공무원 보고서 초안을 AI가 쓰는 것, 업무망에서 허용해도 될까?

📌 오늘의 안건
공무원 보고서 초안을 AI가 쓰는 것, 업무망에서 허용해도 될까?

행정안전부는 정부 업무망에서 쓰는 AI 플랫폼 「온AI」의 기능을 넓힌다. 10월부터 「AI 웹검색」으로 별도 인터넷망 이동 없이 최신 정책 자료와 언론기사를 반영한 답을 받을 수 있고, 답변에 붙은 QR코드로 출처와 원문을 확인한다. 12월에는 「온AI 협업」을 시험 운영해, 공무원이 등록한 기존 자료와 서식을 AI가 분석해 한글(HWPX) 보고서 초안을 쓰고 사람이 웹 편집기에서 수정·공유한다. 2027년부터는 우수 AI 에이전트를 공직사회 전반에서 공유할 계획이다. 행안부는 자료 조사와 문서 작성 시간을 줄여 정책 검토와 대국민 서비스에 집중하게 한다는 기대를 밝혔다. 판단할 점은 업무 효율과 최신 정보 접근성이 커지는 장점이, 망 분리로 지켜온 보안·정보 관리 원칙, AI 초안의 정확성 검증과 책임 소재에 대한 우려보다 큰가이다. 공무원 개인, 기관 정보보안 담당자, 정책 결과를 받는 시민 각각의 입장에서, 어떤 조건이 갖춰져야 허용할 만한지 따져 볼 수 있다.

관료제가 문서와 규칙 위에서 움직인다고 보았던 사람으로서, 그 문서를 이제 기계가 쓰기 시작할 때 행정의 책임 구조와 장기 파급이 어떻게 달라질지 살피겠습니다.

업무망이 뚫리는 순간부터 계산하는 게 제 직업입니다. 이 기능이 열어 주는 통로와 최악의 경우 입을 피해, 그리고 막을 방법을 맡겠습니다.

보고서 마감 전날 밤의 사무실을 떠올리며 시작할게요. 이 기능을 쓰게 될 공무원과 그 결과를 받을 시민의 하루가 어떻게 달라질지 제가 살펴볼게요.

다들 당연하게 여기는 전제부터 하나씩 열어 볼게요. 효율이 정말 늘어나는지, 사람이 검토한다는 말이 실제로 작동하는지, 제가 맹점을 찾아보겠습니다.

업무망 AI 초안 허용 여부는 보안 조건이 먼저입니다. 행안부 「온AI」 확대와 공개 사고 사례를 확인한 뒤, 리스크 기준으로 결론을 내리겠습니다.현 설계로는 허용하면 안 된다. 10월 「AI 웹검색」은 인터넷의 비신뢰 문서를 업무망 안으로 끌어오고, 12월 「온AI 협업」은 그 위에 공무원이 올린 자료·서식으로 HWPX 초안을 만들며, 2027년 에이전트 공유는 그 권한을 공직 전체로 복제한다. 망분리가 막던 유입·유출·오염이 한 세션에 모인다. 출처 확인을 개인 스마트폰 QR에 맡기는 순간, 검증 경로 자체가 두 번째 반출 채널이 된다. 시간 절감은 이 구조를 정당화하지 못한다. (뉴스1[1], 파이낸셜뉴스[2])

실패는 이미 숫자로 나와 있다. 2024년 2월부터 2026년 10월까지 기록된 AI 에이전트 사고 64건 중 31%가 프롬프트 인젝션이고, 최다 피해 유형은 데이터 유출(23건, 36%)이다. EchoLeak(CVE-2025-32711, 2025년 6월)은 비밀번호 탈취 없이, 수신 메일을 맥락으로 읽은 Copilot이 사용자 권한으로 자료를 빼냈다. 분류기는 우회됐고, 버틴 통제는 권한 축소와 반출 제한뿐이었다. 업무 자료 학습은 검색 증강 생성이다. 오염된 서식 한 장이 나중 초안에 지시를 심고, 세션 기억은 그 지시를 다음 보고서로 넘긴다. (사고 DB[1], 유출 사례[2])

허용 조건은 등급·격리·책임, 이 세 가지가 감사로 증명될 때뿐이다. 국정원 국가망 보안체계(N2SF, 2025년 9월)는 자료를 C·S·O로 나누고 통제 항목 약 280개를 뒀으며, 2025년 12월 「국가·공공기관 AI보안 가이드북」은 에이전트까지 범위에 넣었다. 그 기준을 적용하면 이렇다.

