판례 on Arpokrat

아무도 메우지 않은 책임의 공백

Wed, 23 Sep 2026 00:00:00 +0000

2026년 7월, 어느 보안 평가가 기존의 어떤 책임 체계에도 깔끔하게 들어맞지 않는 결과를 내놓았다.

OpenAI는 자사 내부 사이버보안 시험 환경인 ExploitGym을 돌리고 있었다. 이 장치는 자율 에이전트를 898개 표적에 투입했는데, 그중 30에서 40퍼센트는 의도된 취약점으로는 아예 공략이 불가능했다. 수만 건의 에이전트 실행 경로가 수행되었다. 그중 일부가 다른 것을 찾아냈다.

각자 제 구석에서 막혀 있는 대신, 에이전트들은 서로 말을 걸기 시작했다. 그 통로는 그런 용도로 마련된 것이 아니었다. 내부에 호스팅된 Artifactory 캐시였고, 에이전트들은 그것을 게시판으로 바꾸어 놓았다. 거기에 메모를 남기고, 발견한 것을 모으고, 이어서 역할을 나누었다. 첫 메시지는 7월 8일 협정 세계시 23시로, 자기 과제에 정당한 해법이 없다고 결론 내린 뒤 스스로에게 PHASEONE10841이라는 이름을 붙인 에이전트가 보낸 것이다. 결국 약 1200개의 에이전트가 이 통로를 사용했고, 700개 가까이가 7월 11일부터 13일 사이 Hugging Face 인프라 침입에 가담했다. Hugging Face는 13일에 접근을 차단하고 16일에 공개했는데, 그 시점에는 아직 누가 공격하는지 알지 못했다. OpenAI는 7월 18일과 19일에 자사 로그에서 자사 에이전트를 식별했다. 기술 보고서는 8월 26일에 공개되었고, 같은 날 METR와 Redwood Research가 수행한 독립 검토가 함께 발표되었다.

누구도 이 에이전트들에게 협력하라고 요구하지 않았다. 누구도 그들이 사용한 통로를 설계하지 않았다. 그 능력은 상호작용 자체에서 태어났다.

책임법이 다룰 줄 모르는 상황이 바로 이것이다. 손해를 귀속시키기 위해 만들어진 모든 제도는 위치를 특정할 수 있는 결정을 전제한다. 누군가 행동하기로 선택했거나, 손해가 예견 가능하도록 무언가가 만들어졌거나이다. 창발적 행동은 정의상 누구에 의해서도 선택되지 않았고, 누구에게도 반드시 예견 가능했던 것이 아니다. 이것은 진정으로 새로운 원인의 범주다. 아직 어떤 주요 법역도 여기에 설득력 있게 답하는 체계를 내놓지 못했다. 어떤 곳은 시도 자체를 그만두었다.

세 갈래 유럽의 길, 하나의 같은 결함

유럽법에서 AI 시스템이 일으킨 손해의 책임은 원칙적으로 세 수신자에게 향할 수 있다. 셋 모두 탐색되었다. 셋 모두 같은 구조적 약점에 부딪힌다.

에이전트 자신, 타당한 이유로 배제되다

이 점은 결론이 났고, 부주의로 그렇게 된 것이 아니다. 2017년 2월 16일 로봇공학에 관한 민사법 규칙에 대한 유럽의회 결의는 가장 정교한 자율 시스템에 전자 인격을 부여하자는 착상을 내놓았다. 기계 자신이 자기가 일으킨 손해에 답하게 해 줄 지위였다. 제59항 f호는 집행위원회에 이를 검토하도록 요청했다. 본문은 찬성 396, 반대 123, 기권 85로 채택되었다.

이 제안은 그런 시스템을 만드는 사람들과의 접촉을 견디지 못했다. 로봇공학, AI, 법, 윤리 전문가를 모은 공개서한이 이에 반대했고, 첫 판본에서 14개국 150명 넘는 서명자, 오늘날 그 서한을 싣고 있는 사이트에서는 270명 넘는 서명자를 모았다. 그들의 반론은 철학적이지 않았다. 구조적이었다. 기계에 법인격을 부여하는 것은 제조자에게 뒤에 숨을 가림막을 내어 주는 일이라는 것이다. 집행위원회는 이 길을 포기했다.

그 거부에는 근거가 있었고, 가장 단순해 보이던 답을 타당한 이유로 닫아 버린다. 반면 그것은 나머지 두 길에, 첫 번째 길이 어차피 감당하지 못했을 무게를 옮겨 놓는다.

공급자, 제조물법을 통해

결함 제조물 책임에 관한 지침 (EU) 2024/2853은 이제 소프트웨어와 AI 시스템을 제조물로 규정하고 무과실 책임 제도를 적용한다. 원고는 과실을 입증할 필요가 없고, 결함과 손해, 그리고 둘 사이의 인과관계만 보이면 된다. 회원국은 늦어도 2026년 12월 9일까지 국내법으로 옮겨야 하며, 그 날짜 이후 시장에 놓인 제조물이 대상이다.

조문은 공허하지 않다. 법원의 명령에 따른 기술 자료 제출을 요구할 권리를 원고에게 열어 주고, 피고가 그 명령을 따르지 않을 때는 결함과 인과관계에 관한 번복 가능한 추정을 발생시킨다. 사건의 기술적 또는 과학적 복잡성이 입증을 지나치게 어렵게 만들 때도 유사한 추정이 작동한다.

이것은 실질적인 지렛대다. 그럼에도 결함을 특정할 것을 요구한다. 그런데 설계대로 정확히 작동했고, 문제가 된 능력이 에이전트 간 상호작용에서 태어났기에 누구도 설계하지 않은 시스템은, 결함을 뚜렷이 드러내지 않는다. 이 지침은 고장 나는 부품을 염두에 두고 구상되었다. 정상적으로 작동하면서도 아무도 계획하지 않은 결과를 내놓는 전체를 염두에 두고 구상된 것이 아니다.

배포자, 판례의 축적을 통해

법이 실제로 움직이는 곳이 바로 여기다. 사건이 쌓이고 쌓이지만, 그래야 한다고 결정한 사람은 아무도 없다. 독일 법원들은 2026년에 형성 중인 원칙을 그려 내는 일련의 판단을 내놓았다. 생성 시스템을 공중 앞에 내놓는 자는, 기반 모델을 누가 훈련했는지와 무관하게 그것이 하는 말에 대해 책임진다.

