이중용도 기술 시대, 민주주의는 버틸까? 2026 규제 지도

결혼식 영상을 찍는 드론과 전장에서 쓰이는 드론은 부품 상자가 거의 겹칩니다.

이렇게 민간과 군사·정보 목적에 함께 쓰이는 기술이 이중용도 기술이고, AI와 감시 장비, 반도체까지 번지면서 민주주의의 견제 장치를 직접 시험하고 있습니다.

2026년 11월 기준으로 EU, 미국, 한국은 서로 다른 속도로 규칙을 만드는 중입니다.

이중용도 기술이란 무엇이고 왜 지금 민주주의 문제가 되었나

이중용도라는 말은 원래 수출통제 용어입니다.

같은 물건이나 소프트웨어가 병원·공장·학교에서도 쓰이고, 군대와 정보기관에서도 쓰일 수 있다는 뜻입니다.

대표 기구가 바세나르 체제입니다. 재래식 무기와 이중용도 품목·기술이 오갈 때 투명성과 책임을 높이려는 다자 체제로, 1996년에 가동을 시작했고 지금 42개국이 참가합니다. 구속력 있는 조약이라기보다 각국이 합의를 거쳐 정한 목록을 자기 나라 법과 정책으로 이행하는 방식입니다. 이전 허가 여부도 최종적으로는 각국이 결정합니다. 이 체제의 이중용도 목록에는 특수 소재, 전자, 컴퓨터, 통신, 정보보안, 센서와 레이저, 항법과 항공전자 같은 범주가 들어 있습니다.

그런데 지금 이야기가 달라진 데는 이유가 있습니다.

예전의 이중용도 품목은 화학물질이나 정밀 가공 장비처럼 공장에서 만들어 배에 싣는 물건이 중심이었습니다.

지금은 스마트폰 앱 하나, 클라우드 계약 하나, 모델 가중치 파일 하나가 같은 역할을 합니다. 컨테이너에 실려 항구를 지나가지 않으니 막기도, 세기도 어렵습니다.

게다가 이런 기술을 만드는 주체가 국가 연구소가 아니라 민간 기업입니다.

기술이 군사적 가치를 가질수록, 민주주의가 의존해 온 투명성과 견제의 문제가 새로 생깁니다.

일상에서 만나는 이중용도 기술을 7가지만 꼽아 보겠습니다.

휴대폰 카메라에 들어간 얼굴 인식은 잠금 해제에도 쓰이고 광장의 신원 추적에도 쓰입니다.

물류용 드론은 산간 지역에 약을 나르지만 같은 비행 제어 기술이 정찰과 공격에도 들어갑니다.

번역과 요약을 해 주는 대형 AI는 표적 분석에도 쓸 수 있습니다.

반도체는 스마트폰과 미사일 유도 장치에 똑같이 들어갑니다.

클라우드는 병원 기록 저장소이자 군 작전 데이터의 보관소입니다.

위성 인터넷은 오지 학교의 통신망이면서 전장의 통신선입니다.

마지막으로 스파이웨어는 이름부터 감시 도구지만, 공격 기법 자체는 보안 연구에서 방어 도구로도 쓰입니다.

이 7가지의 공통점은 ‘쓰는 사람의 의도’가 기술 안에 들어 있지 않다는 점입니다.

칼과 비슷해 보이지만 한 가지가 다릅니다.

칼은 만든 사람이 쓰임새를 대체로 안다는 점인데, 소프트웨어는 한 번 배포되면 만든 사람도 모르는 곳에서 쓰입니다. 규제가 어려운 이유가 여기에 있습니다.

길 찾기 앱을 떠올리면 감이 옵니다.

출퇴근 길을 알려 주는 지도 앱은 수억 명의 이동 기록을 모아 정확해집니다. 같은 위치 데이터를 군사 시설 주변에서 분석하면 부대 이동의 패턴이 드러날 수 있습니다.

앱을 만든 쪽은 교통 정보를 만들었을 뿐인데, 데이터는 두 번째 용도를 이미 품고 있습니다.

이중용도 기술을 이야기할 때 하드웨어만 보면 놓치는 부분이 바로 이런 데이터와 소프트웨어입니다.