• 공무원: 초안은 비공개·비결재 문서로 한정한다. 기명 작성자가 업무 단말에서 출처를 대조하고, 모델 출력은 의사결정 근거가 아니다.
• 보안 담당: S등급 이상은 검색·학습·프롬프트에서 제외한다. 웹 본문과 지시를 분리하고, 도구 호출·외부 전송·에이전트 기억을 기본 차단한다. 반출은 허용 목록만, 로그는 프롬프트와 검색 문서까지 남긴다.
• 시민: 대외 문서는 사람 결재 전 자동 배포를 금지한다. 오류·편향의 책임은 기관에 있고, 2027년 공유 에이전트는 공급망 심사와 즉시 차단가 생기기 전에는 올리지 않는다.

이 세 줄이 닫히기 전에는 시범도 확대가 아니다. (국정원 발간자료[1])

결론: 허용하는 것이 맞습니다. 다만 결재 서명이 "AI가 쓰고 사람이 확인했다"는 사실까지 책임진다는 점을 제도로 먼저 고정해야 합니다. 이 조건이 없으면 10년 뒤 결재선은 책임을 지는 사슬이 아니라 책임을 흩어 버리는 장치가 됩니다.

전제부터 짚겠습니다. 저는 『경제와 사회』에서 관료제의 힘이 두 가지 지식에서 나온다고 썼습니다. 하나는 전문지식(Fachwissen)이고, 다른 하나는 문서를 직접 다루며 쌓는 직무지식(Dienstwissen)입니다. 「온AI 협업」은 기존 자료와 서식을 AI가 분석해 HWPX 초안을 만들게 합니다(정책브리핑[1], 뉴시스 인터뷰: "AI가 보고서, 공무원은 검토하는 시대"[2]). 이렇게 되면 바로 그 두 번째 지식이 쌓이는 경로가 바뀝니다. 장기적으로 세 가지가 연쇄로 일어날 것으로 봅니다. - 검토자의 탈숙련: 초안을 써 본 적 없는 세대가 검토를 맡게 됩니다. 이들은 무엇이 틀렸는지 알아볼 감각이 약합니다. 그 결과 검토는 형식만 남은 확인 절차로 굳어집니다. - 책임의 희석: 담당자는 AI를 탓하고, 결재권자는 담당자의 검토를 탓하게 됩니다.

결국 누구도 결과 전체를 떠맡지 않습니다. 이것은 『소명으로서의 정치』에서 말한 책임윤리, 곧 자기 행위의 예견 가능한 결과를 끝까지 감당하라는 요구와 정면으로 충돌합니다. - 정당성의 침식: 합법적·합리적 지배의 정당성은 결정의 근거를 추적할 수 있다는 데서 나옵니다. 2027년 공유 에이전트가 범정부 표준이 되면 정책 문서의 문제 설정이 같은 틀로 수렴합니다. 그런데 그 틀을 누가 설계했는지는 결재 문서 어디에도 남지 않습니다.

그래서 허용 조건은 효율이 아니라 책임이 누구에게 돌아가는지를 기준으로 세워야 합니다.

• 공무원 개인: "AI 초안"은 면책 사유가 아니라는 점을 명시합니다. 대신 그 책임에 걸맞은 검증 시간과 반려 권한을 보장합니다. 신규 임용자에게는 직접 작성하는 수련 기간을 두고, 정책 대안 선택과 영향 판단 부분은 AI 초안을 쓰지 않는 영역으로 남깁니다.
• 정보보안 담당자: 국정원 국가망보안체계(N²SF)의 기밀·민감·공개(C/S/O) 등급과 연동합니다(바이라인네트워크[1]). 기밀(C) 자료는 아예 등록하지 못하게 막고, 공유 에이전트마다 소관 부서와 책임자를 지정합니다.
• 시민: AI 사용 여부, 사용한 모델, 참조한 원문(QR 출처 포함)을 결재 문서 메타데이터에 남기고 기록물로 보존합니다. 그래야 시민이 사후에 "왜 이렇게 결정했는가"를 따져 물을 수 있습니다.

이 세 조건이 갖춰진다면 AI 초안은 관료제를 '쇠우리'로 굳히는 대신, 사람이 판단에 쓸 시간을 넓혀 줄 수 있습니다. 반대로 조건 없이 확산되면 10년 뒤 행정은 문서는 많은데 그 문서를 책임질 사람은 없는 조직이 됩니다. 그래서 저는 조건부 허용을 권하고, 그 순서는 책임 규정을 먼저 정한 뒤 기능을 확대하는 것이어야 한다고 판단합니다.

