법무법인 바른 "기업 규제 리스크 상시 점검…AI로 법률 자문 미래 바뀔 것"

AI와 함께하는 복합규제 시대에서는 기업 리스크 관리와 법률자문 방식도 달라지고 있다. 이준희 법무법인 바른 기업전략연구소장과 이의규 변호사를 만나 AI를 활용한 업무 효율화와 전문가 중심의 고도화된 자문, ‘NOW ESG’와 GRC를 기반으로 한 예방형 법률자문의 미래를 짚어봤다.

[한경ESG]
<인터뷰> 법무법인 바른 이준희 기업전략연구소장, 이의규 변호사

기업의 법률 리스크를 관리하는 법무법인의 역할이 달라지고 있다. 문제가 발생하고 난 후 법률을 검토하고 소송에 대응하는 데서 벗어나 기업 내부에 흩어진 규제와 데이터를 상시 점검하고 위험 신호를 사전에 찾아내는 방향으로 무게중심이 이동하고 있다.

법무법인 바른은 여기에 인공지능(AI)을 접목해 다른 법무법인과의 차별화를 꾀하고 있다. 기업의 지속가능성(ESG) 공시 데이터부터 컴플라이언스 리스크, 관련 법령과 제재, 내부 통제 등을 연결해 반복적이고 정형화된 데이터 관리는 정보기술(IT) 플랫폼과 AI에 맡기고, 변호사와 전문가가 기업별 맞춤 자문에 집중하는 구조로 전환하는 데 초점을 맞추고 있다.

AI의 핵심은 ‘변호사를 대신하는 AI’가 아니다. AI가 법령 변경이나 내부 통제의 누락 가능성을 먼저 찾아내면 변호사와 기업 현업 담당자가 이를 검증하고 실제 경영에 미칠 영향을 판단하는 구조다.

바른은 현재 기업 컴플라이언스 자문을 통해 부서별 리스크와 관련 법령·제재, 통제와 증적 간 연결관계를 표준화하고 이를 토대로 향후 법령 변경의 영향이나 통제·증적의 누락 가능성을 AI가 1차적으로 탐지할 수 있을지 실제 자문 과정에서 효용을 검증하고 있다.

이준희 법무법인 바른 기업전략연구소장은 기업이 맞닥뜨린 환경을 ‘복합규제 시대’라고 규정했다. 환경·노동·안전·공정거래·ESG(환경·사회·지배구조)에 데이터와 AI까지 서로 다른 규제가 하나의 사업 안에서 동시에 작동하면서 과거처럼 새로운 법이나 규제가 등장할 때마다 개별 부서가 대응하는 방식은 한계에 이르렀다는 진단이다.

실제 기업들은 지난 10여 년간 화학물질 규제가 강화되면 환경·안전 조직을 만들고, 청탁금지법이 나오면 반부패 체계를 손보고, 중대재해처벌법이 시행되면 다시 안전보건 조직을 강화하는 식으로 대응해 왔다. 하지만 EU를 중심으로 등장하는 ESG 규제는 구매부터 생산, 판매와 납품까지 공급망 전체를 관통한다. 특정 부서의 업무로 떼어내 대응하기 어려운 구조로 규제 환경이 바뀐 셈이다.

이 소장은 기업이 가장 먼저 해야 할 일로 회사 전체의 ‘규제 믹스(Regulation Mix)’를 파악하는 작업을 꼽았다. 회사에 적용되는 법률을 단순 나열하는 데 그치지 않고 어떤 규제가 서로 중복되고, 어느 규제가 사업에 더 큰 영향을 미치며, 하나의 리스크가 다른 리스크로 어떻게 전이되는지를 하나의 매트릭스로 관리해야 한다는 것이다.

문제는 이를 사람이 일일이 관리하기 어렵다는 데 있다. 특히 별도의 컴플라이언스 인력과 예산을 충분히 확보하기 어려운 중견·중소기업의 부담은 더 크다. 이 소장은 모든 기업이 대기업처럼 전담 조직과 시스템을 갖출 필요는 없지만, 먼저 규제 믹스 매트릭스를 통해 현재 상황을 진단하고 표준양식과 기초교육 등 시스템 경영의 기본기를 갖춰야 한다고 봤다. 이후 반복적인 관리 영역에 IT와 AI를 활용하는 방식으로 단계적으로 고도화해야 한다는 설명이다.

