할 수 있습니다. LG전자의 포스라이트(FOSSLight) 사례처럼 AI가 개발자를 대신해 번거로운 행정 및 검토 작업을 처리함으로써, 사람은 더욱 창의적이고 본질적인 개발 업무에 집중할 수 있는 환경이 조성되고 있습니다. 이는 기술이 인간을 대체하는 것이 아니라 보완하는 훌륭한 사례입니다. 결론적으로 AI와 저작권은 대립하는 경쟁자가 아니라 함께 성장해야 할 동반자입니다. AI 기술이 인간의 지적 재산권을 안전하게 보호하고 효율적으로 관리하는 데 기여할 때, 비로소 기술은 인류에게 진정한 가치를 제공할 수 있습니다. 지적 재산권의 철저한 보호를 통해 인간이 지속적으로 양질의 콘텐츠를 생산하고, 이를 바탕으로 AI가 고도화되는 선순환 구조가 형성되어야 합니다. 기술의 편리함 뒤에 숨은 창작자의 노력을 존중하고 정당한 대가를 지불하는 문화가 정착될 때, 우리는 비로소 AI와 인간이 조화를 이루는 미래를 맞이할 수 있을 것입니다. 상호 존중을 바탕으로 한 협력만이 AI 시대의 진정한 혁신을 완성하는 열쇠가 될 것입니다.

기조연설: When AI Met Compliance
한국전자통신연구원오픈소스 테크데이
  • 융합
  • 공학·기술

Nonfree Firmware와 라이선스 이슈

최근 차량용 반도체 및 SoC 업계에서는 하드웨어 구동을 위한 저수준 소프트웨어인 펌웨어를 둘러싼 오픈소스 라이선스 논란이 뜨겁습니다. 과거 펌웨어는 칩 교체 없이는 수정이 불가능해 하드웨어의 일부로 간주되었으나, 기술 발전으로 교체가 용이해지면서 소스 코드가 공개되지 않는 '논프리 펌웨어'의 라이선스 해석 문제가 부각되었습니다. 기업들은 지식재산권(IP) 보호와 핵심 아키텍처 노출 방지를 위해 소스 코드를 비공개로 유지하는 경향이 있으며, 주로 'request_firmware' 방식을 통해 커널 외부에서 펌웨어를 로드하여 배포합니다. 논프리 펌웨어의 핵심 쟁점은 GPL 2.0의 '파생 저작물' 적용 범위에 있습니다. 커널에 로드되는 펌웨어 블롭이 링킹 방식이 아님에도 불구하고, GPL의 전염성이 어디까지 미치는지에 대해 진영별로 의견이 갈립니다. 자유 소프트웨어 재단(FSF)은 소프트웨어의 자유를 근거로 소스 코드 공개를 강력히 주장하는 반면, 오픈소스 이니셔티브(OSI)는 개발의 편의성과 발전을 중시하여 이를 수용하는 입장입니다. 이러한 갈등은 최근 데비안(Debian) 배포판이 사용자 편의를 위해 공식 설치 미디어에 논프리 펌웨어를 포함하기로 결정하면서 더욱 구체화되었습니다. 오늘날의 펌웨어는 단순히 하드웨어를 구동하는 보조 도구를 넘어, 커널 드라이버와 복잡하게 통신하거나 로드 가능 커널 모듈(LKM) 형태로 존재하는 등 그 구조가 매우 고도화되었습니다. 리너스 토발즈는 커널과 연결된 모든 요소가 GPL과 관계가 있음을 강조하며, 독자적으로 개발된 모듈이라 할지라도 리눅스와의 연관성을 명확히 증명하지 못하면 라이선스 위반 소지가 있음을 경고한 바 있습니다. 이러한 기술적 변화는 기존에 펌웨어를 단순한 바이너리 덩어리로 보던 관성에서 벗어나, 각 제품의 소프트웨어 구조에 따른 면밀한 법적 해석이 필요함을 시사합니다. 현실적으로 논프리 펌웨어에 대한 소송 리스크는 복합적입니다. 과거 VM웨어 사례처럼 개인 개발자가 저작권 침해 소송을 제기했으나 소유권 입증 문제로 기각된 사례가 있는 반면, 최근 비지오(Vizio) 사례에서는 오픈소스 라이선스를 채권적 계약으로 해석하여 소비자에게도 소스 코드 공개 요구 권한을 인정하는 진전이 있었습니다. 하지만 소송 패소 시 발생할 수 있는 GPL 범위의 위축 우려 때문에 FSF 같은 단체들도 조심스러운 입장을 취하고 있습니다. 기업 입장에서는 법적 분쟁뿐만 아니라 오픈소스 커뮤니티의 신뢰 상실과 비판 여론이라는 무형의 리스크까지 함께 고려해야 합니다. 결론적으로 임베디드 소프트웨어의 기능이 복잡해짐에 따라, 펌웨어를 단순한 하드웨어 부속품으로 취급하며 바이너리 배포를 고수하는 관습은 점차 위험한 선택이 될 수 있습니다. 텔레칩스와 같은 기업들은 하드웨어뿐만 아니라 커널을 포함한 SDK 전체를 공개하는 오픈소스 친화적 프로젝트를 통해 이러한 리스크에 선제적으로 대응하고 있습니다. 앞으로의 개발 환경에서는 기술적 효율성과 오픈소스 생태계의 철학 사이에서 균형을 잡는 것이 중요하며, 제품 설계 단계부터 라이선스 컴플라이언스를 철저히 검토하여 지속 가능한 소프트웨어 개발 체계를 구축해야 할 것입니다.