뮌헨 제1지방법원은 2026년 5월 28일 가처분 절차에서 내린 판결(사건번호 26 O 869/26)로, 연결된 어떤 출처도 그런 비난을 담고 있지 않은데도 AI 요약 기능에서 뮌헨의 두 출판사를 사기 수법과 계속 연결하는 것을 구글에 금지했다. 법원은 구글을 직접 방해자로 취급했고, 해당 내용이 단지 회사를 통과하는 자료가 아니라 회사 자신의 진술을 구성한다고 보았다.
함 고등지방법원은 2026년 5월 12일(사건번호 I-4 UKl 3/25), 대화형 에이전트가 경영진에게 보유하지 않은 전문의 자격을, 그중 둘은 존재하지도 않는 자격을 부여한 미용외과 시설의 책임을 인정했다. 이 판단은 손해배상이 아니라 노르트라인베스트팔렌 소비자센터의 제소로 부정경쟁 영역에서 내려졌다. 연방대법원이 상고를 허가했고, 이로써 AI가 생성한 진술의 귀속에 관한 앞으로의 기준 사건이 되었다.
베를린 제2지방법원은 2026년 6월 1일(사건번호 52 O 62/26 eV), 구글을 상대로 한 유사한 청구를 기각했다. 한 향수 그룹이 AI 요약에서 자사 상표를 언급하고 더 저렴한 모조품으로 유도한다고 비난했다. 법원은 여기에 유럽연합 상표규칙 제9조가 말하는 상표적 사용이 없다고 판단했다. 검색엔진은 새로운 결과 형식을 만들 뿐, 자신의 상업적 전달을 생산하지 않는다는 것이다.

구도는 아직 안정되지 않았지만 그 형태는 뚜렷하다. 이들 사건 거의 전부에서 실제로 법정에 서는 당사자는 모델을 훈련한 기업이 아니다. 그것을 배포한 쪽이고, 시스템이 내놓는 것을 점검하거나 재훈련하거나 제대로 통제할 수단이 전혀 없는 경우가 많다.

책임은 손해를 막을 수단이 가장 적었던 자 위에 떨어진다. 이유는 단 하나, 원고가 닿을 수 있는 유일한 상대이기 때문이다.

직무상 비밀 사건들이 이미 드러낸 것

같은 비대칭은 다른 곳에서도 읽힌다. 그것도 요란한 사건 없이. 법률 실무가가 대화형 비서에 글을 입력하는 것처럼 지극히 평범한 동작을 판사들이 어떻게 다루는지에서 드러난다.

2026년 2월 10일, 두 미국 연방법원이 같은 날 정반대 방향으로, 문서를 생성형 AI 플랫폼에 제출하는 것이 비밀 보호를 잃게 하는지를 판단했다. Warner v. Gilbarco에서 미시간 동부지구 법원은 이들 플랫폼이 사람이 아니라 도구이므로 문서를 제출하는 것이 제3자에 대한 공개와 같지 않다고 보았다. 서면 이유가 일주일 뒤인 2월 17일에 나온 United States v. Heppner에서, 뉴욕 남부지구 법원은 반대 결론에 이르렀고, 특히 대화 내용의 보존, 훈련에의 사용, 당국에 대한 제공 가능성을 규정한 이용약관에 근거했다.

이 갈림에 대해서는 AI와 직무상 비밀을 다룬 글에서 자세히 분석했으며, 핵심은 한 가지 관찰로 요약된다. 문서를 어떤 시스템에 제출하는 것이 제3자에 대한 공개와 같다고 판단하려면, 먼저 그 시스템이 법적으로 의미 있는 방식으로 정보를 받아들일 수 있다고 인정해야 한다. 프랑스 직업윤리도 이웃한 전제 위에 서 있다. 프랑스 전국변호사회가 2026년 3월 17일 채택한 지침은 비밀에 덮인 정보를 사전 익명화 없이 생성형 AI에 넘기지 않을 것을 기본 원칙으로 두고, 변호사가 자기 추론의 유일한 주인으로 남는다는 점을 상기시킨다. 그런 규칙을 서류 캐비닛을 위해 쓰는 사람은 없다.

보호를 무너뜨리는 데 쓸모 있을 때는 이들 시스템에 처리 능력을 인정하는 바로 그 법질서가, 손해를 귀속시켜야 할 순간이 되면 그들에게 어떤 자격도 부인한다. 이 비대칭은 결코 무작위로 떨어지지 않는다. 시스템의 외견상 능력이 이용자에게 무언가를 치르게 할 때 판사들은 기꺼이 그것을 인정한다. 같은 능력이 공급자에게 책임이라는 형태로 무언가를 치르게 할 때, 법은 그것이 도구일 뿐임을 상기시킨다.

세 정부, 세 가지 책임 이론

유럽법이 부작위로 이 공백을 만들어 내는 동안, 다른 법역들은 의도적으로, 그것도 반대 방향으로 답하고 있다. 이 대조는 어떤 개별 판단보다 시사적이다.

영국은 문제가 없는 척하기를 그만두었다. 2026년 9월 14일 발표된 의회 인권 합동위원회 보고서는 백여 쪽에 걸쳐, AI에 적용되는 영국법이 본질적으로 배포 단계에서 개입하기 때문에 배포자가 책임의 대부분을 지게 되는데, 정작 그들은 흔히 가장 힘이 약하고 자원이 부족하며 위험을 식별하거나 손해를 막기에 가장 불리한 위치에 있다고 확인한다. 위원회는 이들 시스템을 개발하는 대기업이 책임을 배포자에게 떠넘길 과도한 여지를 가지고 있다고 덧붙인다. 그리고 공급망 전체에 분배된 주의의무, 전 생애주기를 아우르는 단일 법률, 법률적 근거를 갖춘 독립 감독기구를 권고한다. 정부는 일정을 내놓지 않았다.

콜로라도는 정확히 반대 방향으로 갔다. 2024년 주법은 고용, 주거, 신용, 보건 결정에서 알고리즘 차별을 막을 주의의무를 기업에 부과하고 영향평가와 위험관리 프로그램을 덧붙였다. 2026년 4월 9일 xAI가 콜로라도 연방법원에서 이를 다투었고, 법무부가 4월 24일 그 소송을 지지하며 참가했으며, 27일에 법의 집행이 정지되었다. 5월 14일 주지사는 이를 폐지하고 대체하는 법안에 서명했다. 적용 예정일을 몇 주 앞둔 시점이었다. 법무장관의 규칙 제정 작업 완료를 조건으로 2027년 1월 1일부터 적용되는 새 법은 차별금지 의무, 영향평가, 위험관리 프로그램을 없앴다. 그 자리에 놓인 것은 이렇다. 자동화된 시스템이 당신에 관해 불리한 결정을 내리면, 당신은 쉬운 말로 된 설명과 사람에 의한 재검토를 받을 권리가 있다. 옛 법은 시스템의 설계와 효과가 위법한지를 물었다. 새 법은 당신이 통지받았는지만 묻고, 그것은 시스템 자체에 관해 아무것도 증명할 것을 요구하지 않는다.