이중용도 기술 시대, 국가와 빅테크의 관계는 어떻게 바뀌고 있나

이 변화를 가장 직설적으로 말한 책이 Palantir의 CEO 알렉스 카프(Alex Karp)와 니컬러스 자미스카(Nicholas Zamiska)가 쓴 『The Technological Republic』입니다.

책의 논지는 이렇습니다.

정부가 대형 혁신에서 한 걸음 물러나면서 핵심 기술 개발의 무게가 민간으로 옮겨갔고, 실리콘밸리 기업들이 국가보다 사적 이익을 먼저 보게 되었다는 진단입니다.

처방은 단호합니다.

자유로운 민주사회가 이기려면 도덕적 호소만으로는 부족하고, 강한 힘이 필요하며, 지금 그 힘은 소프트웨어 위에 세워진다는 주장입니다.

책이 드는 사례는 Palantir가 아프가니스탄에서 급조폭발물(IED) 위치를 예측하는 데 쓰인 일입니다. 기술 기업이 군과 정보기관을 도와야 한다는 논리이고, 일부 엔지니어들이 무기 개발을 거부해 온 분위기를 비판하는 맥락도 담고 있습니다.

이 주장에는 현실적인 근거가 있습니다.

2019년 Microsoft가 미 육군과 맺은 계약에 내부 엔지니어들이 반발한 일이 대표적입니다.

반발의 요지는 ‘무기를 만들려고 입사한 게 아니다’였습니다. 방위 기술의 상당 부분이 사실상 민간 손에 있는 시대에, 민간의 거부가 곧 국가 능력의 공백이 될 수 있다는 걱정은 허황되지 않습니다.

독재 국가가 AI와 감시 기술에 속도를 내는 동안 민주국가만 윤리 논쟁으로 시간을 쓰면 안 된다는 논리입니다.

시민 자유를 중시하는 쪽은 같은 장면에서 다른 질문을 던집니다.

민주주의의 핵심은 권력이 누구에게 얼마나 쏠려 있는지를 시민이 볼 수 있다는 점인데, 군·정보 데이터와 민간 소프트웨어가 하나로 묶이면 그 구조가 보이지 않게 된다는 걱정입니다.

계약은 비공개이고, 알고리즘은 영업비밀이며, 선출되지 않은 기업이 사실상 안보 정책의 일부를 설계하게 됩니다. 이 논리의 약점도 있습니다.

규제가 강할수록 민주국가의 속도가 느려지고, 그 공백을 규칙이 느슨한 나라가 채울 수 있다는 반론입니다.

여기서 말하는 디지털 공화국은 결국 이 질문을 가리킵니다.

공화국이란 공동의 일을 공개적으로 토론하고 결정하는 체제인데, 그 공동의 일 중 점점 많은 부분이 코드와 서버 안에서 정해지고 있습니다.

군사 기술이 국가 안에서 만들어지던 시기에는 의회와 감사 기관이 들여다볼 수 있었습니다.

이제는 민간 기업의 설계 문서와 계약서가 그 자리를 대신하고, 그것을 누가 어떻게 열어 볼 수 있느냐가 민주주의의 질문이 됩니다.

이중용도 기술이 민주주의를 누르는 세 지점은 어디인가

민주주의는 몇 가지 전제 위에 서 있습니다.

시민이 서로를 감시당하지 않고 만날 수 있고, 권력이 누구 손에 있는지 알 수 있고, 같은 사실을 보고 투표한다는 전제입니다.

이중용도 기술은 이 세 전제에 각각 압력을 줍니다. 감시와 프라이버시, 사적 권력의 집중, 정보와 선거입니다.

첫 번째, 감시부터 보겠습니다.