Nonfree Firmware와 라이선스 이슈
한국전자통신연구원오픈소스 테크데이
  • 공학·기술

[EOST2023] 안전한 오픈소스 생태계를 위한 오소리 프로젝트

삼성전자의 '오소리(OSORI) 프로젝트'는 오픈소스 라이선스 정보를 투명하게 공개하여 누구나 법적 의무 사항을 쉽게 준수할 수 있도록 돕는 공익적 목적의 활동입니다. 기존에는 사내 포털인 '삼성 오픈소스 허브'를 통해 개발자들이 특정 프로젝트를 사용해도 되는지 신호등 모델로 직관적으로 알려주는 서비스를 제공해 왔습니다. 이러한 서비스는 복잡한 라이선스 해석 과정을 획기적으로 줄여주고 개발 효율성을 높여준다는 점에서 내부 임직원들로부터 매우 긍정적인 호응을 얻었습니다. 하지만 개별 기업이 독자적으로 DB를 운영하는 데에는 현실적인 한계가 있었습니다. 매일같이 쏟아지는 새로운 오픈소스 프로젝트와 오픈소스 라이선스를 실시간으로 업데이트하기에는 리소스가 부족했고, 법적 판결 사례가 드문 영역 특성상 라이선스 판단의 신뢰성을 확보하는 일도 쉽지 않았기 때문입니다. 개발자들에게는 편리한 신호등 모델이 관리자들에게는 늘 불안함과 찝찝함을 남기는 요소였기에, 이를 해결하기 위한 근본적인 변화가 필요하다는 점을 깊이 통감하게 되었습니다. 이러한 고민을 해결하기 위해 삼성전자는 오픈소스의 핵심 가치인 공유와 협력을 선택했습니다. 국내 커뮤니티인 '오픈체인 코리아 워킹그룹'에서 아이디어를 제안했고, 이에 공감한 LG전자와 카카오가 초기 멤버로 합류하며 프로젝트가 구체화되었습니다. 특히 한국저작권위원회가 중립적인 전문 기관으로서 지원을 약속하며 삼성, LG, 카카오 3사와 함께 업무 협약을 체결하게 되었습니다. 이는 국내 기업들이 각자 쌓아온 노하우를 한곳에 모으는 중대한 전환점이 되었습니다. 프로젝트 팀은 정교한 통합 스키마를 설계하기 위해 제주도에서 합숙까지 감행하며 SPDX 라이선스 리스트를 전수 분석했습니다. 라이선스 전문을 읽으며 의무 사항을 정의하고, 기업 입장에서의 실질적인 리스크를 1~5단계의 레벨과 신호등 모델로 구조화하는 고된 작업을 진행했습니다. 이를 통해 사용자들은 단순한 텍스트 정보를 넘어, 특정 오픈소스를 활용할 때 주의해야 할 제약 조건과 위험 수치를 시각화된 데이터로 명확하게 파악할 수 있는 기반을 마련하게 되었습니다. 오소리 프로젝트는 향후 MySQL 기반의 통합 스키마와 API를 제공하여 누구나 정보를 쉽게 활용하고 기여할 수 있는 개방형 생태계를 구축할 예정입니다. 국내 제조사들이 수십 년간 축적해온 검증 노하우가 집약된 이 DB는 중소기업이나 개인 개발자들에게 실무적인 가이드라인이 될 것입니다. 오픈소스의 진정한 가치가 상생에 있듯이, 오소리 프로젝트가 국내외 오픈소스 컴플라이언스 문화를 선도하고 건강한 소프트웨어 생태계를 만드는 신뢰의 초석이 되기를 기대합니다.

