최근 IT 업계에서 가장 뜨거운 감자는 단연 생성형 AI(Generative AI)입니다.

ChatGPT, Gemini, Claude, Microsoft Copilot 등 다양한 LLM(거대 언어 모델) 기반 서비스가 업무 효율을 혁신적으로 개선할 것으로 기대되는 가운데, 이러한 AI가 생성한 콘텐츠가 향후 법적 분쟁이나 감사 과정에서 예상치 못한 ‘뇌관’이 될 수 있다는 지적이 나왔습니다.

이번 포스팅에서는 생성형 AI 콘텐츠가 e디스커버리(eDiscovery) 과정에서 어떤 문제들을 야기할 수 있으며, 기업들은 이러한 현대적인 데이터 과제에 어떻게 대비해야 하는지에 대해 심층적으로 분석합니다.

생성 AI 콘텐츠의 무한한 확장과 그 그림자

기업 내에서 생성형 AI의 활용은 이미 광범위하게 이루어지고 있습니다.

챗봇과의 대화 기록, 계약서 초안, 이메일 작성, 개발 도구를 활용한 코드 생성, 대량의 마케팅 문구 제작 등 그 형태는 실로 다양합니다.

특히 Microsoft Copilot과 같이 기업 환경에 통합된 솔루션을 통해 공식적으로 사용되는 경우도 많지만, 직원들이 기업의 승인 없이 개인적으로 ChatGPT와 같은 외부 서비스를 사용하는 ‘섀도우 IT(Shadow IT)’ 또한 심각한 문제입니다.

한 연구에 따르면, IT 의사 결정권자의 85%가 직원들이 IT 부서의 평가 전에 이미 AI 도구를 도입하고 있다고 답했습니다.

e디스커버리 관점에서 볼 때, 이러한 미승인 AI 사용은 더욱 중요합니다.

기업용 플랫폼은 사용자 ID, 생성 시점 등 수집 및 분석에 도움이 되는 메타데이터를 제공하는 경우가 많지만, 섀도우 IT 도구는 누가, 언제, 무엇을 만들었는지에 대한 기록이 거의 남지 않아 실제 증거 수집 및 분석 과정에서 큰 어려움을 초래할 수 있습니다.

법적 분쟁의 새로운 불씨, AI 생성 콘텐츠

생성형 AI의 산출물은 다양한 법적 분쟁 상황에서 핵심적인 쟁점이 될 수 있습니다.

  • 고용 분쟁: 직원의 성과 검토 보고서나 내부 메모가 AI에 의해 초안 작성되었는지 여부가 쟁점이 될 수 있습니다.
  • 지식재산권 소송: AI가 생성한 코드나 텍스트가 제3자의 저작권을 침해했는지, 혹은 기밀 정보가 부적절하게 공개되었는지 등이 문제가 될 수 있습니다.
  • 계약 분쟁: 계약서의 주요 문구가 사람에 의해 작성되었는지, 기계에 의해 생성되었는지에 따라 계약 해석이 달라질 수 있습니다.
  • 사기 및 허위 진술: AI가 생성한 보고서, 성명서, 심지어 이미지가 사람에 의해 작성된 것처럼 표현되었다면 분쟁의 소지가 있습니다.

이러한 상황에서는 AI에 입력된 ‘프롬프트(Prompt)’와 AI가 생성한 ‘응답(Output)’ 모두 중요한 증거가 될 수 있으며, 그 양은 실로 방대할 수 있습니다.

OpenAI와 뉴욕타임스의 저작권 침해 소송에서 OpenAI는 ChatGPT 사용 빈도를 파악하기 위해 2천만 건의 로그 샘플 제출을 제안했고, 뉴욕타임스는 이에 맞서 1억 2천만 건의 채팅 로그 제출을 요구했습니다.

