OpenAI가 ChatGPT Enterprise와 OpenAI API에 대해 FedRAMP Moderate 사용 가능 상태에 들어갔다고 발표했다. 이제 미국 연방기관은 OpenAI를 Azure 경유 우회로가 아니라, 조달 가능한 직접 옵션으로 검토할 수 있게 됐다.1
하지만 이 소식을 "이제 정부에서 다 쓸 수 있다"로 이해하면 곤란하다. 진짜 변화는 만능 허가가 아니라, 어떤 AI 프로젝트는 이제 현실적인 구매 후보가 되었고, 어떤 프로젝트는 여전히 보류해야 한다는 경계가 좀 더 선명해졌다는 데 있다.
핵심은 승인 여부가 아니라, 지금 안전하게 만들 수 있는 업무의 범위다
확인된 사실부터 보자. 이번 범위는 ChatGPT Enterprise와 OpenAI API다.1 FedRAMP Moderate는 일반적인 연방 업무 데이터에 맞는 중간 수준 보안 기준으로 이해하는 편이 맞다. 반대로, 고기밀·국방·정보기관급 민감 워크로드까지 자동으로 포괄하는 신호는 아니다. 업계 반응도 "직접 조달 길이 열렸다"는 점과 함께, "어떤 모델·엔드포인트가 정확히 범위에 들어가느냐"를 따지는 쪽으로 움직이고 있다.2
실무적으로는 세 부류로 나눠 보는 게 좋다.
가장 먼저 열리는 것은 내부 생산성 업무다. 초안 작성, 문서 요약, 정책·규정 질의응답, 헬프데스크 보조, 개발 문서 검색 같은 일이다. 실제로 USAID는 행정 부담 경감과 외부 파트너 협업 개선 목적으로 ChatGPT Enterprise를 도입한 바 있다.3 이런 업무는 "정확도 100% 자동결정"보다 "사람의 시간을 줄이는 보조"에 가깝기 때문에 도입 명분을 만들기 쉽다.
그다음은 경계선 영역이다. PII, 조직 내부 기록, 조달 문서, 민원 데이터, 일부 CUI 인접 데이터가 섞이는 경우다. 여기서는 FedRAMP Moderate가 출발점은 되지만 끝은 아니다. 데이터 분류, 프롬프트 보존 정책, 출력 검수 책임, 기록관리 요건을 기관이 따로 정해야 한다.
여전히 맞지 않는 영역도 분명하다. 국방·정보·수사처럼 더 높은 보안 레벨이나 별도 제도 정합성이 필요한 업무다. ChatGPT Gov가 Azure 환경에서 IL5, CJIS, ITAR, FedRAMP High 정렬 가능성을 강조한 이유도 여기에 있다.4 즉 "OpenAI가 가능해졌다"와 "우리 업무가 바로 적합하다"는 같은 말이 아니다.
OpenAI 직접 도입, Azure OpenAI, 아니면 대기: 셋은 비슷해 보여도 판단 기준이 다르다
이제부터는 컴플라이언스 뉴스보다 구매 전략의 문제다.
OpenAI 직접 도입이 유리한 팀은 최신 OpenAI 기능과 API를 빠르게 쓰고 싶고, Azure에 깊게 묶이지 않았으며, 조달 경로를 단순화하고 싶은 경우다. 특히 정부 대상 제품을 만드는 계약업체나 SI는 "OpenAI API 직접 통합"을 제안서에 넣을 수 있는 여지가 커졌다.2
반면 Azure OpenAI 또는 ChatGPT Gov 쪽이 더 자연스러운 조직도 많다. 이미 Microsoft 보안·IAM·감사 체계에 올라타 있고, 데이터 경계와 네트워크 통제를 더 세밀하게 맞춰야 하며, 내부 승인 조직이 "새 벤더"보다 "기존 Microsoft 스택 확장"을 선호한다면 이쪽이 마찰이 적다. ChatGPT Gov는 기관이 Azure 상에서 더 통제된 형태로 운영할 수 있다는 점을 전면에 내세운다.4
아예 기다리는 선택도 충분히 합리적이다. 이유는 단순하다. FedRAMP Moderate가 있어도 기관 내부 ATO, 데이터 사용 규정, 노조·법무·기록관리 검토, 모델 출력 검증 체계가 준비되지 않았다면 구매만 앞서가고 실제 배포는 멈출 수 있다.
