정부 계약, AI 학습 금지하고 데이터 삭제 의무화
말레이시아 정부에 인공지능 서비스를 제공하는 기업은 정부 데이터나 공공 데이터를 모델 학습에 사용할 수 없다고 고빈드 싱 데오 디지털부 장관이 2026년 10월 20일 서면 의회 답변에서 밝혔다. 이 제한은 모든 정부 AI 조달 계약에 명시되며, 처리 후 데이터를 삭제하도록 공급업체에 요구한다.
목차
고빈드 장관은 파시르 마스 지역구의 국민연합 소속 아흐마드 파들리 샤아리 의원의 질의에 답했다. 샤아리 의원은 해외 공급업체를 포함한 클라우드 및 AI 기업이 처리하는 정보가 어떻게 말레이시아의 통제 아래 남는지 물었다. 고빈드 장관은 답변에서 저장 위치, 암호화, 정부 시스템 접근, AI 공급업체의 정보 재사용을 규율하는 통제 방안을 제시했다.
실무상 핵심은 정부 업무를 수행하기 위해 정보를 사용하는 것과 공급업체의 AI 모델을 개발하는 데 그 정보를 사용하는 것의 차이다. 정부 기관은 특정 서비스를 위해 정보를 처리할 AI 시스템이 필요할 수 있다. 고빈드 장관이 설명한 계약상 제한에 따라 공급업체는 해당 정보를 모델 학습 자료로 사용할 수 없으며, 처리가 끝난 뒤 보관할 수도 없다.
학습은 AI 모델이 사례에서 패턴을 익히는 과정이다. 처리는 시스템이 입력받은 정보를 활용해 작업을 수행하는 것이다. 두 활동을 분리하면 기관은 공급업체에 정보를 전송한 뒤 정보가 어떻게 처리되는지 계약을 근거로 통제할 수 있다.
고빈드 장관은 디지털부가 AI 시스템의 전체 생애주기에 걸친 책임성을 다루기 위해 AI 거버넌스 법안을 마련하고 있다고도 밝혔다. 이미 제시된 조치는 정부 계약, 보안 지침, 공공 부문 가이드라인을 통해 시행되며, 제안된 법안은 책임성을 위한 더 폭넓은 틀을 마련할 예정이다.
정부 데이터 유형별 허용 저장 위치
말레이시아의 저장 규정은 정보의 민감도에 따라 달라진다. 고빈드 장관에 따르면 기밀 또는 최고기밀로 분류된 자료는 정부 데이터센터에 보관해야 한다. 비밀 및 제한 정보는 말레이시아에 위치한 프라이빗 또는 하이브리드 클라우드 환경에만 저장할 수 있다. 공개된 비민감 정부 데이터만 해외 클라우드 서비스에 보관할 수 있다.
클라우드 서비스는 네트워크를 통해 접근하는 컴퓨팅 인프라에서 정보를 저장하거나 처리한다. 프라이빗 클라우드는 특정 기관 전용이며, 하이브리드 클라우드는 서로 다른 컴퓨팅 환경을 결합한다. 고빈드 장관이 설명한 기준에 따르면 정부 기록의 분류에 따라 기관이 이용할 수 있는 저장 방식이 결정된다.
- 기밀 및 최고기밀 정보: 클라우드 서비스가 아닌 정부 데이터센터에 저장
- 비밀 및 제한 정보: 말레이시아에 위치한 프라이빗 또는 하이브리드 클라우드 환경에 저장
- 공개된 비민감 정보: 해외 클라우드 환경에 저장 가능
따라서 기관이 공급업체를 선정할 때는 먼저 정보 자체를 살펴야 한다. 공급업체가 데이터를 처리할 수 있다고 해서 데이터의 호스팅 위치까지 결정되는 것은 아니다. 서비스를 이용하기 전에 기관은 보안 등급에 맞춰 저장 방식을 정해야 한다.
암호화 키는 정부가 관리
고빈드 장관은 국가 암호화 정책에 따라 정부 데이터를 저장할 때와 시스템 간에 전송할 때 모두 암호화해야 한다고 밝혔다. 이 보호 조치는 각각 저장 데이터 암호화와 전송 데이터 암호화로 불린다.
암호화는 읽을 수 있는 정보를 코드화된 내용으로 바꾼다. 암호화 키가 있어야 이를 다시 읽을 수 있는 형태로 복원할 수 있다. 고빈드 장관에 따르면 기밀 시스템과 데이터에 사용되는 키는 정부가 소유하고 통제한다. 이를 통해 외국 서비스 제공업체가 다른 나라 당국의 요청을 받더라도 내용을 독자적으로 읽지 못하게 하는 것이 목적이다.
