CISA ‘ChatGPT’ 민감정보 업로드 사건으로 AI 거버넌스 책임 공백 노출

CISA 고위 간부의 ChatGPT 민감정보 업로드 사건이 AI 거버넌스 책임 공백을 드러내다

미국 사이버 보안 기관 CISA의 임시 국장 Madhu Gottumukkala가 2025년 여름 정부 계약 문서 ‘For Official Use Only’를 공개형 ChatGPT에 업로드해 자동 보안 경보와 DHS 차원의 조사를 촉발한 사건이다.
CISA와 DHS는 이 사용이 일시적 예외 승인 하에 이뤄졌다고 설명했으나, 문서가 내부망에서 외부 AI 서비스로 이전되며 데이터 보존·학습 가능성 등 통제 밖으로 벗어난 점이 AI 도구 사용 규정과 절차의 허점을 드러냈다.
이 사건으로 CISA는 내부 AI 사용 통제와 고위직 예외 승인 절차를 재검토하고, 이후 중요 인프라를 대상으로 한 AI 보안 지침과 내부자 위협 대응 인포그래픽을 발표하며 공공 부문 전반의 AI 거버넌스 강화 필요성을 인정했다.
사건은 여름에 발생했으며 이후 2026년 1~2월 언론 보도로 공개됐다. 관련 문서는 ‘for official use only’ 표기 정부 계약 자료로, 자동 보안 경보와 DHS 검토, 시민단체의 공개 청문회 요구 등 후속 대응이 이어졌다.
전통적 데이터 유출 방지(DLP)는 예외 권한을 가진 고위 사용자의 AI 업로드 경로를 실시간 차단하지 못해 탐지 후 대응에 머물렀고, 사람·AI 에이전트·민감 데이터 흐름을 함께 관리하는 AI 네이티브 접근제어와 사전 승인·행위 감사 체계가 필요하다는 교훈을 남겼다.
공개형 AI 서비스에 공공·기간산업 자료를 업로드하는 행위가 심각한 운영 보안 이슈로 부각되며, 한국도 고위 공직자·규제기관에 대한 AI 사용 예외 규정과 교육, 공공망용 폐쇄형 AI 도입 기준, AI 행위 책임 소재를 명확히 하는 법·지침 정비가 시급하다.