시티즌랩(Citizen Lab)은 2026년 10월 19일 공개한 보고서 ‘Targeting Democracy‘에서 세르비아 베오그라드대 총장이 NSO Group의 스파이웨어 페가수스에 감염된 것으로 높은 신뢰도로 판단했다고 밝혔습니다. SHARE Foundation과 함께한 조사이고, 보고서 제목이 ‘상용 스파이웨어 공격(mercenary spyware attacks)‘과 ‘민주화 인사’를 나란히 놓고 있다는 점이 눈에 띕니다. 같은 사이트에는 2026년 9월 2일자로 세르비아 학생 활동가의 감염을 다룬 보고서도 올라 있습니다. 제가 확인한 것은 이 보고서들의 제목과 요약 수준이므로 감염 경위의 세부는 원문을 확인하셔야 합니다.

스파이웨어는 휴대폰에 들어가 메시지와 위치를 읽습니다. 이게 공개 집회에 간 시민의 기록과 합쳐지면 누가 누구를 만났는지까지 그려집니다. 얼굴 인식도 같은 구조입니다. 아파트 공동현관의 얼굴 인식은 편리함의 도구지만, 같은 알고리즘이 광장 카메라에 붙으면 집회 참석자 명단이 됩니다. 기술은 똑같은데 어디에 달리느냐가 결과를 가릅니다.

EU는 AI법(AI Act)에서 아예 선을 그었습니다. Gibson Dunn의 정리에 따르면 용납할 수 없는 위험으로 분류한 AI 활용을 금지하는 제5조는 2025년 2월 2일부터 적용됩니다. 감시 기술을 쓰되 쓰지 못하는 영역을 법으로 먼저 정해 두는 방식입니다.

소수 기업에 힘이 쏠리면 민주주의의 견제는 어떻게 되나

두 번째 압력점은 힘이 어디에 모이느냐입니다.

카프의 주장이 맞다면 국가는 소프트웨어 기업에 더 기대게 됩니다. 이때 기업은 두 개의 얼굴을 갖습니다.

한쪽에서는 민주국가의 안보를 지키는 파트너이고, 다른 쪽에서는 투표로 바꿀 수 없는 권력입니다.

클라우드를 예로 들어 보겠습니다.

공공기관의 데이터와 군 작전용 데이터가 같은 사업자의 서버에 놓이면, 그 사업자는 평시에는 비용 절감의 수단이고 위기 때는 협상력을 쥔 상대가 됩니다.

위성 인터넷도 같습니다. 평소에는 통신 사각지대를 메우지만, 전시에 누가 어디까지 접속할 수 있는지를 사실상 한 회사가 정한다면 외교와 군사의 일부가 사기업의 약관 안으로 들어옵니다. 이건 특정 기업을 지목한 이야기가 아니라 구조의 이야기입니다. 대체 공급자가 없는 의존이 커질수록 견제할 수단이 줄어든다는 것입니다.

수출통제가 이 구조와 맞물리는 지점도 있습니다.

첨단 칩과 AI 모델을 누구에게 팔 수 있는지는 국가가 정하지만, 그 칩을 설계하고 모델을 훈련하는 쪽은 기업입니다. 그래서 수출통제 규칙이 바뀔 때마다 기업의 투자 계획과 국가의 안보 전략이 한꺼번에 흔들리고, 두 쪽이 서로에게 영향을 주는 로비의 통로도 열립니다.

규칙을 만드는 쪽과 규칙의 적용을 받는 쪽이 같은 테이블에 앉는 일은 피하기 어렵습니다. 문제는 그 테이블에 시민이 앉을 자리가 있느냐입니다.

국가도 이 구조를 의식하고 있습니다.

미국이 반도체와 AI 모델을 다루는 방식이 단적입니다.

Akin의 정리에 따르면 미 상무부 산업안보국(BIS)은 2025년 1월 13일 ‘AI 확산 규칙’을 공표했습니다.

모델 가중치에 대한 통제 항목을 새로 만들고, 고성능 칩 수출 허가 범위를 넓힌 규칙입니다. 그런데 2025년 5월 13일 이 규칙의 폐기를 발표했고, 하나의 대체 규칙 대신 정책 성명, 업계 지침, GP10 지침 3건을 내놓았습니다. 지침에는 중국산 고성능 칩 사용이 GP10에 걸릴 수 있고, 화웨이 Ascend 910B·910C·910D에 GP10 제한이 적용된다고 추정한다는 내용이 들어 있습니다.