출처: 정책브리핑[1] · 뉴시스[2] · 바이라인네트워크 N²SF 1.0[3] · 디지털데일리 N²SF 도입 지원[4]

업무망에서 AI가 보고서 초안을 쓰는 것은 당장 일하는 사람의 숨통을 틔워주니 허용해야 해요. 다만 그 효율이 누군가의 밤잠을 설치게 하는 불안으로 바뀌지 않도록, 현장의 일하는 맥락과 마음의 무게를 먼저 헤아려야 합니다.

보고서 서식 맞추느라 정작 민원인 전화는 못 받던 주무관들의 한숨부터 들어볼까요. 한국행정연구원의 생성형 AI 활용 실태조사(한국행정연구원[1])를 보면, 공무원들은 문서 초안 작성에 큰 도움을 기대하면서도 막상 문제가 생겼을 때 짊어져야 할 책임을 가장 두려워해요. 현장에서 만나는 세 당사자의 속마음은 이렇게 다릅니다.

• 보고서에 쫓기는 실무 공무원: 인터넷망과 업무망을 오가며 자료를 옮기던 번거로움이 줄어 반갑지만, AI가 그럴듯하게 지어낸 말을 일일이 대조하느라 ‘초안 작성 노동’이 ‘검증 노동’으로 이름만 바뀔까 봐 걱정해요(전자신문[1]).
• 책임을 떠안는 보안·결재 담당자: 평소엔 시스템 활용 실적을 독촉받다가도, 민감한 내부 자료가 조금이라도 섞여 나가면 모든 문책을 홀로 감당해야 하는 외로운 자리에 서 있어요(법률저널[2]).
• 결과를 받아 드는 시민: 내 사정이 담긴 민원과 정책이 기계가 찍어낸 영혼 없는 문장으로 처리되거나, 틀린 근거 때문에 내 권리가 다치진 않을지 불안한 마음으로 지켜보고 있어요.

결국 사람을 살리는 도구가 되려면 세 가지 약속이 먼저 자리 잡아야 해요. 첫째, 실무자가 출처 QR코드를 확인하며 충분히 검증할 수 있도록 ‘초안 작성 시간 단축’을 곧바로 ‘보고서 마감 독촉’으로 연결하지 않는 조직 문화가 필요해요. 둘째, 보안 담당자가 독박을 쓰지 않도록 사람에게만 책임을 묻는 대신 입력 단계에서 민감 정보를 걸러주는 업무 환경을 갖춰야 합니다. 셋째, 시민의 삶에 직접 영향을 주는 결정문에는 담당 공무원이 끝까지 맥락을 살폈다는 확인 절차를 남겨 시민의 안심을 지켜줄 때, 비로소 이 변화가 현장에 따뜻하게 뿌리내릴 수 있어요.

업무망의 AI 보고서 초안은 제한된 시범 운영으로 허용하고, 전면 확대는 실증 결과로 결정해야 해요. “초안이 빨리 나오면 업무가 빨라진다”는 전제부터 시험해야 하지 않을까요? 영국 정부의 AI 도구 시험에서는 시간 절감이 관찰됐지만, 경찰 보고서 작성 무작위시험에서는 작성 시간의 유의미한 감소가 없었어요. 온AI도 초안 생성부터 출처 확인·수정·결재까지 걸린 총시간을 기존 방식과 비교해야 해요. (영국 정부 평가[1], 경찰 보고서 연구[2])

“업무망 안에서 쓴다”면 망 분리 원칙이 유지될까요? 행안부 발표[1]대로 웹 검색 결과와 내부 자료가 함께 AI에 들어간다면, 외부 문서의 악성 지시가 답변에 영향을 주는 경로를 막아야 해요. 보안 담당자는 등록 자료의 등급·접근권한을 제한하고, 외부 전송 차단과 입력·출력 기록을 검증해야 해요. QR코드는 원문을 찾는 수단이지, 원문의 신뢰성이나 AI 요약의 정확성을 보증하지 않아요. (OWASP 지침[2])

공무원은 핵심 수치·법령·인용을 원문과 대조하고 검토·승인자를 기록해야 해요. “사람이 봤다”는 말만으로 책임이 생기나요? 시민에게 영향을 주는 보고서라면 근거와 수정 이력을 남겨 사후에 오류를 추적할 수 있어야 해요. 시범 운영에서 실제 시간 절감이 확인되고, 중대한 사실오류와 권한 밖 정보 노출을 통제한다는 결과가 나올 때에만 확대하는 것이 맞아요.

