작성자: Wiktor Stefański, Digital Colliers의 People & Operations 책임자

SRA(Solicitors Regulation Authority)는 2023년 11월에 AI 가이드라인을 발표했습니다. 2년이 지난 지금, 영국의 대부분 로펌에 들어가서 초안 작성 과정 중 어떤 사건(matters)에 AI가 관여했는지 물어본다면, 어깨를 으쓱하거나 IT 부서에 확인해보겠다는 답변을 듣게 될 것입니다. 그것이 바로 격차입니다. 규제 기관은 합리적인 질문을 던졌지만, 대부분의 실무 현장에는 그 질문에 답할 수 있는 운영적 기반(operational plumbing)이 존재하지 않습니다.

이 글은 규제 준수(compliance)에 대한 공포를 조장하려는 글이 아닙니다. 질문에 답할 수 있는 로펌과 그렇지 못한 로펌을 가르는 지루한 중간 계층(middle layer)에 관한 이야기입니다.

SRA가 실제로 요구한 것

2023년 11월 가이드라인은 무엇인가를 금지하지 않았습니다. 대신 역량(competence), 비밀 유지(confidentiality), 책임(accountability), 그리고 고객 소통(client communication)에 관한 기대치를 제시했습니다. 하지만 그 이면의 의미는, 규제 기관이나 고객이 특정 업무에 AI가 관여했는지 묻는다면 답변할 수 있어야 한다는 것입니다.

대부분의 로펌은 AI 사용을 도구(tooling)의 문제로 취급합니다. 이는 기록(records)의 문제입니다. 만약 특정 사건에서 어떤 일이 일어났는지 재구성할 수 없다면, 이를 감독할 수 없고, 정직하게 비용을 청구(bill)할 수 없으며, 나중에 이를 방어할 수도 없습니다. 2024년 ABA(American Bar Association)의 공식 의견(Formal Opinion) 512번은 비용 청구에 대해 이를 명시했습니다. 즉, AI가 실제로 절약한 시간만큼은 비용을 청구할 수 없다는 것입니다. 이는 AI가 어디에 사용되었는지 알고 있을 때만 가능합니다.

그리고 평판에 미치는 여파(reputational tail)는 실재합니다. 법원 제출 서류에서 AI가 조작한 인용 문구(AI-fabricated citations)를 추적하는 Stanford의 기록에 따르면, 2024년 동안 11개월 만에 87건에서 1,300건 이상으로 급증했습니다. 이것이 눈에 보이는 실패 사례입니다. 눈에 보이지 않는 실패 사례는, 파트너 변호사가 고객의 기밀 문서에 어떤 도구가 사용되었는지 고객에게 말할 수 없는 상황입니다.

사건 단위의 AI 사용 로그(AI usage log)에 실제로 포함되는 내용

사람들이 "AI 로그"라는 말을 들으면 ChatGPT 프롬프트가 나열된 스프레드시트를 떠올립니다. 하지만 그것이 아닙니다. 유용한 로그는 사건 번호(matter number)와 연결되어 있으며, 모든 키입력(keystroke)을 기록하지 않으면서도 어떤 일이 일어났는지 재구성할 수 있을 만큼의 충분한 정보를 포착해야 합니다.

실질적인 형태는 다음과 같습니다:

• 사건 ID (Matter ID) 및 담당 수임료 발생자 (fee earner)
• 사용된 도구 (벤더가 정보를 제공하는 경우 버전 포함)
• 작업 범주 (Task category): 조사 (research), 초안 작성 (first draft), 요약 (summarisation), 검토 (review), 번역 (translation), 수정 (redlining)
• 입력값 분류 (Inputs classification): 고객 비밀 자료 (client-confidential material)가 도구로 전송되었는지 여부 및 해당 벤더 계약 조건
• 출력물 처리 (Output disposition): 보관 (kept), 폐기 (discarded), 실질적 수정 (materially edited), 그대로 사용 (used verbatim)
• 검토자 (Human reviewer) 및 최종 승인 타임스탬프 (timestamp of sign-off)
• 청구 관련 대화를 위한 예상 절감 시간 (Time saved estimate)

모든 프롬프트(prompt)가 다 필요한 것은 아닙니다. 나중에 세 가지 질문에 답할 수 있을 만큼의 정보만 있으면 됩니다: 이 사건에서 AI가 무엇을 했는가, 누가 이를 확인했는가, 그리고 기밀 데이터가 보안 경계(perimeter)를 벗어났는가. 만약 귀하의 로그가 이 질문들에 답할 수 있다면, 귀하는 시장의 대부분보다 앞서 있는 것입니다.