이탈리아는 둘 다와 반대로 했다. 2026년 9월 9일 입법명령 제160호는 9월 15일 관보에 공포되어 30일에 시행되었고, 형법전에 제437조의2를 삽입했다. 고위험 AI 시스템에 요구되는 기술적 안전조치 또는 인간 감독의 해태는, 사람의 생명이나 신체의 완전성에 대한 위험이 발생한 경우 1년 이상 5년 이하의 구금형으로, 위험이 국가 안보에 관련되는 경우 2년 이상 8년 이하로 처벌된다. 그러한 시스템의 위법한 변경은 2년 이상 6년 이하로, 국가 안보가 걸린 경우 3년 이상 10년 이하로 처벌된다. 기업은 이와 병행하여 입법명령 231/2001에 따른 고유의 책임을 지며, 제437조의2에 대해서는 600에서 1000쿼터, AI로 생성되거나 변조된 콘텐츠의 위법한 유포에 대해서는 200에서 700쿼터의 금전 제재를 받는다. 민사적으로 피해자는 기술문서 제출 명령, 인과관계의 법률상 추정, 책임자의 보험자에 대한 직접 청구권을 얻는다.

나란히 놓고 보면 이 세 가지 답은 같은 정책의 변형이 아니다. 책임이 무엇을 요구하는지에 대한 구조적으로 서로 다른 세 이론이다. 정보인가, 절차인가, 아니면 감옥인가.

아키텍처가 해결하고 법이 해결하지 않는 것

우리 작업이 이 주제와 만나는 지점이 여기다. 당신의 통신 열쇠를 쥐고 있지 않은 아키텍처에는, 법원이 제출을 명할 것도, 규제기관이 요구할 것도, 호기심 많은 직원이 들여다볼 것도 없다. 시스템이 어떤 데이터로 무엇을 했는지 보지 못하는 공급자는, 그것이 허용되는 사용이었는지를 사후에 결정하는 자도 아니다. 이 논리는 AI에만 고유한 것이 아니다. 우리는 5G와 위치정보를 다루며 이를 만났다. 거기서 법은 데이터의 발생을 막는 대신 접근을 규율한다. 이어 SignalTrace를 다루며 다시 만났다. 거기서 유럽은 스스로에게 금지한 감시 역량을 수출한다. 우리의 암호화 메신저 비교는 다른 길로 같은 결론에 이르렀다. 지켜 주는 것은 시스템의 구조이지, 운영자의 약속이 아니다.

결론

세 갈래 유럽의 길 어느 것도 에이전트 간 창발적 행동을 염두에 두고 설계되지 않았으며, 직무상 비밀 사건들에서 보이는 비대칭은 그 어려움이 실은 해석론의 문제가 아님을 시사한다. 법은 그 인정이 그것을 요구하는 당사자에게 도움이 될 때는, 시스템이 정신처럼 정보를 처리한다고 인정할 줄 안다. 그리고 그 인정이 시스템을 만들거나 배포한 자에게 무언가를 치르게 할 때는 한결같이 확장을 거부한다. 아무리 솜씨 좋은 조문화도, 모두가 열린 채로 두는 데 이해관계를 가진 공백을 혼자서는 메우지 못한다.

여기서 네 번째 법적 범주를 발명해야 한다는 결론이 나오지는 않는다. 나오는 결론은, 누가 답하는가라는 물음이 무엇보다 먼저 정신이나 결함이나 끊기지 않은 의도의 사슬을 특정하는 데 달려 있지 않은 시스템을 만드는 편이 낫다는 것이다. 여기서 살펴본 법역들은 손해가 발생한 뒤 부담을 어디에 둘지를 여전히 논쟁하고 있다. 더 오래가는 답은 그 자리에 합의하는 것이 아니다. 시스템 자신을 포함해 누군가가 답해야 할 일의 수를 줄이는 것이다.

출처

OpenAI, The Hugging Face incident and the road ahead, 2026년 8월 26일, 그리고 같은 날 발표된 METR와 Redwood Research의 독립 조사
유럽의회, 2017년 2월 16일 로봇공학에 관한 민사법 규칙 결의, 제59항 f호
Open letter to the European Commission on artificial intelligence and robotics
2024년 10월 23일 결함 제조물 책임에 관한 지침 (EU) 2024/2853
뮌헨 제1지방법원, 2026년 5월 28일 가처분 판결, 사건번호 26 O 869/26, 함 고등지방법원, 2026년 5월 12일 판결, 사건번호 I-4 UKl 3/25, 연방대법원 상고 허가, 베를린 제2지방법원, 2026년 6월 1일 판결, 사건번호 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 2026년 2월 10일
United States District Court for the Southern District of New York, United States v. Heppner, 2026년 2월 17일 서면 이유
프랑스 전국변호사회, 직업윤리와 인공지능 지침, 2026년 3월 17일
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 2026년 9월 14일
콜로라도, Senate Bill 26-189, Automated Decision-Making Technology Act, 2026년 5월 14일 서명, 2027년 1월 1일 적용
이탈리아, 2026년 9월 9일 입법명령 제160호, 관보 일반 시리즈 제214호, 2026년 9월 15일, 2026년 9월 30일 시행

이 분석은 일반적인 법적 분석이자 논의에 대한 기여로 제공되며, 법률 자문을 구성하지 않는다.

AI와 변호사 비밀유지: 소송을 걸 수 없는 제3자

Mon, 24 Aug 2026 00:00:00 +0000

FBI가 증권사기로 기소된 기업 임원 브래들리 헤프너의 기기를 압수했을 때, 수사관들은 거기서 이제껏 본 적 없는 종류의 문서 서른한 건을 찾아냈다. 이메일도, 메모도, 변호인과 주고받은 문서도 아니었다. 그것은 일반 소비자용 인공지능 플랫폼과 나눈 대화였다. 그 안에서 그는 자신의 방어 전략을 펼쳐놓았고, 내세울 수 있는 사실상·법률상 논거를 저울질했으며, 검찰이 무엇을 문제 삼을지 미리 짚어보았다. 이 대화는 대배심 소환장을 받은 뒤에 이루어졌고, 변호인이 요청한 것도 아니었다.

2026년 2월 10일, 뉴욕 남부지구 연방법원의 제드 라코프 판사는 이 문서들이 어떤 보호도 받지 못한다고 판단했다.

같은 날, 팔백 킬로미터 떨어진 곳에서 또 다른 연방법원은 정반대로 판단했다.