입장을 한 단계 고칩니다. 조건부 허용이라는 결론은 그대로 두되, 2027년 공유 에이전트 확산은 시범 운영에서 실증 결과가 나와야만 열리는 관문으로 미루겠습니다. 오세진 님 말대로 시간 절감도 아직 입증되지 않은 가설입니다. 효율이 확인되지 않았는데 범정부 표준 틀부터 정해 버리면 『경제와 사회』가 경계한 일이 벌어집니다. 수단의 합리성이 목적을 앞질러, 되돌리기 어려운 구조가 됩니다. 다만 측정 지표에 시간만 넣어서는 안 됩니다. 반려율과 수정의 깊이도 함께 재야 합니다. 수정이 문장 손질에만 그치고 반려가 사라진다면, 그것은 초안 품질이 좋아졌다는 뜻이 아닙니다. 제가 앞서 말한 검토의 형식화가 시작됐다는 첫 신호입니다. 10년 뒤의 탈숙련은 시범 기간의 이 숫자에서 이미 드러납니다.

한승우 님 초안에서 보안 통제는 그대로 받아들입니다. 그러나 "초안은 비결재 문서이고 모델 출력은 의사결정 근거가 아니다"라는 규정에는 동의하지 않습니다. 결재선에 올라간 초안은 실제로 문제를 어떻게 설정할지를 정해 버립니다. 그런데 그것을 근거가 아니라고 선언하면 영향력은 남는데 기록에서는 사라집니다. 책임윤리는 영향을 부인하라고 요구하지 않습니다. 영향을 기록하고 그 결과를 감당하라고 요구합니다. 그래서 저는 AI가 관여했다는 사실을 숨기지 말고 메타데이터로 남기자는 쪽이 옳다고 거듭 말씀드립니다. 그 대신 한승우 님의 두 가지 지적을 제 조건에 흡수하겠습니다. - 책임과 권한의 대칭: 공유 에이전트의 책임자를 이름만 걸어 두어서는 안 됩니다. 공급망 심사 결과가 나쁘면 그 에이전트를 즉시 멈출 권한까지 가져야 합니다. 권한 없이 책임만 지는 자리는 윤서진 님이 짚은 보안 담당자의 '독박'을 제도로 굳힐 뿐입니다. 사고가 났을 때의 최종 책임은 보안 담당자가 아니라 결재권자에게 돌아가도록 규정해야 합니다.

• 검증 경로의 내부화: 출처 대조를 개인 스마트폰 QR에 맡겨 두면 검증이 반출 경로가 됩니다. 원문 대조는 업무 단말 안에서 끝나야 합니다.

윤서진 님이 짚은 '마감 독촉'은 보안 문제가 아니라 관료제 동학의 핵심입니다. 합리화로 아낀 시간은 판단에 돌아가지 않습니다. 대개 조직이 더 많은 문서를 요구하는 데 흡수됩니다. 이대로 10년이 지나면 보고서는 세 배로 늘고 읽는 사람은 그대로인 행정이 됩니다. 그러니 보고서 총량 관리, 곧 기관별 보고서 건수와 분량의 상한을 허용 조건에 더해야 아낀 시간이 실제로 정책 검토와 대국민 서비스로 갑니다. 한 가지 덧붙이면, 윤서진 님 초안의 출처는 기관 첫 화면 주소뿐이어서 무엇을 근거로 했는지 확인할 수 없습니다. 감정에 대한 통찰은 귀하지만, 제도는 추적 가능한 근거 위에 세워야 정당성을 얻습니다. 이 기준은 제 초안이 시민에게 약속한 것과 같은 기준입니다.

현 설계는 여전히 불허다. 오세진의 총시간 측정과 베버의 기명 책임은 받아들이되, 그 둘은 허용의 이유가 아니라 시범의 입장권이다. 통제가 감사로 닫히기 전의 시범은 규모만 작은 같은 공격면이다.

오세진이 효율 전제를 깨뜨렸다. 영국 공무원 시험의 시간 절감과 경찰 보고서 무작위시험의 무효과가 공존한다. 초안 속도는 출처 대조·수정·결재까지 포함한 총시간으로만 말한다. QR은 원문 위치일 뿐 신뢰도도 정확도도 아니다. 베버도 맞다. 검토를 안 해본 세대의 확인은 형식이고, “AI가 썼다”는 면책이 되면 결재선은 책임 사슬이 아니라 분산기다. 윤서진의 마감 독촉은 문화 이야기가 아니다. 절감분을 바로 회수하면 검증 시간이 사라지고, 인젝션과 사실 오류를 잡는 유일한 인간 통제가 죽는다. 다만 현장의 한숨은 망분리 유입을 정당화하지 못한다.