이 사례에서 눈여겨볼 점은 규칙이 하나 폐기되었다는 사실보다 규칙이 바뀌는 방식입니다.

수출통제는 의회의 긴 입법보다 행정부의 규칙과 지침으로 움직입니다. 그래서 빠르게 바뀌고, 시민이 논의에 끼어들 틈은 좁습니다.

안보를 이유로 속도를 택하면 민주적 숙의가 줄고, 숙의를 택하면 속도가 느려집니다. 어느 쪽이 옳다고 단정하기 어려운 이유입니다.

AI가 만든 정보 환경에서 민주주의와 선거는 안전할까

세 번째 압력점은 정보입니다.

이중용도 기술의 한 갈래인 생성형 AI는 보도 영상과 비슷한 가짜 영상을 몇 분 만에 만들 수 있습니다.

문제는 가짜가 완벽해서가 아니라 ‘진짜일지도 모른다’는 의심이 퍼져 진짜 영상까지 믿지 못하게 된다는 점입니다.

선거 직전 한 장의 가짜 음성이 도는 상황을 떠올려 보면 이해가 빠릅니다. 정정 보도가 나올 때쯤이면 투표는 끝나 있을 수 있습니다. 이 구체적인 시나리오는 제 설명을 위한 가정입니다.

규제 쪽 대응은 ‘막는다’보다 ‘표시한다’에 가깝습니다.

한국의 인공지능기본법은 2026년 1월 22일 시행되었고, 법률신문 2026년 4월 기사에 따르면 투명성 확보 의무의 주체는 이용자가 아니라 인공지능사업자입니다. 표시 방식은 서비스 화면 안에서만 보이는 생성물과 다운로드·공유로 서비스 밖으로 나가는 생성물을 구분해 달리 적용합니다. 이 법은 에너지·교통·금융 등 10개 분야의 고영향 AI에도 별도 의무를 둡니다.

표시 제도가 완전한 해법은 아닙니다.

표시를 지키는 사업자는 정직한 사업자뿐이고, 일부러 속이려는 쪽은 표시를 달지 않기 때문입니다. 그래서 표시 의무는 방어선 하나일 뿐이고, 출처를 확인하는 미디어 습관과 플랫폼의 신고 체계가 함께 돌아가야 합니다. 시민에게 가장 현실적인 행동은 감정을 크게 흔드는 영상일수록 한 번 더 출처를 보는 일입니다.

이 문제에는 반대편 위험도 있습니다.

가짜가 흔해지면 불리한 진짜 증거를 가짜라고 부인하기도 쉬워집니다.

정치인이 곤란한 녹취가 공개됐을 때 AI로 만든 것이라고 말하면, 사실 확인의 부담이 갑자기 반대로 넘어갑니다. 표시 의무와 출처 검증이 필요한 이유는 가짜를 잡는 일만이 아니라 진짜의 신뢰를 지키는 일에도 있습니다. 이중용도 기술이 정보 환경에서 만드는 가장 큰 변화는 거짓이 늘어난다는 점보다 진실의 비용이 오른다는 점입니다.

민주주의 국가들은 이중용도 기술을 어떻게 규제하고 있나

지금까지 본 일정을 한 줄로 이으면 규제의 속도 차이가 보입니다.

EU는 먼저 법을 만들고 이제 적용 시기를 조율합니다. 미국은 수출통제 규칙을 만들었다 거두고 지침으로 방향을 잡습니다. 한국은 법을 시행한 뒤 유예 기간을 두었습니다.

EU부터 보겠습니다.

Gibson Dunn의 2026년 5월 27일자 분석에 따르면 범용 AI(GPAI) 의무는 2025년 8월 2일부터 적용되고 있습니다. 2026년 5월 6일에는 고위험 AI 의무의 시행을 늦추는 옴니버스 개정안의 잠정 합의가 있었고, 5월 13일 이사회가 확인했습니다. 새 기한은 독립형 고위험 시스템(부속서 III)이 2027년 12월 2일, 규제 제품에 들어가는 AI(부속서 I)가 2028년 8월 2일입니다. 다만 이 기한은 공식 채택과 관보 게재 뒤에야 효력이 생깁니다. 분석 시점에는 2026년 8월 2일 이전 게재가 예상되었고, 이후 실제 게재 여부는 제가 확인하지 못했습니다. 이 부분은 [검증 전]이므로 발행 전 공식 관보에서 확인하셔야 합니다.