즉 질문은 "누가 더 안전한가" 하나가 아니다. 조달 경로, 기존 클라우드 발자국, 필요한 모델 접근성, 데이터 민감도, 보안팀 승인 난이도를 함께 봐야 한다.
FedRAMP Moderate가 해결하지 못하는 문제들이 실제 도입을 늦춘다
여기서 많이 놓치는 점이 있다. FedRAMP는 클라우드 서비스의 보안 통제를 줄여주지만, AI 사용의 운영 리스크를 대신 떠안아주지는 않는다.
예를 들어 프롬프트에 무엇을 넣어도 되는지, 직원이 민감 문서를 복붙하지 않도록 어떤 정책과 교육을 둘지, 모델 출력을 누가 검토하고 어떤 업무는 자동화 금지로 둘지, 생성된 답변을 기록물로 봐야 하는지 같은 문제는 여전히 기관 몫이다.
특히 "Moderate니까 CUI도 다 괜찮다"는 식의 단순화는 위험하다. 일부 보도는 Moderate가 PII나 일부 민감 데이터를 다룰 수 있는 기반이 된다고 설명하지만,3 실제 사용 가능 범위는 기관의 데이터 분류와 시스템 경계 설정에 따라 달라진다. 규정상 가능한 것과 내부 통제상 허용되는 것은 다를 수 있다.
결국 가장 어려운 리스크는 보안 인증 부족이 아니라, 사람과 프로세스가 AI를 다룰 준비가 안 된 상태에서 도입하는 것이다.
처음부터 큰 사업으로 가지 말고, '반발이 적은 파일럿'부터 설계해야 한다
가장 좋은 첫 파일럿은 미션 크리티컬 의사결정이 아니라, 시간이 많이 들고 결과 검수가 쉬운 업무다. 예를 들면 내부 정책 문서 요약, 조달 FAQ 초안, 번역 초안, 개발 문서 탐색 같은 것들이다. 펜실베이니아 파일럿에서는 반복 업무 시간이 하루 평균 105분 줄었다는 사례도 소개됐다.4
중요한 것은 기술 시연이 아니라 승인 가능한 운영 설계다. 파일럿 전에 최소한 네 가지는 문서화하는 편이 좋다. 어떤 데이터는 넣지 않는지, 출력은 누가 검토하는지, 로그와 접근권한은 어떻게 남기는지, 성공 지표를 무엇으로 볼지다. "정확도 향상" 같은 추상적 목표보다 "초안 작성 시간 40% 단축" 같은 지표가 내부 설득에 훨씬 강하다.
이번 OpenAI FedRAMP Moderate는 정부 AI가 완성됐다는 뉴스가 아니다. 대신 연방기관과 계약업체가 이제 조금 더 현실적으로 물을 수 있게 된 사건이다. 우리 업무는 내부 생산성 파일럿에 맞는가, 더 강한 통제형 배치가 필요한가, 아니면 아직 거버넌스부터 정리해야 하는가. 지금 신경 써야 할 사람은 "AI를 써볼까?" 고민하는 팀이 아니라, 올해 예산과 조달 시간을 어디에 먼저 쓸지 결정해야 하는 팀이다.
참고
1OpenAI available at FedRAMP Moderate
2OpenAIがFedRAMP Moderate認可取得、米連邦機関がChatGPT | Whytrend AI
3OpenAI reveals first federal agency customer for ChatGPT Enterprise
4OpenAI unveils ChatGPT Gov for US government agencies amid rising AI competition
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.