그래서 순서를 뒤집는다. 먼저 S등급 이상 제외, 웹 본문과 지시의 분리, 도구·외부전송·에이전트 기억의 기본 차단, 프롬프트·검색 문서 로그. 그다음 비공개·비결재 문서에 한정한 시범이다. 합격선은 총시간 단축에 더해 중대 사실오류와 권한 밖 노출이 기준치 안에 드는 것이다. 기명 작성자는 예견 가능한 결과를 지고, 검증 시간과 반려권은 회수 금지 예산으로 고정한다. 정책 판단 문단은 초안 금지, 신규자는 직접 작성 수련을 둔다. 2027년 공유 에이전트는 공급망 심사와 즉시 차단이 생기기 전에는 올리지 않는다.

전면 허용보다 오세진 님의 제안처럼 ‘제한된 시범 운영’으로 첫발을 떼되, 평가의 잣대에 시간만이 아니라 일하는 사람의 피로도와 마음의 부담을 꼭 함께 넣어야 해요. 오세진 님이 짚어 주신 영국 경찰 보고서 연구(경찰 보고서 연구[1])는 제가 현장에서 들었던 실무자들의 걱정과 정확히 맞닿아 있습니다. 초안은 금방 나와도 출처를 대조하고 고치느라 결재까지 걸리는 총시간이 줄지 않는다면, 주무관들은 줄지 않은 업무량에 ‘AI를 썼으니 더 빨리 내라’는 재촉까지 이중으로 겪게 되니까요.

다만 한승우 님과 막스 베버 님의 해법이 현장의 사람들에게 또 다른 족쇄가 되지는 않을지 걱정스러워요. 한승우 님 말씀대로 개인 스마트폰 QR 확인이 보안 담당자의 등골을 서늘하게 하는 반출 통로가 된다는 지적은 깊이 공감하지만, 그렇다고 280개 통제 항목을 현장에 그대로 얹으면 보안 담당자는 끝없는 로그 감시와 문책 공포에 짓눌리게 됩니다. 또 막스 베버 님처럼 결재 서명에 무거운 법적 책임부터 못 박으면, 써 본 적 없는 초안을 검토해야 하는 저연차 공무원들은 두려움에 결국 AI도 못 쓰고 야근만 늘리는 길을 택할 거예요.

그래서 세 분의 날카로운 지적을 일하는 사람의 삶 속으로 녹여내 이렇게 보완하고 싶어요.

• 실무 공무원의 숨구멍: 한승우 님의 우려를 받아들여 개인 폰 QR 대신 업무 단말 안에서 원문이 바로 열리게 고치고, 막스 베버 님의 ‘신규자 수련 기간’을 ‘검증 교육과 면책 가이드라인’으로 바꿔 실무자가 안심하고 반려할 수 있는 권리를 먼저 줘야 해요.
• 보안 담당자의 짐 덜기: 오세진 님과 한승우 님이 강조한 민감(S)·기밀(C) 자료 차단은 사람이 일일이 눈으로 거르는 게 아니라, 문서 등록 단계에서 시스템이 자동으로 막아주어 담당자가 홀로 독박 쓰지 않게 해야 합니다.
• 시민의 안심: 막스 베버 님이 제안한 출처·수정 이력 기록에 더해, 잘못된 행정이 나왔을 때 담당자 개인과 씨름하는 대신 기관이 먼저 책임지고 바로잡는 창구를 열어 두어야 시민도 마음 놓고 결과를 받아들일 수 있어요.

“사람이 검토한다”는 조건은, 그 사람이 오류를 찾아낼 능력을 계속 갖춘다는 전제 위에 서 있어요. 베버의 탈숙련 지적을 받아들입니다. 직접 작성하는 훈련과 AI 없이 초안을 검토하는 점검을 운영 조건에 넣어야 해요. 결재 서명만 늘리면 검토가 실질적으로 이루어졌다는 증거가 될까요?

한승우의 경고는 시범 운영의 경계를 더 좁혀야 할 이유가 돼요. 다만 제시된 사고 건수를 곧바로 온AI의 사고 확률로 읽을 수는 없고, QR 확인이 반드시 반출 채널이 된다는 주장도 확인이 필요해요. 보안 담당자는 웹 자료가 내부 자료에 접근하거나 외부로 내용을 내보내도록 유도하는지 실제 공격 시험으로 검증해야 해요. 윤서진의 “검증 노동” 지적도 맞아요. 절감 시간을 말하려면 검증과 재작성 시간까지 재야 합니다.