한국은 시행과 유예가 동시에 있습니다.

앞서 본 대로 인공지능기본법은 2026년 1월 22일 시행되었고, 과기정통부는 최소 1년 이상 규제를 유예하겠다고 밝혔습니다. 같은 기사에 따르면 이 기간에 사실조사와 과태료는 인명사고나 인권 훼손처럼 매우 예외적인 경우에만 이뤄질 예정입니다. 산업 쪽에서는 환영할 일이고, 시민 단체 쪽에서는 준비 기간에 기준이 허술해질까 걱정할 수 있는 대목입니다.

수출통제는 다자 체제와 국가 규칙이 겹칩니다.

앞서 본 바세나르 체제는 42개국이 합의로 목록을 갱신하지만 이행은 각국이 합니다. 미국처럼 자국 규칙으로 더 나아가는 나라가 있으면 규칙의 층이 하나 더 생깁니다. 민주국가들이 같은 방향을 보고 있다고 해도 속도와 수단이 다르니 기업은 나라마다 다른 규칙을 읽어야 합니다.

이 비교에서 읽히는 공통점이 하나 있습니다.

세 지역 모두 기술 자체를 금지하기보다 쓰이는 맥락에 따라 의무를 붙이는 방식으로 움직인다는 점입니다.

감시에는 금지선, 생성물에는 표시, 칩과 모델에는 수출 허가입니다. 다만 이 방식에도 한계는 있습니다. 용도를 가려 의무를 붙이려면 누군가 용도를 확인해야 하는데, 소프트웨어는 사후에 용도가 바뀌어도 알아채기 어렵습니다. 그래서 신고 제도, 독립 감독 기관, 위반 때의 제재가 규칙 문구만큼 중요합니다. 이중용도 기술은 본질적으로 용도 구분이 어렵기 때문에, 대상보다 용도와 위험을 잣대로 삼는 것이 현재까지의 합의에 가깝습니다.

이중용도 기술 시대에 시민이 지켜볼 네 가지는 무엇인가

여기까지 두 진영의 논거와 세 압력점, 세 지역의 규칙을 봤습니다.

결론부터 말하면 민주주의가 버틸지는 기술이 아니라 제도가 얼마나 빨리 설계되느냐에 달려 있고, 그 설계에 시민이 참여할 수 있느냐가 관건입니다. 기술 민족주의 쪽이 옳다면 민주국가는 더 빠르게 역량을 키워야 하고, 시민 자유 쪽이 옳다면 속도를 늦추더라도 견제 장치를 먼저 세워야 합니다. 두 주장은 서로를 지우는 관계가 아닙니다. 둘 다 받아들이는 설계도 가능하고, 실제로 규제 체제들은 그 사이 어딘가에서 움직이고 있습니다.

시민이 뉴스를 볼 때 던질 만한 질문은 네 가지로 정리됩니다.

첫째, 이 기술의 쓰임새가 법에 목적으로 정해져 있는가.

둘째, 쓰임을 감독하는 주체가 독립적인가.

셋째, 한 업체가 빠지면 대체할 수 있는가.

넷째, 계약과 사용 기록이 사후에라도 공개되는가.

감시 장비 도입, 방위 계약, 공공 클라우드 이전 같은 소식을 만날 때마다 이 네 질문을 대입해 보면 기사 속에서 빠져 있는 정보가 보입니다. 예를 들어 지자체가 새 CCTV 분석 시스템을 도입한다는 기사에 보관 기간과 열람 주체가 적혀 있지 않다면, 두 번째와 네 번째 질문에 답이 없다는 뜻입니다. 그럴 때 시민이 할 수 있는 일은 거창하지 않습니다. 정보공개 청구로 계약 내용을 묻거나, 규칙을 만드는 단계의 의견 수렴에 한 줄이라도 의견을 내는 것입니다.