[EOST2023] 안전한 오픈소스 생태계를 위한 오소리 프로젝트
한국전자통신연구원오픈소스 테크데이
  • 공학·기술

EOST2022 출연연 오픈소스 R&D 전략

현대 산업 지형은 오픈소스의 확산과 함께 거대한 변화를 맞이하고 있습니다. 통신망이나 사물인터넷(IoT), 자율주행과 같은 핵심 기술 도메인에서 오픈소스가 차지하는 비중은 이미 95%를 넘어섰으며, 이는 디지털 대전환 시대의 필수적인 기반 기술로 자리 잡았습니다. 따라서 단순히 오픈소스를 활용하는 수준을 넘어, 이를 어떻게 이해하고 연구 개발에 전략적으로 통합할 것인지가 국가 경쟁력과 디지털 대전환의 성패를 가르는 중요한 기준이 되고 있습니다. 정부와 정부출연연구기관(출연연)은 이러한 흐름에 발맞춰 오픈소스 R&D를 혁신의 핵심 동력으로 삼고 있습니다. 소프트웨어 진흥법 개정을 통해 오픈소스 방식의 개발과 결과 배포를 장려하고 있으며, 연구 개발 전 주기에 걸친 비즈니스 모델과 커뮤니티 운영 전략 가이드라인을 마련해 배포하고 있습니다. 이는 기존의 폐쇄적인 연구 문화를 개방과 공유의 가치로 전환하여 연구 성과의 확산성을 높이고, 출연연이 오픈소스 생태계 내에서 주도적인 역할을 수행하도록 돕습니다. 성공적인 오픈소스 R&D를 위해서는 기술적 접근뿐만 아니라 제도와 조직, 그리고 개방형 문화를 아우르는 통합적인 거버넌스 체계가 필수적입니다. 거버넌스는 비전 제시와 효율적인 관리를 위한 전략적 기반을 제공하며, 특히 연구원 간의 활발한 지식 공유가 일어나는 '이너소스' 협업 문화를 정착시키는 데 중점을 두어야 합니다. 제도적 정비를 통해 오픈소스 활용과 기여를 가로막는 장벽을 제거하고, 자발적인 참여가 보상받는 환경을 조성할 때 비로소 지속 가능한 연구 생태계가 구축될 수 있습니다. 기술적인 관점에서는 오픈소스 공급망 관리와 컴플라이언스의 중요성이 더욱 강조됩니다. 라이선스 위반 리스크를 최소화하고 보안 취약점을 체계적으로 관리하기 위해 국제 표준인 ISO/IEC 5230 등을 준수하는 검증 체계가 도입되어야 합니다. 복잡한 규격 준수 과정이 연구의 몰입을 저해하지 않도록, 도구의 직관성을 높이고 별도의 교육 없이도 사용 가능한 환경을 제공하여 연구자의 실질적인 편의를 도모하는 것이 기술 지원의 핵심입니다. ETRI는 지난 2019년부터 구축해온 오픈소스 거버넌스 체계를 바탕으로, 연구 전 주기를 지원하는 협업 플랫폼과 자동화 시스템을 고도화하고 있습니다. 제도와 인력 양성, 국제 표준화 활동 등 7가지 방향성을 중심으로 개방형 R&D 인프라를 확충하며, 연구 산출물의 무결성을 확보하고 기술 이전의 효율성을 높이는 데 주력하고 있습니다. 이러한 노력은 궁극적으로 연구자들이 자유롭게 소통하고 협력하는 환경을 조성하여, 국내 연구 역량이 글로벌 시장으로 뻗어 나가는 발판이 될 것입니다.