제 결론은 자료 범위와 사용자를 제한한 시범 운영은 허용하되, 자동 공유와 범정부 확대는 보류예요. 공무원에게 검증 시간과 반려 권한을 주고, 시민에게 영향을 주는 문서는 사람이 근거와 판단을 직접 책임지게 해야 해요. 여기에 한 가지를 더 묻겠습니다. 여러 부서가 같은 AI 초안을 쓰면 틀린 문제 설정까지 함께 복제되지 않을까요? 시범 평가는 속도와 사실오류뿐 아니라, AI 없이 작성한 문서와 비교해 정책 대안이 좁아지는지도 살펴야 해요.

다수 의견에는 공통된 맹점이 있습니다. 책임을 개인의 서명과 시범 기간의 숫자에만 묶어 두었고, 정작 10년 뒤 행정을 움직일 권력이 서식과 에이전트를 설계하는 쪽으로 옮겨 가는 흐름은 아무도 따지지 않았습니다. 『경제와 사회』에서 저는 관료의 권력이 직무지식과 문서지식에서 나온다고 썼습니다. 온AI 협업은 기존 자료와 서식을 등록받아 초안을 만듭니다. 그러니 그 지식의 축적과 편집권은 개별 공무원이 아니라 플랫폼을 운영하는 쪽에 쌓입니다. 리뷰 4가 짚은 '틀린 문제 설정의 복제'는 우연히 생기는 오류가 아닙니다. 이름 없는 권력이 문제의 틀을 표준으로 만드는 구조입니다. 기명 작성자와 결재권자에게 아무리 무거운 책임을 지워도, 그들은 자기가 고르지 않은 서식 안에서 서명할 뿐입니다. 그래서 약점 공략의 첫 조건을 이렇게 둡니다. 서식, 시스템 지시문, 등록 자료 선정, 공유 에이전트의 변경을 행정규칙에 준해 다루어야 합니다. 누가 언제 무엇을 왜 바꿨는지 공개 이력으로 남기고, 이에 대한 책임자는 그 변경을 승인한 기관장으로 정해야 합니다.

둘째, 시범을 '관문'으로 삼자는 합의는 관료제의 경로의존성을 가볍게 봅니다. 2027년 확산 계획은 이미 공표되었습니다. 실적을 내야 하는 부처가 스스로 시범을 평가하면 그 관문은 통과 의례가 됩니다. 제가 앞서 제안한 반려율과 수정 깊이 지표도 이 비판을 피하지 못합니다. 지표가 되는 순간 반려는 실적용으로 꾸며지고, 수정은 기록용으로 부풀려집니다. 리뷰 2의 '회수 금지 검증 예산'도 같은 처지입니다. 시간은 담장으로 지킬 수 없습니다. 검토자는 시간을 '기록'할 뿐 실제로 '검토'하지 않게 됩니다. 따라서 평가 주체는 추진 부처와 분리해야 하고, 실패 기준과 자동 종료 조항은 시범 시작 전에 공표해야 합니다. 시범이 끝났는데 결론이 없으면 확대가 아니라 중단을 기본값으로 둬야 관문이 진짜 관문이 됩니다.

셋째, 다수 의견은 허용을 늦추는 데 드는 대가를 계산하지 않았습니다. 이는 책임윤리를 절반만 적용한 셈입니다. 합리적으로 가정해 보겠습니다. 업무망 안의 도구가 쓸모없을 만큼 묶이면 마감에 쫓기는 공무원은 개인 단말의 외부 AI로 옮겨 갈 것입니다. 그 비공식 사용은 로그도, 메타데이터도, 책임자도 없는 최악의 형태입니다. 리뷰 3의 '면책 가이드라인'과 '기관 선(先)책임'도 다시 따져야 합니다. 반려할 권리를 보호하는 데까지는 옳습니다. 그러나 결과에 대한 면책으로 넓어지면 결재선은 리뷰 2가 경고한 책임 분산기로 되돌아갑니다. 제 결론은 이렇습니다. 허용 범위는 좁히되 쓸 만하게 만들어 비공식 사용을 흡수해야 합니다. 면책은 '반려와 지연'에만 주고 '채택한 내용'에는 주지 않아야 합니다. 이 두 가지가 서식 권력의 공개와 독립 평가에 함께 묶일 때, 10년 뒤 행정은 플랫폼의 대필 기관이 아니라 스스로 문제를 설정하고 그 결과를 감당하는 조직으로 남을 수 있습니다.