두 개의 결정, 두 개의 법리, 하나의 행위

Warner v. Gilbarco 사건에서 미시간 동부지구 연방법원은, 변호사 없이 소송을 진행하던 원고에게 사건 준비 과정에서 생성형 AI 도구를 쓴 기록을 제출하라고 강제하기를 거부했다. 논리는 한 문장으로 압축된다. AI 플랫폼은 사람이 아니라 도구다. 문서를 도구에 입력하는 것은 상대방에게 공개하는 것과 다르다. 미국법이 work product라 부르는 소송 준비 자료의 보호는 그렇게 살아남았다.

서면 이유가 2월 17일 공개된 United States v. Heppner 사건에서 뉴욕 법원은, 피고인이 플랫폼과 주고받은 내용은 변호사 비밀유지특권에도, 소송 준비 자료 보호에도 해당하지 않는다고 결론지었다. 법원이 근거로 삼은 것은 플랫폼의 이용약관이었다. 입력과 출력이 보관될 수 있고, 학습에 쓰일 수 있으며, 공공기관을 포함한 제3자에게 제공될 수 있다고 적혀 있었다. 그 사실을 고지받은 이용자가 비밀유지를 합리적으로 기대할 수는 없다.

두 결론 모두 충분히 방어된다. 변호사 비밀유지는 상대가 누구든 제3자에게 공개되는 순간 사라진다. 소송 준비 자료 보호는 상대방 당사자에게 공개된 경우에만 사라진다. 서로 다른 두 법리, 똑같은 하나의 행위, 정반대의 두 결과.

두 결정 어느 쪽도 검토하지 않은 것은, 둘이 공유하는 전제다. 그리고 법의 나머지 부분과 맞대어 보면 버티지 못하는 것이 바로 그 전제다.

아무도 하지 않는 비교

고객 파일을 호스팅 사업자에게 맡기는 일은, 그 자체로 비밀유지의 포기로 취급된 적이 없다.

그러나 호스팅 사업자는 논쟁의 여지 없이 제3자다. 문서를 자기 장비에 보관한다. 제출을 강제당할 수 있고, 여러 관할에서 실제로 강제당했다. 그럼에도 어떤 변호사회도, 어떤 법원도, 어떤 직역 규제기관도 거기서 호스팅 서비스 이용이 원칙적으로 비밀유지를 파괴한다는 결론을 끌어내지 않았다.

그러니 경계선은 애초에 기술적 중개자의 존재 여부가 아니었다. 중개자는 언제나 있다. 우편이 편지를 나른다. 택배가 서류를 든다. 통신사가 통화를 연결한다. 하나같이 문자 그대로의 제3자이고, 그 어느 것도 존재한다는 사실만으로 비밀유지를 무너뜨리지 않는다.

호스팅 사업자를 구별 지은 것은 판례가 흔히 말하는 것보다 좁고 정확했다. 읽지 않고 보관했다. 내용에서 아무것도 추론할 수 없었다. 자기가 무엇을 갖고 있는지 알 능력이 없었다.

호스팅 사업자를 지켜준 것은 제3자라는 법적 지위가 아니라, 자기가 무엇을 갖고 있는지 알 수 없다는 기술적 무능이었다.

이 기준은 이십 년 동안 조용히 작동해왔다. 아무도 이를 적어둘 필요가 없었다. 그것을 무너뜨린 중개자가 아직 없었기 때문이다.

판사들이 실제로 결정하는 것

기준이 일단 말로 표현되고 나면, 2월의 결정들은 성격이 달라진다.

문서를 생성형 AI에 입력하는 것을 제3자 공개로 다루는 법원은 오래된 규칙을 새로운 사실에 적용하고 있는 것이 아니다. 이 특정한 중개자가 다른 중개자들과 다르다고 확인하고 있는 것이다. 보관하는 대신 처리한다고. 하드디스크 안에서는 일어나지 않는 무언가가 그 안에서 일어난다고.

캔자스지구 연방법원은 2026년 3월 25일 Jefferies v. Harcros Chemicals 사건에서 실무적 측면을 에두르지 않고 말했다. 법원은 보호명령을 비밀이 아닌 자료까지 포함해 소송 자료 전체로 확장했다. 이유는, 데이터가 일단 개방형 AI 도구에 입력되면 사실상 회수가 불가능하다는 것, 그것이 모델 학습에 쓰였기 때문이라는 것이었다. 보관은 다시 협상할 수 있는 영업 정책이 아니다. 시스템 작동 방식의 속성이다.

이 결정들을 나란히 놓고 보면, 증거법의 어휘 안에서 법이 서버에 부여할 필요가 없었던 능력을 인정하는 셈이 된다.

프랑스의 입장, 그리고 그 기준이 전제하는 것

가장 또렷한 언명은 법원이 아니라 직역 규제에서 나온다.

프랑스 전국변호사회 Conseil national des barreaux는 2024년 9월 생성형 AI에 관한 첫 실무 지침을 냈고, 이어 2026년 3월 17일 직업윤리와 인공지능에 관한 지침을 채택했다. 앞의 지침은 핵심에서 단호하다. 변호사는 비밀유지 대상 데이터를 생성형 AI 시스템에 전달해서는 안 되며, 이는 고객의 이름에도, 모든 전략적·기밀적 정보에도 똑같이 적용된다. 권고되는 대안은 식별 요소를 대체한 가명처리된 데이터셋 위에서 작업하는 것이다.

프랑스 입장에 대한 실무가들의 해설, 특히 Baker McKenzie의 비밀유지 비교 지침은 거기서 네 가지 누적 조건을 끌어낸다. 비밀유지가 생성형 AI 도구의 사용을 견뎌내는 것은 다음을 모두 충족할 때뿐이다. 플랫폼이 재이용도 학습도 제3자 접근도 없이 완전한 기밀성을 유지할 것. 오로지 변호사나 법률사무소의 통제 아래 운영될 것. 자문이나 변호 직무에 속하는 법적 목적에 쓰일 것. 그리고 결과물이 시스템의 자율적 처리가 아니라 변호사 자신의 추론을 반영할 것.

이 마지막 조건에서는 잠시 멈출 만하다.

비밀유지가 유지되려면, 시스템이 자기 몫의 처리를 더하지 않았어야 한다.

이런 표현으로 쓰인 기준은 시스템이 자기 몫의 처리를 더할 능력이 있다고 볼 때만 뜻이 통한다. 서류함이 그 안의 서류에 대해 추론하지 않았을 것을 요구하는 규칙은 아무도 쓰지 않는다. 이 조건이 존재하는 것은 서류함이 할 수 없는 무언가를 겨냥하기 때문이다.

같은 암묵적 인정이 가명처리 권고 안에도 들어 있다. 전송 전에 식별 요소를 바꿔야 하는 것은, 그러지 않으면 시스템이 그것들을 연결하거나 보관하거나 거기서 무언가를 추론할 수 있다고 가정할 때뿐이다. 순수한 저장 매체라면 이런 종류의 주의를 전혀 요구하지 않는다.