EOST2022 출연연 오픈소스 R&D 전략
한국전자통신연구원오픈소스 테크데이
  • 융합
  • 공학·기술

EOST2022 패널토의: 개방형 오픈소스 SW 컴플라이언스 체계 구축 및 공급망 관리

현대 소프트웨어 개발 환경에서 오픈소스는 선택이 아닌 필수적인 요소로 자리 잡았습니다. 단순히 외부 코드를 활용하는 수준을 넘어, 기업들은 이를 체계적으로 관리하기 위한 전사적인 거버넌스 체계를 구축하고 있습니다. 오픈소스는 소스 코드 제공과 무상 사용, 수정 및 배포의 자유를 보장하지만, 그 이면에는 저작권과 특허라는 법적 독점권이 존재합니다. 만약 라이선스 조건을 위반할 경우 저작권 침해나 계약 위반으로 인해 손해 배상 청구 또는 제품 판매 금지라는 막대한 리스크에 직면할 수 있습니다. 따라서 기업은 라이선스 의무 사항을 철저히 지키는 컴플라이언스 절차를 수립하여 법적 분쟁을 사전에 방지해야 합니다. 과거에는 라이선스 준수가 관리의 중심이었다면, 최근에는 보안 취약점 대응이 핵심적인 화두로 떠오르고 있습니다. 오늘날의 소프트웨어는 수많은 서드파티 라이브러리와 API가 복잡하게 얽혀 있어 단일 프로그램만으로 구성되지 않습니다. 지난 2021년 발생한 Log4Shell 사태는 오픈소스의 보안 취약점이 어떻게 연쇄적인 위협으로 이어질 수 있는지 보여준 대표적인 사례입니다. 특정 오픈소스의 결함이 전체 시스템의 쉘 권한 탈취로 이어지는 등 심각한 사고를 유발할 수 있기 때문에, 기업들은 라이선스 관리를 넘어 보안 관점에서도 오픈소스를 상시 모니터링하고 신속하게 업데이트할 수 있는 체계를 갖추어야 합니다. 자동차 산업 역시 하드웨어 중심에서 SDV로 패러다임이 완전히 전환되며 오픈소스 관리의 중요성이 어느 때보다 강조되고 있습니다. 현대의 자동차는 수많은 제어 장치가 유기적으로 연결된 '바퀴 달린 컴퓨터'와 같으며, 소프트웨어의 신뢰성은 곧 고객의 생명 및 안전과 직결됩니다. 특히 자동차 공급망은 1차부터 수차 협력사까지 매우 복잡하게 얽혀 있어 어느 한 곳에서라도 오픈소스 관리에 실패하면 제품 전체의 안전성과 법적 지위가 위태로워질 수 있습니다. 따라서 제조사는 물론 모든 공급망 참여자가 높은 수준의 검증 기준을 공유하고 유기적으로 협력하여 소프트웨어의 투명성을 확보하는 것이 필수적입니다. 오픈소스 관리의 범위는 외부 배포용 제품을 넘어 기업 내부 시스템과 인프라 영역으로도 점차 확대되는 추세입니다. 그동안 내부망은 상대적으로 안전하다는 인식이 강했으나, 오픈소스 라이선스 정책의 갑작스러운 변경이나 잠재적인 보안 위협은 내부 시스템에도 치명적인 영향을 미칠 수 있습니다. 