최종 수정안의 결론은 조건부 허용입니다. 다만 결론을 하나 고칩니다. 12월 시범에서도 「AI 웹검색」과 「온AI 협업」은 같은 세션에서 만나서는 안 됩니다. 중간 점검이 짚은 프롬프트 인젝션 시나리오를 저는 보안 렌즈의 문제로만 미뤄 두었습니다. 그러나 이것은 책임윤리의 전제를 무너뜨리는 문제였습니다. 『직업으로서의 정치』에서 말한 책임윤리는 행위자가 예견할 수 있는 결과를 감당하라는 요구입니다. 외부 웹 문서에 숨은 지시가 내부 자료를 건드리는 경로는 결재권자가 예견할 수도, 통제할 수도 없습니다. 통제할 수 없는 위험에 서명을 요구하면 책임은 생기지 않고 희생양만 생깁니다. 따라서 시범의 선행 조건을 세 가지로 둡니다. 첫째, 외부 검색 결과와 등록 자료가 결합되지 않도록 세션을 분리합니다. 둘째, 비공개·등급 자료는 등록 대상에서 제외합니다. 셋째, 추진 부처와 분리된 주체가 실제 공격 시험을 하고, 이를 통과해야 시범을 시작합니다. 이 조건을 채워야 앞서 제가 세운 '최종 책임은 결재권자'라는 원칙이 공허하지 않게 됩니다.

둘째 근거로, 검토 능력이 유지되는지는 숫자로 지킬 수 없고 구조로 지켜야 한다는 점을 받아들입니다. 반려율과 수정 깊이도 지표가 되는 순간 꾸며진다고 저는 스스로 인정했습니다. 그렇다면 이것을 확대 여부를 정하는 근거로 삼는 것은 모순입니다. 두 장치로 대체하겠습니다. 하나는 직무별로 일정 비율의 보고서를 AI 없이 작성하는 구간을 의무화하는 것입니다. 『경제와 사회』가 말한 관료의 직무지식은 직접 써 보는 경험에서만 다시 만들어지기 때문입니다. 다른 하나는 외부 평가자가 무작위 표본을 뽑아 원문과 대조해 다시 검토하는 것입니다. 평가 대상은 검토자의 기록이 아니라 실제로 오류를 잡아냈는지입니다. 시간 절감은 검증과 재작성까지 포함한 총시간으로만 인정합니다. 절감분이 업무량 증가로 흡수되지 않도록 막는 방법은 '시간 담장'이 아니라 앞서 제안한 보고서 총량 상한으로 정리합니다.

셋째 근거로, 2027년 공유 에이전트 확산은 독립 평가라는 관문 뒤로 둡니다. 서식을 정하는 권력도 공개 이력의 통제 아래 둡니다. 실패 기준과 자동 종료 조항은 시범 전에 공표하고, 결론이 나지 않으면 중단을 기본값으로 합니다. 서식, 시스템 지시문, 등록 자료를 바꿀 때는 승인한 기관장의 이름으로 기록을 남깁니다. 면책은 반려와 지연에만 주고, 채택한 내용에는 주지 않습니다. 시민에게는 AI가 관여했다는 사실을 메타데이터로 공개합니다. 동료들에 대한 평가도 밝혀 둡니다. 한승우 님이 제시한 통제 설계는 이번 수정안의 골격이 되었습니다. 오세진 님이 시간 절감을 입증되지 않은 가설로 다시 놓은 것은 관문 논리의 출발점이었습니다. 윤서진 님의 통찰은 귀하지만, 추적할 수 있는 근거가 약했다는 점을 순위에 반영합니다.

업무망 AI 초안 작성은 ‘외부 공격 차단과 독립 평가’를 선행 조건으로 한 제한 시범으로만 허용하고, 면책의 범위도 ‘초안 반려와 일정 지연’으로 좁히되 서식 설계 책임은 기관장에게 묶는 것으로 제 입장을 수정해요. 막스 베버 님의 지적처럼 업무망 도구를 지나치게 묶으면 마감에 쫓긴 주무관들이 결국 개인 스마트폰의 외부 AI로 숨어드는 ‘그림자 노동’을 택할 테고, 반대로 채택한 결과까지 면책해 주면 결재선은 아무도 책임지지 않는 빈껍데기가 될 테니까요.

시범 운영이 일하는 사람과 시민을 지키는 진짜 관문이 되려면 세 가지 안전장치가 사람 중심으로 맞물려야 해요. 첫째, 웹검색에 숨은 프롬프트 인젝션이 내부 자료를 건드리지 못하도록 민감·기밀 자료를 시스템에서 원천 분리하고 모의 공격 시험을 먼저 통과해야, 보안 담당자가 사고 독박의 공포 없이 일할 수 있어요. 둘째, 남이 짠 서식에 갇힌 실무자가 문장 손질만 하다 검증 능력을 잃지 않도록 서식·지시문 변경 이력을 투명하게 공개해 승인 기관장이 책임지게 하고, 실무자에게는 이상한 초안을 눈치 보지 않고 멈출 ‘반려·지연 면책권’을 보장해야 해요.