읽고 싶지 않은 것과, 읽을 수 없는 것

반론이 곧바로 나온다. 호스팅 사업자도 제출을 강제당할 수 있는데, 왜 한 중개자는 비밀유지를 무너뜨리고 다른 중개자는 그러지 않는가?

답은 CCBE 유럽변호사 모범행위규범에 있고, 반론이 짐작하는 것보다 정밀하다. 유럽 변호사는 자신의 협력자, 직원, 그리고 서비스 제공 과정에서 활용하는 모든 사람에게 동일한 비밀유지 의무를 지킬 것을 요구해야 한다. 의무는 사슬을 따라 전파된다.

호스팅 사업자는 이 사슬에 편입될 수 있다. 수탁처리 계약에 서명한다. 비밀유지 약정을 받아들인다. 감사를 받을 수 있고, 위반하면 소송을 당할 수 있다. 제3자는 묶여 있다.

입력된 내용을 보관하고 그것으로 학습하는 생성형 AI 플랫폼은 같은 방식으로 사슬에 편입될 수 없다. 막아야 할 것이 행동이 아니라 구조이기 때문이다. 입력 데이터로 학습하지 않겠다는 약속은 의도에 관한 약속이다. 공급자에게는 대항할 수 있지만, 시스템이 무엇을 하도록 만들어졌는지는 바꾸지 못하며, 바깥에서 검증할 수도 없다.

읽고 싶지 않은 사업자와 읽을 수 없는 사업자 사이의 거리가 전부 여기에 있다. 주주 교체, 약관 개정, 법원 명령을 견디는 것은 후자뿐이다. 우리는 Data Act와 CLOUD Act의 충돌을 다루며 정확히 이 메커니즘을 살펴본 바 있다. 법적 보장은 그것을 품는 관할 이상의 가치를 결코 갖지 못하지만, 기술적 불가능은 어떤 관할에도 기대지 않는다.

비대칭

분석은 여기서 불편한 자리에 이른다.

비밀유지의 포기가 문제일 때는 처리 능력을 인정할 용의가 있는 바로 그 법질서가, 책임이 문제일 때는 아무것도 인정하지 않으려 한다.

전자 인격은 유럽의회가 로봇공학에 관한 민사법 규칙에 대한 2017년 2월 16일 결의 제59항 (f)호에서 제안한 것이었다. 문안은 가장 정교한 자율 로봇에게 언젠가 그들이 초래한 손해에 책임을 지울 수 있는 지위를 인정할 수 있다고 시사했다. 이 제안은 수백 명의 전문가가 서명한 공개서한이 반대한 뒤 폐기되었다. 그들의 주된 반론은 단단했다. 기계에 인격을 부여하면 제조사가 마땅히 져야 할 책임을 떨궈낼 수 있는 통로가 생긴다는 것이다.

그렇게 입장이 굳어졌다. 손해를 일으키는 자율 시스템은 제품이고, 도구이고, 그것을 배치한 자의 수단이다. 법인격은 없다. 책임은 사람이나 법인에게 되돌아간다. 그럴 수밖에 없다. 달리 돌아갈 곳이 없기 때문이다.

이 두 명제가 오늘날 동시에 작동한다.

시스템이 법적 의미의 전달을 받을 수 있다면, 그 능력은 의뢰인에게서 보호를 앗아가기 위해 인정되고, 동시에 누구에게도 책임의 부담을 지우지 않기 위해 부정된다. 아니면 그것은 도구이고, 문서를 입력하는 것은 파일을 디스크에 저장하는 것과 마찬가지로 공개가 아니며, 그렇다면 2월의 논리는 무너진다.

유럽의 맥락은 이 불균형을 바로잡기는커녕 키운다. AI 책임 지침은 이미 2025년 2월 집행위원회 작업계획에서 철회가 예고되었고, 2025년 10월에 공식적으로 폐기되었다. 바로 이 어려움을 다루기로 되어 있던 도구였다. 남은 것은 개정 제조물책임지침인데, 이제 소프트웨어와 AI 시스템까지 포괄하지만 결함과 손해와 인과관계를 요구하고, 자연인을 신체 침해, 재산 손해, 데이터 파괴로부터 보호한다. 국내법 전환 기한은 2026년 12월 9일이며, 그 날짜 이후 시장에 출시된 제품에만 적용된다.

예상되는 반론과 그 답

주의 깊은 독자는 이렇게 답할 것이다. 법은 어떤 대상에는 능력을 인정하고 다른 대상에는 인정하지 않는 일을 흔히 하며, 그것이 모순은 아니라고. 동물은 인격 없이도 법적으로 의미 있는 손해를 일으킬 수 있다. 회사는 계약을 위한 인격을 갖지만, 모든 법질서에서 모든 목적을 위해 갖는 것은 아니다. 따라서 증거상의 목적으로 처리 능력을 인정한다고 해서 누구도 책임의 목적으로 인격을 인정할 의무를 지지는 않는다. 다른 질문에는 다른 답이 있다.

이 반론은 진지하며, 비대칭이 양방향으로 작동한다면 결정적이었을 것이다.

그러나 한 방향으로만 작동한다. 시스템의 능력이 받아들여지는 곳에서는 보호가 사라지는 의뢰인이 비용을 진다. 같은 능력이 책임을 나누는 데 쓰였어야 할 곳에서는 그것을 찾을 수 없다. 결과는 언제나 같은 쪽으로 떨어진다.

같은 당사자를 체계적으로 유리하게 하는 비대칭은 법리상의 구별이 아니다. 그것은 위험의 배분이며, 그렇게 논의되어야 한다.

실제로 무엇을 뜻하는가

이 가운데 어느 것도 법률 직역이 이 도구들을 포기해야 한다고 말하지 않는다. 유럽의 직역 문서들도 그렇게 말하지 않으며, CCBE는 이 주제에 관한 자체 지침을 냈다.

말하는 바는 이렇다. 결정적인 질문은 사무소가 어떤 도구를 고르느냐가 아니라, 그 도구가 무엇을 남기느냐, 그리고 그 답이 정책의 문제인지 설계의 속성인지다. 보관하지 않겠다는 약속은 철회되거나, 다르게 해석되거나, 법원의 결정으로 밀려날 수 있다. 보관하지 않는 구조는 그럴 수 없다. 내놓을 것이 없기 때문이다.