이를 효과적으로 관리하기 위해 소프트웨어 자재 명세서인 SBOM의 도입이 본격화되고 있습니다. SBOM은 소프트웨어 구성 요소를 투명하게 기록하여 투명성을 확보하고, 문제 발생 시 신속한 탐지와 대응을 가능하게 합니다. 이는 복잡해진 소프트웨어 공급망 내에서 기업 간 신뢰를 구축하는 핵심적인 수단으로 활용되고 있습니다. 글로벌 시장 진출을 노리는 기업들에게 오픈소스 관리는 이제 필수적인 규제 준수 요건이 되었습니다. 미국의 행정 명령이나 오픈소스 보안법 상정 등은 SBOM 제출을 의무화하며 투명한 소프트웨어 공급망 관리를 강력하게 요구하고 있습니다. 이러한 흐름은 비단 특정 국가에 국한되지 않고 글로벌 표준으로 확산되고 있으며, 국제 표준인 OpenChain ISO/IEC 5230 인증은 기업의 컴플라이언스 역량을 증명하는 중요한 척도가 되었습니다. 규제 당국과 고객사는 이제 제품의 기능뿐만 아니라 그 이면의 소프트웨어가 얼마나 투명하고 안전하게 관리되고 있는지를 엄격하게 평가하며 시장의 기준을 높이고 있습니다. 방대한 오픈소스와 복잡한 공급망을 수동으로 관리하는 것은 현실적으로 불가능하기 때문에, 기업들은 자동화 도구를 적극적으로 도입하고 있습니다. 실시간 검증 도구는 개발 단계에서 이슈를 즉시 발견하여 사후 수정에 드는 막대한 비용을 절감해 주며, 스캐닝 도구는 소스 코드 내의 라이선스 정보를 신속하고 정확하게 파악합니다. 특히 선도 기업들은 자체 개발한 관리 도구를 오픈소스로 공개하여 생태계 전반의 역량을 끌어올리는 데 기여하고 있습니다. 이러한 공유와 협력은 중소 규모의 기업들도 표준화된 관리 체계를 갖출 수 있도록 돕고, 결과적으로 소프트웨어 공급망 전체의 안전성과 신뢰성을 강화하는 선순환 구조를 만들어냅니다. 결국 오픈소스 관리의 성패는 개별 기업의 노력을 넘어선 연대와 커뮤니티 활동에 달려 있습니다. OpenChain 코리아 워킹 그룹과 같은 커뮤니티는 기업들이 실무적인 고충을 나누고 최신 기술 동향에 공동으로 대응하는 귀중한 장을 제공합니다. 정부와 공공 기관 역시 전문성이 부족한 조직을 위해 가이드라인을 제시하고, 서비스형 소프트웨어 형태의 관리 도구를 보급하는 등 생태계 지원을 강화해야 합니다. 오픈소스를 단순히 소비하는 주체에서 생태계에 기여하고 투명하게 소통하는 일원으로 거듭날 때, 우리 소프트웨어 산업은 더욱 견고한 신뢰를 바탕으로 혁신적인 성장을 지속할 수 있을 것입니다.

EOST2022 패널토의: 개방형 오픈소스 SW 컴플라이언스 체계 구축 및 공급망 관리
한국전자통신연구원오픈소스 테크데이
  • 융합
  • 공학·기술