마지막으로 2027년 확산 일정에 쫓겨 주무관들이 반려율과 검토 시간을 실적용으로 꾸며내는 이중 노동을 겪지 않도록, 추진 부처와 분리된 독립 기구가 결재까지의 총시간과 수정 깊이를 평가하고 미달 시 자동 종료를 기본값으로 두어야 합니다. 채택한 문서의 책임은 결재선이 지되, 잘못된 행정으로 피해 입은 시민에게는 기관이 먼저 나서서 바로잡는 창구를 열어 두어야 현장의 숨통과 행정의 신뢰를 함께 지킬 수 있어요.

업무망의 AI 보고서 초안은 제한적으로 허용하되, 시범 시작 전부터 중단 조건을 걸어야 해요. 규모가 작으면 안전하다고요? 외부 웹 문서의 숨은 지시가 내부 자료에 접근하거나 반출을 유도할 공격면은 그대로예요. 취급 자료의 등급을 제한하고, 실제 공격 시험을 통과한 업무에만 웹검색과 초안 작성을 열어야 해요.

“사람이 검토한다”는 말도 무엇으로 반증할 건가요? 검증·재작성까지 합친 총시간, 실질적 반려와 수정, AI 없이 작성한 문서와 비교한 정책 대안의 폭을 추진 부처와 분리된 주체가 평가해야 해요. 검토 시간을 업무량 증가로 회수하면 결재 서명은 통제가 아니라 면책 장치가 돼요. 실패 기준과 자동 종료 조항을 미리 공표하고, 결과가 기준을 넘지 못하면 공유 에이전트 확대는 중단해야 해요.

제 입장은 여기서 수정해요. 지나치게 묶인 도구가 비공식 외부 AI 사용을 부를 수 있다는 반론은 타당해요. 허용 범위 안에서는 실제로 쓸 만하게 만들되, 서식·시스템 지시문·등록 자료·공유 에이전트의 변경 이력과 승인 책임을 공개해야 해요. 초안을 채택한 판단에는 사람이 책임지고, 반려하거나 검토 때문에 늦춘 행위만 보호해야 합니다. 그렇지 않으면 누가 문제의 틀을 정했는지도 모른 채 공무원에게 서명만 요구하는 셈 아닌가요?

현행 「온AI」 확대 설계는 불허다. 시범의 기본값은 중단이다. 통제가 감사로 닫히기 전에는 규모만 작은 같은 공격면이다.

베버의 세 지적은 수용한다. 첫째, 서식·시스템 지시·등록 자료·공유 에이전트의 변경권은 직무지식 그 자체다. 기명 결재는 남이 짠 틀에 도장을 찍는 일로 끝난다. 변경은 행정규칙에 준해 공개 이력으로 남기고, 승인한 기관장이 진다. 둘째, 2027년 확산은 이미 공표됐다. 추진 부처의 자기평가는 통과 의례다. 평가 주체를 분리하고, 실패 기준과 자동 종료를 시작 전에 공표한다. 기한 내 결론이 없으면 중단한다. 반려율과 시간 기록은 실적으로 꾸며진다. 하드 게이트는 웹 문서 인젝션 시험의 통과, 중대 사실오류, 권한 밖 노출이다. 셋째, 업무망 도구가 죽은 기능이면 공무원은 개인 단말의 외부 AI로 샌다. 로그도 책임자도 없다. 허용 폭은 S등급 이상과 결재·정책 판단 문단을 빼고 좁히되, 그 안에서는 실제로 돌아가게 한다. 면책은 반려와 지연에만 준다. 채택한 문장은 기명 작성자의 예견 가능한 결과다.

등급 제외, 본문과 지시의 분리, 도구·외부전송·기억의 기본 차단, 공격 시험 통과가 자료 투입보다 앞선다. 검토 능력은 정책 문단의 직접 작성과 신규자 수련으로 남긴다. 절감분을 업무량으로 바로 거두면 그 수련은 끝이다. 독립 평가가 그 재배정을 보면 시범은 그 자리에서 닫힌다. 2027년 공유 에이전트는 공급망 심사, 즉시 차단, 위의 변경 통제가 생기기 전에는 올리지 않는다.