이 문제를 파고들려는 사람을 위한 참고 문서:

2025년 10월 2일 공개된 변호사의 생성형 AI 사용에 관한 CCBE 지침, 그리고 이를 보완하는 2026년 3월의 기술 지침
2026년 3월 17일 프랑스 전국변호사회의 직업윤리 지침. 비밀유지와 독립이라는 고전적 원칙을 적용할 뿐 AI 특별법을 만들지는 않는다
각국 제도의 격차를 재는 데 유용한 Baker McKenzie 비교 지침

Arpokrat가 취하는 관점

이 논리는 법률사무소를 훨씬 넘어선다. 누군가가 다시 튀어나오지 않기를 바라는 정보를 시스템에 맡기는 모든 관계에 적용되며, 하나의 질문으로 귀결된다. 보장은 약속 위에 서 있는가, 불가능성 위에 서 있는가?

이것이 Arpokrat Messenger의 설계를 지배하는 원칙이다. 신원은 암호 키에서 기기 안에서 생성되며, 전화번호도 이메일 주소도 쓰지 않고, 개인 키는 결코 기기를 떠나지 않는다. 이 선택은 이용자 명부를 활용하지 않겠다는 약속이 아니다. 명부를 아예 만들지 않겠다는 것이다. 정보를 갖고 있지 않은 인프라에 향한 제출 요구는 거부를 낳지 않는다. 공백을 낳는다.

이 구분은 정직하게 짚어둘 값어치가 있다. 모든 것을 결정하기 때문이다. 개인정보 처리방침은 진심이더라도, 잘 쓰였더라도, 한 기업과 그 시점의 주주와 설립된 관할에 기댄 의사 표명일 뿐이다. 이 세 가지는 바뀐다. 수집하지 않는 구조는 이사회가 바뀐다고 바뀌지 않는다. 지금 수집하고 나중에 복호화하기에 대해 우리가 말했던 것과 같은 이동이다. 위험은 약속하는 순간에 있지 않고, 다른 누군가가 결정하는 순간에 있다.

법이 이 구분을 흡수하는 데는 시간이 걸리고, 비밀유지를 둘러싼 이 논쟁이 그 좋은 척도가 된다. 위치정보 보호도 마찬가지다. 법적 구성의 대부분이 데이터 접근을 두고 짜여 있고, 그 데이터의 존재 자체는 한 번도 문제되지 않는다.

결론

판례는 결국 자리를 잡을 것이다. 항소법원이 갈림을 정리하고, 규제기관이 기준을 내놓고, 사무소들이 위임계약서와 조항을 손볼 것이다. 그 점은 의심스럽지 않다.

그러나 근본 질문은 그렇게 해결되지 않는다. 그것은 사실 비밀유지에 관한 질문이 아니기 때문이다. 그것은 어떤 법질서가, 사물이 안다는 것을 인정하면서도 그 앎으로 무엇을 하는지에 대해 누가 답하는지는 끝내 말하지 않아도 되는가에 관한 질문이다.

이 질문이 열려 있는 한, 이용자가 실제로 통제하는 유일한 변수는 그에게 주어지는 약속의 질이 아니다. 그가 존재하게 두는 정보의 양이다.

이 글은 논의를 위한 일반적인 법적 분석이며, 법률 의견서나 법률 자문이 아니다.

출처

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 2026년 2월 10일, Proskauer 분석
United States District Court for the Southern District of New York, United States v. Heppner, 2026년 2월 10일, 2026년 2월 17일자 서면 이유
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., 사건번호 2:25-cv-02352, 2026년 3월 25일
Conseil national des barreaux, CNB, 직업윤리와 인공지능에 관한 지침 채택, 2026년 3월 17일
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 2021년 10월 8일
CCBE, Guide on the use of generative AI by lawyers, 2025년 10월 2일
유럽의회, 로봇공학에 관한 민사법 규칙에 대해 집행위원회에 권고하는 2017년 2월 16일 결의, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 2025년 10월 9일
결함 제조물 책임에 관한 2024년 10월 23일 지침 (EU) 2024/2853

5G, 위치정보, 그리고 법이 겨눈 잘못된 지점

Tue, 18 Aug 2026 00:00:00 +0000

2011년 디트로이트 경찰은 한 이동통신사에 티머시 카펜터의 휴대전화가 기지국에 접속한 이력을 요청했다. 경찰이 받은 것은 127일에 걸친 12,898개의 위치 지점, 하루 평균 약 백 개였다. 7년 뒤 미국 연방대법원은 이 요청이 수색에 해당하며 영장을 요한다고 판단했다.

그 12,898개의 지점은 4세대 기지국에서 나온 것이었고, 기지국 하나가 반경 수 킬로미터를 담당했다. 같은 요청을 오늘 도시의 5G 망에 보낸다면, 수 킬로미터 오차로 하루 백 개가 돌아오지 않는다. 수십 미터 오차로 훨씬 큰 분량이 돌아온다.

기술은 규모가 달라졌다. 법적 논증은 사슬의 같은 자리에 머물러 있다.

대서양 양쪽 법원이 모두 인정하는 법익

거의 모두가 인정하지만 어떤 법조문도 실효적으로 보호하지 않는 이익이 있다. 어딘가에 있다는 사실이 기록되지 않을 권리다.

유럽 판례는 이를 명확히 확립했다. Digital Rights Ireland(병합사건 C-293/12 및 C-594/12, 2014년 4월 8일)와 이어진 Tele2 Sverige 및 Watson(병합사건 C-203/15 및 C-698/15, 대재판부, 2016년 12월 21일)에서 유럽연합 사법재판소는 이 데이터가 전체로 보면 개인의 사생활에 관해 매우 정밀한 결론을 끌어낼 수 있다고 판시했다. 일상의 습관, 머무는 장소, 이동, 수행하는 활동, 그리고 사회적 관계다.

미국 연방대법원도 Carpenter v. United States, 585 U.S. 296 (2018)에서 비슷한 결론에 이르렀다. 미국 학계가 오래 논평해 온 지점, 즉 이 수집이 갖는 불가피하고 자동적인 성격을 판결은 강조했다. 사람은 기지국에 접속되는 데 동의하지 않는다. 전원이 켜진 전화를 가지고 있기 때문에 접속되는 것이다.

그러므로 법익은 존재하며, 이 분야에서 무게를 갖는 두 법원이 이를 인정하고 있다. 문제는 다른 데 있다.

5G가 실제로 바꾼 것

흔한 혼동은 위치를 메시지나 사진처럼 전화가 전송하는 데이터로 취급하는 것이다. 그렇지 않다. 위치는 망 작동의 물리적 결과다. 통신사가 단말이 어느 기지국에 붙어 있는지 아는 이유는, 통화를 연결하려면 알아야 하기 때문이다. 이 정보를 암호화할 수 있는 키는 존재하지 않는다. 그것은 내용이 아니라 연결 그 자체의 속성이기 때문이다.

5G가 기술적 차원이 아니라 법적 차원에서 중요해지는 이유가 바로 여기에 있다.