저장 규정과 키 통제는 같은 문제의 서로 다른 측면을 다룬다. 저장 규정은 정보가 어디에 있을 수 있는지를 정하고, 키 소유권은 암호화된 내용을 읽을 수 있는 수단을 누가 보유하는지를 정한다. 정부는 기밀 정보의 경우 호스팅 위치 제한과 함께 이러한 통제권도 유지한다고 밝혔다.
정부 시스템에 누가 접근할 수 있나
정부 서비스 제공업체로 선정된 기업은 보안 심사를 받아야 한다. 고빈드 장관은 정부 시스템 접근 권한이 개인의 역할에 따라 부여되고, 두 가지 이상의 인증 요소를 사용해야 하며, 감사를 위해 기록된다고 밝혔다.
역할 기반 접근은 개인에게 허용된 업무에 따라 접근 권한을 부여하는 방식이다. 다중 요소 인증은 비밀번호 외에 추가 보안 확인을 요구한다. 감사 기록은 나중에 검토할 수 있도록 접근 내역을 남긴다.
이러한 요건은 서버 위치를 넘어 보호 범위를 넓힌다. 말레이시아에 호스팅된 시스템이라도 누가 접근할 수 있는지, 어떤 정보에 접근할 수 있는지, 활동 기록이 남는지 통제해야 한다. 공급업체 심사, 제한된 권한, 접근 기록은 정부 데이터 처리 조건의 일부다.
기관은 AI 처리 전 데이터 최소화해야
고빈드 장관에 따르면 GPAISA로 알려진 공공 부문 AI 도입 가이드라인은 기관에 사용 데이터의 양을 최소화하고, AI 시스템이 처리하기 전에 정보를 가리거나 익명화하도록 요구한다. 데이터 최소화란 업무에 필요한 정보만 사용하는 것이다. 정보를 가리거나 익명화하면 개인을 식별할 수 있는 정보의 노출을 줄일 수 있다.
국가디지털부의 공공 부문 AI 가이드라인은 말레이시아 법률 및 정책 준수, AI 윤리 7대 원칙, AI 관련 개인과 기관의 책임, 도입 절차, 위험 관리를 다룬다. 부록에는 말레이시아와 해외의 공공 부문 활용 사례와 윤리 준수 자가 평가 항목이 포함돼 있다.
국가디지털부의 AI 이니셔티브 보고서는 GPAISA가 공공기관에서 AI를 윤리적이고 투명하며 책임감 있게 활용하도록 돕는 참고 자료라고 설명한다. 이 가이드라인은 서비스 제공 개선, 정부 운영 강화, 신기술 기반 혁신 촉진에 초점을 맞춘다. 국가디지털부는 2025년 정부 기관에 AI 정책과 관행을 조율할 수 있도록 기술 자문 서비스 40건을 제공했다.
이 체계는 공급업체뿐 아니라 기관에도 책임을 부여한다. AI 서비스에 정보를 보내기 전에 기관은 업무에 필요한 데이터의 양과 식별 정보를 보호할 방법을 검토해야 한다. 이후 계약을 통해 공급업체가 받은 정보를 어떻게 사용하고 삭제할지 규율한다.
윤리 평가와 위험 관리 조항은 AI 시스템을 도입할지, 도입한다면 어떻게 활용할지에 대한 더 폭넓은 판단에도 데이터 처리를 포함한다. 조달은 그 판단의 한 단계일 뿐이며, 정보 준비와 결과 서비스에 대한 책임도 기관의 업무에 속한다.
2025년 2월 발표된 체계
디지털부의 가이드라인 발표 자료에 따르면 GPAISA는 2025년 2월 27일 푸트라자야 르메르디앙 호텔에서 발표됐다. 국가디지털부는 말레이시아 디지털경제공사와 함께 공공기관 전용 참고 자료로 이 가이드라인을 마련했다.
고빈드 장관은 공공서비스부 운영 담당 부총국장 다토 모드 샤이풀 빈 이브라힘과 함께 발표 행사를 주재했다. 행사에는 정부 부처장, 최고디지털책임자, 공공 부문 기술 관리자, 업계 관계자가 참석했으며 정부의 AI 활용 사례, 윤리, 거버넌스를 주제로 한 세션이 열렸다.