이는 AI 생성 콘텐츠의 증거로서의 잠재력을 단적으로 보여줍니다.

e디스커버리, AI 생성 콘텐츠의 복잡한 도전 과제

AI 생성 콘텐츠의 e디스커버리는 단순히 전자 저장 정보를 보존, 수집, 검토, 제출하는 기술적 측면을 넘어 저작권, 출처, 그리고 진위 여부에 대한 복잡한 질문들을 제기합니다.

  • 저작권 및 소유권: AI 생성물의 ‘진정한’ 저작권자는 누구일까요? 프롬프트를 입력한 사람, AI를 개발한 기업, 혹은 AI 자체일까요? 법원은 책임 소재를 가리기 위해 입력과 출력 모두를 검토해야 할 수 있습니다.
  • 메타데이터 및 출처: 많은 AI 플랫폼은 기본적으로 메타데이터를 보존하지 않습니다. Microsoft Copilot은 사용자 연동 로그를 유지하지만, 일반적인 소비자용 도구는 그렇지 않을 수 있습니다. 적절한 출처 정보 없이는 해당 콘텐츠가 AI에 의해 생성되었는지, 사용자가 편집했는지, 혹은 다른 곳에서 복사된 것인지 입증하기 어렵습니다.
  • 진위 및 인증: 연방 증거 규칙 901조는 증거의 인증을 요구하지만, AI 생성 초안이나 챗봇 대화의 진위성을 입증하는 것은 개발 중인 과제입니다.
  • 보존 및 법적 보존 의무: 모든 AI 상호작용이 자동으로 저장되는 것은 아닙니다. 기업이 감사 로그를 활성화하거나 생성된 결과물을 캡처하는 조치를 사전에 취하지 않으면, 관련성이 있는 콘텐츠가 영구적으로 손실될 위험이 있습니다. 이는 소송 보존 의무가 발생하는 경우, AI 콘텐츠가 삭제되었을 때 ‘증거 인멸’의 위험으로 이어질 수 있습니다.
  • 특권 및 기밀성: AI 프롬프트에는 법적 전략에 대한 질문 등 민감하거나 특권이 있는 정보가 포함될 수 있습니다. 이러한 정보를 ChatGPT와 같은 공개 플랫폼에 입력하면 특권이 상실될 수 있으며, 해당 프롬프트가 증거 제출 요청의 대상이 될 수 있습니다. 이러한 문제들은 소송이 제기되기 전에 사전적으로 대비해야 합니다.

생성 AI 콘텐츠 수집의 실질적 고려 사항

생성형 AI 콘텐츠의 수집은 기존의 이메일이나 문서 저장소와는 다른 기술적, 전략적 도전 과제를 안고 있습니다.

AI 시스템은 초안, 프롬프트, 결과물이 안정적인 위치에 저장되지 않을 수 있는 동적인 환경이기 때문입니다.

e디스커버리 목적의 수집 전략은 다음 사항들을 고려해야 합니다.