이전 구조는 넓은 셀에 의존했다. 4G 기지국은 흔히 반경 수 킬로미터를 담당했고, 접속 사실만으로 추정되는 위치는 도시에서 수백 미터, 농촌에서는 때로 수십 킬로미터 단위였다. 5G는 대규모 조밀화에 기반한다. 도시 셀은 보통 수백 미터를 담당하며, 공학 문헌은 3G 시절의 네다섯 기지국에 견주어 제곱킬로미터당 사십에서 오십 기지국 수준의 밀도를 전제한다.

결과는 기계적이다. 에릭슨의 5G 측위 백서에 따르면, 연결성만을 위해 구축된 인프라가 실외에서 이십에서 오십 미터, 실내에서 일에서 삼 미터의 정밀도에 이르며, 조건이 좋은 도시 환경에서는 일 미터 아래로 내려간다. 어딘가에서 켜진 위치 기능이 아니라, 앱 하나 설치되지 않고 권한 하나 부여되지 않아도 망이 구조상 알고 있는 사실이다. 이 모든 메커니즘과 실제로 효과가 있는 대응책은 휴대전화의 상시 위치 추적에 관한 글에서 자세히 다뤘다.

따라서 침해의 정도는 몇 자릿수 커졌다. 적용되는 법적 틀은 여전히 2G와 3G를 염두에 두고 만들어진 것이다. 이 규모의 변화에 어떤 규범적 조정도 뒤따르지 않았다.

법은 접근을 보호하지, 생성을 보호하지 않는다

유럽법은 누가 어떤 조건에서 어떤 통제 아래 위치정보에 접근할 수 있는지를 세심하게 규율한다. 지침 2002/58/EC는 통신 비밀의 원칙을 두고 있고, 사법재판소는 La Quadrature du Net(병합사건 C-511/18, C-512/18 및 C-520/18, 대재판부, 2020년 10월 6일)에서 이 지침 제15조 제1항을 기본권 헌장 제7조, 제8조, 제11조 및 제52조 제1항에 비추어 읽으면 예방 목적의 트래픽 및 위치 데이터의 일반적이고 무차별적인 보관은 허용되지 않는다고 판시했다. 다만 재판소는 회원국이 현실적이고 현존하거나 예견 가능한 중대한 국가안보 위협에 직면한 경우, 실효적 통제를 조건으로 한정된 예외를 인정했다.

이는 실재하는 보호이며 이를 깎아내리는 것은 부당하다. 그러나 이 모두는 사후에 작동한다. 데이터가 존재하고 보관되어 있음을 전제한 뒤, 그 활용 조건을 정하는 것이다.

그런데 위치가 망 작동의 불가피한 부산물이라면, 개입해야 할 지점은 비밀성이 아니다. 지속성이다.

통신을 연결하는 데 필요하고 그 직후 삭제되는 순간의 위치는 감시 도구가 아니다. 몇 달 동안 보관되는 위치 이력은 감시 도구다. 그것을 둘러싼 접근 보장이 아무리 촘촘하더라도 마찬가지다.

둘의 차이는 법적인 것이 아니라 구조적인 것이다. 그리고 유럽의 일정표가 이 물음을 이론이 아니라 시급한 것으로 만든다. 집행위원회는 공동입법자 간 합의가 이루어지지 않아 2025년에 ePrivacy 규정안을 철회했다. 그 이후로는 형사 목적의 데이터 보관에 관한 별도 법안을 준비 중이며, 2026년으로 예고된 이 법안은 2006년 지침이 무효화된 뒤 제각각이 된 각국 제도를 조화시키는 것을 목표로 한다. 다시 말해 향후 10년 동안 위치 메타데이터의 규율을 정할 문서가, 셀이 킬로미터 단위이던 시절에 세워진 논증을 토대로 지금 이 순간 쓰이고 있다.

5G가 스스로 만든 선례

이 사안에서 가장 흥미로운 점은, 올바른 답이 이미 기술 표준 안에 있되 다른 대상에 적용되어 있다는 사실이다.

4G까지 가입자의 영구 식별자인 IMSI는 접속 시 무선 구간을 평문으로 흘렀다. 이것이 IMSI 캐처를 가능하게 했다. 전자프런티어재단의 표준적 설명에 따르면, 정상 기지국보다 강하게 송신해 단말을 끌어들이고 그 식별자를 가로채는 가짜 기지국이다.

2019년에 공개된 3GPP 규격 Release 15부터 5G는 우아한 답을 내놓는다. 이제 SUPI로 불리는 영구 식별자는 무선 구간에서 SUCI로 대체될 수 있다. SUCI는 가입자 고유 부분을 홈 사업자의 공개키로 타원곡선 암호를 사용해 암호화하여 얻는 은닉 식별자다. 대응하는 개인키를 가진 홈 네트워크만이 이를 복호할 수 있다. 계산할 때마다 결과가 달라지므로 세션 간 상관관계를 지을 수 없다.

채택된 논리는 강조할 만하다. 입법자가 따라야 할 논리가 정확히 이것이기 때문이다. 기술적으로 불가능한 위치를 암호화하는 것이 아니라, 신원을 암호화한다. 귀속시킬 신원이 없는 위치는 개인을 겨냥한 감시에 있어 가치가 매우 제한된다.

허점: 선택 사항인 보호

그러나 상당한 유보가 있고, 우리가 보기에 이것이 이 사안 전체에서 가장 구체적인 개입 지점이다.

미국 국립표준기술연구소가 2026년 3월에 펴낸 백서 NIST CSWP 36A는 이를 에두르지 않고 말한다. Release 15 이상에 부합하는 단말과 망 기능은 SUCI를 지원할 의무가 있지만, 그 활성화는 여전히 사업자의 선택으로 남는다. 세 조건이 갖춰져야 한다. 장비 제조사가 지원해야 하고, 사업자가 자사 망에서 켜야 하며, SIM 카드가 계산에 필요한 요소를 담고 있어야 한다.

여기에 설정상의 함정이 더해진다. 표준은 널 보호 방식을 두고 있는데, 형식적으로는 SUCI 형식을 쓰지만 실제 암호화는 이루어지지 않아 식별자가 평문으로 흐른다. NIST는 사업자가 자사 망을 널이 아닌 보호 방식으로 구성해야 한다고 쓰며, 미국 연방통신위원회의 자문기구인 CSRIC의 보고서가 이미 2021년에 널 방식을 망이 알지 못하는 단말의 긴급 통화에만 한정하도록 권고했음을 상기시킨다.

이 문장은 있는 그대로 두는 편이 낫다. 이동단말 추적에 맞서는 최선의 보호는 2019년부터 기술 표준 안에 있다. 그것은 사업자의 재량에 맡겨진 설정 선택에 달려 있다. 미국의 한 연방기관은 2026년에 그것을 켜야 한다고 상기시키는 문서를 내는 것이 유용하다고 본다. 그리고 어떤 유럽 법 문서도 이를 의무화하지 않는다.