통합이 실제로 실패하는 지점

로펌들이 현재 이를 갖추지 못한 이유는 게으름 때문이 아닙니다. 변호사들이 실제로 사용하는 AI 도구들, 즉 Word의 Copilot, Harvey, Legora, 개인 계정의 ChatGPT 등이 구조화된 이벤트(structured events)를 사건 관리 시스템(matter management system)으로 전송하지 않기 때문입니다. 따라서 로그를 수동으로 유지 관리해야 하는데, 이는 곧 로그가 관리되지 않음을 의미합니다.

이를 성공적으로 구현한 로펌들에서 제가 계속 목격하는 패턴은 다음과 같습니다:

• 승인된 소수의 도구 세트를 선택하고 나머지는 네트워크 계층(network layer)에서 차단합니다.
• 승인된 각 도구는 API를 보유하거나 SSO 기반의 감사 내보내기(audit export) 기능을 갖추고 있습니다.
• 가벼운 서비스(thin service)가 정해진 일정에 따라 해당 내보내기 데이터를 읽어 iManage, NetDocuments 또는 실무 관리 시스템(practice management system)에 사건별로 태그를 달아 이벤트를 게시합니다.
• 수임료 발생자(fee earner)는 업무 시간을 마감할 때 자동 생성된 로그 항목을 확인하거나 수정합니다. 이것이 유일한 수동 단계입니다.

마지막 단계가 중요합니다. 만약 로그 관리에 별도의 워크플로(workflow)가 필요하다면, 그 로그는 사장될 것입니다. 하지만 변호사가 이미 수행 중인 시간 입력(time entry) 과정 내에서 두 번의 클릭만으로 확인이 가능하다면, 그 로그는 살아남을 것입니다.

왜 앞으로 상황이 더 쉬워지지 않고 더 어려워지는가

EU AI Act (EU 인공지능법)의 제50조 투명성 의무는 2026년 8월 2일부터 적용되며, 고위험 (high-risk) 규정은 2027년 12월 2일부터 적용됩니다. 법률 서비스는 고위험 프레임워크가 활발하게 논의되고 있는 여러 범주에 해당합니다. 최종 범위가 무엇이든, 방향은 공개를 줄이는 것이 아니라 더 늘리는 쪽입니다. GDPR (일반 데이터 보호 규정) 벌금은 이미 최대 2,000만 유로 또는 전 세계 매출액의 4%에 달하며, AI Act는 그 위에 자체적인 체계를 추가합니다.

이미 사건(matter) 단위의 AI 로그를 보유하고 있는 로펌들은 2026년과 2027년의 마감 기한을 단순한 설정 변경으로 취급할 것입니다. 그렇지 않은 로펌들은 이를 프로젝트로 취급할 것이며, 로펌에서의 프로젝트는 대개 지연되는 경향이 있습니다.

SRA (Solicitors Regulation Authority)는 2023년 11월에 모두에게 2년의 준비 기간을 주었습니다. 이를 활용한 로펌들은 현재 조용히 인프라 (plumbing)를 구축하고 있습니다. 활용하지 않은 로펌들은 시간 압박 속에서 질문에 답변하게 될 것이며, 이는 규제 질문에 답변하는 가장 좋지 않은 방식입니다.

Sources

• Solicitors Regulation Authority

• American Bar Association

• Stanford Law School (Damien Charlotin tracker)

• European Commission

• European Commission

이 기사는 원래 Digital Colliers Blog에 게시되었습니다. Digital Colliers는 DACH 및 영국 기업의 AI 도입을 돕습니다 — 저희의 AI 컨설팅 서비스를 확인하거나 문의하기를 이용해 주세요.