가이드라인은 6개 장과 3개 부록으로 구성돼 있다. 2026년 10월 의회에서 계약상 제한과 제안된 AI 법안 마련 작업이 설명되기 전에 발표됐다. 주요 일정은 다음과 같다.
- 2024년: 개인정보의 해외 이전을 설명하며 고빈드 장관이 언급한 2010년 개인정보보호법 개정
- 2025년 2월 27일: 푸트라자야에서 공공 부문 AI 가이드라인 발표
- 2026년 10월 20일: 고빈드 장관의 서면 의회 답변에서 정부 AI 계약 조건, 저장 규정, AI 거버넌스 법안 마련 작업 설명
민간 부문 이전에는 별도 법적 절차 적용
민간 기업이 처리하는 개인정보와 관련해 고빈드 장관은 2024년 개정된 2010년 개인정보보호법 제129조를 언급했다. 해외 이전 요건에는 정보 주체의 동의와 수신국 법률이 말레이시아 개인정보보호법과 동등한 수준일 것 등이 포함된다고 설명했다.
기업이 개인정보를 해외에 있는 클라우드 서비스로 보내면 국경 간 이전이 발생할 수 있다. 고빈드 장관의 설명에 따르면 이러한 이전에는 개인정보 보호 체계가 적용되며, 정부 정보에는 별도로 제시된 저장 분류와 보안 통제가 적용된다.
공공기관과 기업이 모두 정보를 처리하는 사람들에게 이 차이는 중요하다. 정부의 조달 조건은 AI 계약을 수행하는 공급업체에 적용된다. 개인정보를 처리하는 민간 기업은 해당 정보를 다른 나라로 이전할 때 개인정보보호법 규정을 고려해야 한다.
제안된 AI 법안의 적용 범위
고빈드 장관은 디지털부가 AI 시스템의 전체 생애주기에 걸쳐 기술 제공업체의 책임을 묻기 위한 AI 거버넌스 법안을 마련하고 있다고 밝혔다. 법안은 데이터 품질, 투명성, 설명 가능성 등을 다룰 예정이다. 법안의 의회 제출 시기는 공개되지 않았으며, 답변에는 제안된 처벌이나 구체적인 집행 체계도 담기지 않았다.
데이터 품질은 시스템이 사용하는 정보가 정확하고 해당 업무에 적합한지 등을 다룬다. 투명성은 시스템이 어떻게 개발되고 사용되는지 파악할 수 있는 정도와 관련된다. 설명 가능성은 시스템의 결과나 결정을 사람들이 이해할 수 있도록 하는 것을 뜻한다. 이러한 주제는 AI 서비스의 최초 구매 이후까지 책임성의 범위를 넓힌다.
말레이시아는 컴퓨팅 인프라도 확충하고 있다. 데이터센터와 태양광 발전소를 위한 플랜테이션 부지 재개발로 주요 팜유 기업들이 해당 분야에 진출했다. 앞서 나온 전망에 따르면 데이터센터 전력 수요는 2035년까지 최소 5기가와트에 달할 수 있다. 이는 당시 말레이시아 발전 용량의 약 20%에 해당하며, 정부는 2035년까지 데이터센터 81곳을 운영한다는 목표도 세웠다.
이러한 확장에 따라 기관과 공급업체가 지켜야 할 규정의 실질적 의미도 커진다. 정보를 저장하고 처리할 역량을 확충하면 디지털 서비스 선택지가 늘어난다. 정부 계약, 데이터 분류, 암호화 키, 접근 통제는 기관이 어떤 선택지를 이용할 수 있는지, 공급업체가 정보를 어떻게 다룰 수 있는지를 정한다.
핵심 내용
- 정부 AI 계약은 공급업체가 정부 데이터나 공공 데이터로 모델을 학습하는 것을 금지하고 처리 후 삭제하도록 요구한다.
- 기밀 및 최고기밀 정보는 정부 데이터센터에 보관해야 한다. 비밀 및 제한 정보는 국내 프라이빗 또는 하이브리드 클라우드를 이용할 수 있다.
- 공개된 비민감 정부 데이터만 해외 클라우드 환경에 저장할 수 있다.
- 정부는 기밀 시스템과 데이터의 암호화 키를 통제하며, 공급업체에는 보안 심사와 접근 통제를 적용한다.
- 공공기관은 GPAISA에 따라 AI 처리 전 데이터를 최소화하고 정보를 가리거나 익명화해야 한다.
- 책임성, 데이터 품질, 투명성, 설명 가능성을 다루는 AI 거버넌스 법안이 마련되고 있다.