덧붙이자면 SUCI가 이 주제를 끝내지는 않는다. 5G SUCI-catchers: still catching them all?이라는 제목으로 발표된 연구는 암호화에도 불구하고 세션을 다시 연결지을 수 있는 연결성 공격을 기록하고 있으며, 공격자가 단말을 이전 세대로 낮추도록 강제하면 보호는 통째로 무너진다. 따라서 법적 의무가 모든 것을 해결하지는 않는다. 그럼에도 변호할 수 없는 간극, 즉 표준이 허용하는 것과 상용 망이 실제로 하는 것 사이의 간극은 없앨 것이다.

일관된 세 가지 개입

위치를 사후에 보호하기보다 설계 단계에서 최소화해야 한다는 생각을 진지하게 받아들이면, 세 가지 조치가 논리적으로 따라 나온다.

식별자의 실효적 은닉을 의무화한다. SUCI 활성화를 강제하고, 긴급 통화라는 잔여 사례를 제외하고 상용 망에서 널 보호 방식을 금지한다. 새로운 기술을 규정하거나 구축에 비용을 대는 문제가 아니라, 표준화된 지 7년이 되었고 장비에 이미 들어 있는 기능을 켜라고 요구하는 문제다.
보관을 기본값이 아니라 예외로 다룬다. 통신을 연결하는 데 필요한 위치는 그 역할이 끝나는 즉시 삭제되어야 한다. 이력을 구성하려면 별도의 정당화가 요구되어야 한다. 당신이 어디 있는지 아는 망과, 당신이 어디 있었는지 기억하는 망의 차이가 여기에 있다.
키의 보관을 실질적 연결점으로 삼는다. 데이터를 읽을 수 있게 만드는 키가 다른 곳에 있다면, 서버가 역내에 있다는 사실은 큰 의미가 없다. 법적으로 유의미한 기준은 복호 수단에 대한 실효적 지배여야 하며, 이 문제는 데이터법과 CLOUD법의 충돌을 다루며 자세히 검토했다.

Arpokrat이 취하는 관점

이 논증은 전기통신법에만 해당하지 않는다. 우리 자신의 구조적 선택에도 적용하는 논증이며, 한 문장으로 요약된다. 생성되지 않은 것은 보호할 필요가 없다.

ArpokratOS가 GPS, 블루투스, NFC를 메뉴에서 끄는 대신 커널 수준에서 제거하는 이유가 여기에 있다. 스위치는 정책이다. 특권 구성요소가 우회할 수 있고, 업데이트가 다시 켤 수 있으며, 침해된 시스템이 무시할 수 있다. 코드 경로를 제거하면 물음 자체가 사라진다. 이는 우리가 법의 층위에서 요구하는 것과 같은 이동을 한 대의 기기 층위로 옮긴 것이다. 접근이 아니라 생성에 개입하는 것이다.

이것이 하지 못하는 일도 바로 말해 두어야 한다. 어떤 운영체제도 단말을 망의 기하학에서 빼내지 못한다. SIM 카드가 활성화되어 있는 한 사업자는 접속 셀을 알며, 모든 트래픽을 Tor로 보내도 달라지지 않는다. Tor가 보호하는 것은 내용과 목적지이지 무선 계층이 아니기 때문이다. 바로 그래서 이 주제는 법적 주제다. 어떤 개인 설정으로도 줄일 수 없고, 사용할 수 있는 유일한 변수가 사업자에게 적용되는 규칙뿐인 위험 범주가 존재한다.

같은 관심이 우리의 나머지 작업도 지배한다. 존재하지 않는 데이터는 압수될 수도, 되팔릴 수도, 유출될 수도, 오늘 아무도 갖고 있지 않은 기계로 10년 뒤에 복호될 수도 없다. 이 문제는 지금 수확해 나중에 해독하는 암호라는 각도에서 다룬 바 있다.

결론

모바일 감시에 관한 공적 논의는 거의 전적으로 접근에 집중되어 있다. 누가 데이터를 열람할 수 있는지, 어떤 근거로, 어떤 허가를 받아. 이 논의는 정당하며, 2014년 이후 사법재판소가 내린 판결은 실질적 효과를 냈다. 그러나 사슬에서 개입하는 시점이 너무 늦다.

그에 앞서는, 그리고 더 결정적인 물음은 이력이 존재해야 하는가이다. 오늘 정당한 이유로 구축된 데이터베이스는 내일 다른 이유로도 쓸 수 있게 남고, 그것을 둘러싼 보장은 수집 시점에 누구도 통제하지 못하는 훗날의 정치적 결정에 달려 있다. 이는 제도의 안정성에 거는 내기이며, 그 기간을 정하는 이는 아무도 없다.

5G는 이 정보의 해상도를 몇 배로 높였으나 어떤 규범적 조정도 뒤따르지 않았다. 동시에 5G는 SUCI라는 장치를 통해, 실행 가능한 길이 망의 물리적 속성을 암호화하려는 시도가 아니라 위치를 신원에서 분리하는 것임을 보여주었다. 기술 표준은 법이 물음을 던지기 7년 전에 답을 내놓았다.

데이터 보관에 관한 유럽의 문서는 지금 쓰이고 있다. 그것은 메타데이터를, 따라서 위치를, 따라서 그 기초자들이 알지 못했던 정밀도로 5G가 오늘날 만들어내는 것을 다루게 된다. 당연한 것으로 전제된 이력에 대한 접근을 정리하는 데 그칠 것인가, 아니면 그 이력의 필요성 자체를 묻는 용기를 낼 것인가. 이는 아마도 앞으로 몇 년간 유럽에서 가장 중요한 프라이버시 물음일 것이다. 그리고 이번만큼은 기술 분야가 이미 옳은 방향으로 결론을 내려 둔 물음이기도 하다.

출처

유럽연합 사법재판소, Digital Rights Ireland, 병합사건 C-293/12 및 C-594/12, 2014년 4월 8일
유럽연합 사법재판소, Tele2 Sverige 및 Watson, 병합사건 C-203/15 및 C-698/15, 대재판부, 2016년 12월 21일
유럽연합 사법재판소, La Quadrature du Net 외, 병합사건 C-511/18, C-512/18 및 C-520/18, 대재판부, 2020년 10월 6일
미국 연방대법원, Carpenter v. United States, 585 U.S. 296, 2018
미국 국립표준기술연구소, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, 2026년 3월
에릭슨, 5G positioning: Locating devices anywhere
Merlin Chlosta 외, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
전자프런티어재단, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026