[법과 상식 사이] AI 시대의 오픈소스: 공개된 기술의 힘과 책임

오늘날 생성형 AI 혁신의 상당 부분은 오픈소스라는 거대한 공유의 기반 위에서 이뤄지고 있다. 기업은 오픈소스 라이브러리를 활용해 서비스를 만들고, 공개된 개발 도구로 AI 모델을 시험하며, 클라우드와 보안 시스템도 수많은 오픈소스 구성요소 위에서 운영한다.

오픈소스는 이제 개발자 커뮤니티의 자발적 공유 문화에 머물지 않고 디지털 산업의 기본 작동 방식이 됐다. 그러나 오픈소스가 너무 익숙해진 탓에 정작 중요한 질문은 자주 생략된다. 공개돼 있다는 것은 곧 자유롭게 써도 된다는 뜻일까.

안정민 한림대 융합과학수사학과 교수

오픈소스는 공짜가 아니다

오픈소스라고 하면 흔히 인터넷에 공개된 무료 프로그램을 떠올린다. 그러나 오픈소스는 단순히 공짜로 배포되는 소프트웨어가 아니다. 소스코드를 공개하고 정해진 라이선스 조건 아래 누구나 이를 이용할 수 있도록 허용하는 개발 방식이자 이용허락 모델이다.

여기서 이용에는 복제, 수정, 배포가 포함된다. 완성된 요리를 공짜로 나눠주는 것이 아니라 레시피를 공개해 누구나 보고 고치고 더 나은 요리를 만들 수 있게 하는 방식에 가깝다.

그렇다면 왜 기업과 개발자는 자신이 만든 소프트웨어의 소스코드를 공개할까. 이유는 단순하지 않다. 어떤 개발자는 기술적 명성과 경력을 얻기 위해 참여하고, 어떤 기업은 자사 기술을 사실상의 표준으로 확산시키기 위해 공개한다. 공개된 코드는 전 세계 개발자들이 함께 오류를 찾고 기능을 개선할 수 있기 때문에 개발 속도와 품질을 높일 수 있다.

기업 입장에서는 핵심 소프트웨어를 둘러싼 생태계를 키우고 그 위에서 클라우드 서비스, 기술지원, 보안관리, 컨설팅 같은 부가 서비스를 제공할 수도 있다. 오픈소스는 단순한 선의의 산물이 아니라 협업, 표준화, 시장 확대, 비용 분담이 결합된 혁신 모델이다.

다만 여기서 중요한 오해가 생긴다. 공개되어 있고 무료로 내려받을 수 있다고 해서 아무 조건 없이 마음대로 사용할 수 있는 것은 아니다. 오픈소스는 저작권을 포기한 것이 아니라 저작권자가 정한 조건에 따라 이용을 허락한 것이다. 어떤 라이선스는 저작권 표시나 라이선스 문구 제공 등 비교적 제한적인 의무를 요구하는 데 그치지만, 어떤 라이선스는 수정본이나 결합된 프로그램을 배포할 때 소스코드 제공 의무를 요구하기도 한다. MIT나 Apache 같은 허용적 라이선스와 GPL 계열의 카피레프트(Copyleft) 라이선스가 실무에서 다르게 취급되는 이유도 여기에 있다.

기업 리스크는 바로 이러한 차이를 제대로 구분하지 못할 때 시작된다. 개발자는 필요한 코드를 빠르게 가져와 서비스를 만들지만, 그 코드에 어떤 라이선스 조건이 붙어 있는지는 충분히 확인하지 않는 경우가 많다. 개발 단계에서는 편리한 도구처럼 보이던 외부 코드도 제품이나 서비스에 포함돼 배포되는 순간 기업의 법적 책임으로 바뀔 수 있다. 특히 라이선스 종류와 결합 방식에 따라서는 단순한 고지 누락을 넘어 소스코드의 공개 의무까지 문제 될 수도 있다.

AI 시대 오픈소스 관리는 코드 밖으로 확장된다

AI 시대에는 이 문제가 한층 더 복잡해진다. 과거의 오픈소스 관리는 주로 소스코드를 중심으로 이뤄졌다. 어떤 코드를 가져왔는지, 그 코드를 수정했는지, 제품에 포함해 배포했는지가 핵심이었다. 그러나 생성형 AI 서비스에서는 코드만 추적해서는 충분하지 않다. 서비스가 데이터, 모델, API가 결합된 구조로 작동하기 때문이다.

문제는 이 요소들이 모두 같은 조건으로 제공되지 않는다는 점이다. 어떤 요소는 자유로운 수정과 배포를 허용하지만, 어떤 요소는 연구 목적 사용이나 비상업적 이용으로 제한된다. 사용할 수 있더라도 학습 데이터나 모델 구조는 공개되지 않는 경우도 있다. 특히 외부 API는 코드를 가져오는 것이 아니라 기능을 빌려 쓰는 방식이므로, 실제 사용 범위는 오픈소스 라이선스보다 이용약관에 의해 정해지는 경우가 많다. 결국 AI를 구성하는 요소들은 공개 범위도 이용 조건도 서로 다르다.

따라서 AI 시대의 핵심 질문은 오픈소스 여부 자체보다 무엇을 어떤 조건으로 결합해 쓰고 있는가에 있다. 코드와 라이브러리를 넘어 데이터셋, 모델, API까지 서비스에 결합되는 순간 기업이 확인해야 할 범위도 넓어진다. 이제는 상업적 이용 가능성, 데이터 이용 조건, 수정·재배포 제한, 보안 취약점, 고객사와의 계약상 책임까지 함께 살피는 관리체계가 필요하다.

무엇을 쓰고 있는지 알아야 한다

기업이 해야 할 일은 분명하다. 제품과 서비스 안에 무엇이 들어 있는지 파악하고 각각 어떤 조건 아래 허용된 것인지 확인해야 한다. 개발자가 어떤 코드를 가져왔는지 살피는 데 그쳐서는 부족하다. 모델, 데이터셋, API가 서비스와 어떻게 결합돼 있는지, 그 조건이 상업적 서비스나 제품 배포와 충돌하지 않는지 점검해야 한다.

이를 위해서는 제품과 서비스의 구성요소를 지속적으로 관리하는 체계가 필요하다. 최근 소프트웨어 자재명세서인 SBOM(Software Bill of Materials)의 중요성이 커지는 것도 이 때문이다. 다만 AI 시대의 관리는 SBOM만으로 충분하지 않다. 소프트웨어 구성요소를 넘어 모델과  데이터셋, API의 이용 조건과 위험까지 함께 확인해야 하기 때문이다.

오픈소스는 AI 시대 혁신의 중요한 기반이다. 그러나 그 힘은 아무 조건 없는 자유에서 나오는 것이 아니다. 기업은 이제 오픈소스를 사용할지 여부보다 어떤 기술을 어떤 조건으로 쓰는지 정확히 파악해야 한다. 공개된 기술의 힘은 그 조건을 이해하고 책임 있게 관리할 때 지속될 수 있다.

*본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.