  • 기업 내 로깅 및 컴플라이언스 도구 활용: Microsoft 365 환경에서는 Purview 감사 로그나 관련 컴플라이언스 솔루션을 통해 Copilot 상호작용 기록을 캡처할 수 있습니다. 여기에는 사용자 프롬프트, 타임스탬프, AI 생성 결과물 등이 포함될 수 있습니다. 이러한 로그를 구조화된 형식으로 내보내면 기존 문서와 함께 e디스커버리 플랫폼으로 가져와 분석할 수 있습니다.
  • 대화 기록 및 내보내기: AI 채팅 기록이 보존되는 환경(예: ChatGPT Enterprise, Slack 또는 Teams 통합)에서는 사용자 입력과 AI 응답을 모두 보존해야 합니다. 가능한 경우 세션 메타데이터(사용자 ID, 날짜/시간, 맥락)와 함께 저장하는 것이 이상적입니다. 반면, 일부 소비자용 AI 도구는 내보내기 API를 제공하지 않아, 엔드포인트 포렌식, 스크린샷, 혹은 사용자 자체 생산과 같은 방법이 필요할 수 있습니다. 이러한 방법은 확장성이 떨어지고 방어력이 약합니다.
  • 형식 및 정규화: 수집된 AI 생성 콘텐츠는 검토 가능한 형식으로 변환되어야 합니다. 프롬프트와 응답은 채팅 스타일의 스크립트나 구조화된 JSON 또는 CSV 내보내기 형태로 e디스커버리 플랫폼에 로드하는 것이 좋습니다. 올바른 정규화 과정을 통해 검토자는 결과물의 일부만이 아닌, 상호작용의 전체 맥락을 파악할 수 있습니다.
  • 검색 및 검토 고려 사항: 프롬프트에 민감하거나 특권이 있는 내용이 포함될 수 있으므로, 법무팀은 키워드 검색이나 TAR(기술 지원 검토)/AI 검토 워크플로우 적용 시 각별한 주의가 필요합니다. 검토 효율성을 높이려면 프롬프트, 결과물, 그리고 인간이 수정한 내용을 명확하게 분리하는 것이 중요할 수 있습니다.
  • 섀도우 IT 시나리오: 직원이 승인되지 않은 AI 도구를 사용한 경우, 수집은 종종 수동으로 이루어집니다. 관련 AI 생성 콘텐츠를 식별하기 위해 사용자 인터뷰, 엔드포인트 수집, 브라우저 기록 검토 등이 필요할 수 있습니다. 이러한 경우, 변호사는 비례성 원칙을 신중하게 고려해야 합니다.

궁극적으로 수집의 방어 가능성은 체계적인 프로세스를 입증하는 데 달려 있습니다.

즉, 관련 저장소를 식별하고, AI 상호작용 데이터를 보존하며, 보관 연속성을 문서화하고, 기존 플랫폼에서의 검토 가능성을 보장하는 것입니다.

AI 생성 콘텐츠 e디스커버리를 위한 5가지 최적 사례

기업은 생성형 AI 콘텐츠를 ‘나중에 생각할 문제’로 여겨서는 안 됩니다.

이를 염두에 두고, AI 생성 콘텐츠 e디스커버리를 위한 5가지 최적 사례를 제시합니다.

  • 명확한 회사 정책 수립: 승인된 기업용 GenAI 도구 사용과 승인되지 않은 섀도우 IT 사용을 명확히 구분하는 정책을 개발해야 합니다.
  • 사용자 인터뷰에 AI 관련 질문 포함: 직원 인터뷰 시 AI 도구 사용 여부, 사용 방식, 생성된 콘텐츠의 종류 등에 대한 질문을 포함하여 잠재적 증거를 파악해야 합니다.
  • IT 부서와의 협력 강화: IT 부서와 긴밀히 협력하여 기업 내 AI 도구 사용 현황을 파악하고, 섀도우 IT를 탐지 및 관리하기 위한 기술적 솔루션을 모색해야 합니다.
  • 데이터 보존 정책 업데이트: AI 생성 콘텐츠의 보존 및 폐기 정책을 재검토하고, 잠재적으로 관련성이 있는 AI 데이터를 효과적으로 보존할 수 있는 절차를 마련해야 합니다.
  • 전문가와 협력: AI 생성 콘텐츠의 수집, 분석, 법적 쟁점 해결을 위해 e디스커버리 전문가 및 법률 전문가와의 협력을 적극적으로 고려해야 합니다.

생성형 AI는 우리 업무 방식을 근본적으로 변화시키고 있습니다.

이러한 변화 속에서 AI가 생성한 데이터는 더 이상 무시할 수 없는 중요한 증거가 될 가능성이 높습니다.

기업은 지금부터라도 AI 생성 콘텐츠의 법적, 기술적 함의를 깊이 이해하고, 체계적인 대비책을 마련해야 할 것입니다.