AI 활용…ESG 데이터부터 시작

바른이 가장 먼저 AI·IT 플랫폼 도입에 나선 분야는 ESG다. 바른 기업전략연구소는 ESG 전문 스타트업 EBX와 기업의 ESG 법정공시 데이터를 IT 플랫폼과 AI 솔루션 기반으로 통합 관리하는 ‘NOW ESG’를 설계했다. 기존 고객사부터 우선 적용할 계획으로 반복적인 데이터 수집과 검증에 투입되는 실무자의 시간을 줄이는데 초점을 맞췄다.

지금까지 ESG·컴플라이언스 자문은 사람이 기업 내부의 데이터를 모으고 검증한 뒤 다시 보고서로 만드는 노동집약적 방식이 일반적이었다. 하지만 법정공시가 확대되고 기업이 대응해야 할 규제가 복잡해지면서 기존 방식만으로는 효율적인 대응이 어렵다는 판단이다.

반복적이고 정형화된 작업은 AI와 플랫폼에 맡기고, 그렇게 확보한 시간을 변호사와 전문가가 기업별 리스크를 분석하고 해결책을 제시하는 데 사용한다는 구상이다. AI가 전문가를 대체하는 것이 아니라 전문가가 보다 고도화된 자문에 집중하도록 지원하는 구조다.

다음 단계는 GRC(Governance·Risk management·Compliance)다. 바른은 기업 컴플라이언스 구축·고도화 과정에서 축적한 리스크 관리 방법론을 데이터화하고 AI와 결합하는 방안을 검토하고 있다. 부서별 리스크 분류체계와 주요 컴플라이언스 리스크, 관련 법령·제재, 통제 및 증적의 연결관계를 표준화하고 있으며, 향후 법령이 변경됐을 때 어느 업무와 통제가 영향을 받는지, 필요한 증적이 빠져 있지는 않은지 등을 AI가 1차적으로 탐지하고 변호사와 현업이 검증하는 방식이다.

이의규 변호사는 “AI를 활용한 리스크 관리에서 ‘자동화’ 자체보다 데이터의 신뢰성이 중요하다”며 “AI가 어떤 판단을 내렸다면 근거가 된 데이터가 어디에서 왔는지, 누가 입력하고 검토했는지, 언제 수정됐는지까지 추적할 수 있어야 한다”고 강조했다.

이준희 소장도 “바른이 추진하고 있는 AI 시스템은 기업의 법률 판단을 기계에 넘기는 모델과는 거리가 있다. AI가 반복적인 점검과 리스크 탐지를 담당하고, 최종적인 판단과 대응 전략은 변호사와 기업이 맡는 방식”이라고 했다.

“바른, 기업 상태 살피는 ‘주치의’ 될 것”

AI 도입은 법무법인의 비즈니스 모델 변화로도 이어지고 있다. 기존 법률자문이 계약이나 소송, 규제 위반 등 문제가 발생한 뒤 해결책을 제시하는 방식이었다면 앞으로는 AI와 데이터 플랫폼을 활용해 기업의 위험 요인을 사전에 파악하고 대응하는 ‘예방형 자문’으로 무게중심이 옮아갈 것이라는 전망이다.

바른은 AI를 활용해 기업의 규제 환경과 리스크를 상시 점검하고 이상 징후를 조기에 포착하는 자문 모델을 구상하고 있다. 이 소장은 이를 기업의 ‘주치의’에 비유했다. 문제가 발생했을 때만 진단하고 처방하는 데 그치지 않고 평소 기업의 상태를 지속적으로 살피면서 변화가 감지되면 선제적으로 대응하는 방식이다.

규제 대응과 경영전략을 별개의 영역으로 나누기보다 기업의 경영 과정에서 함께 관리하는 역량이 향후 법률·컨설팅 서비스의 경쟁력을 좌우할 것으로 내다봤다. AI 확산으로 로펌이 다뤄야 할 법률·규제 영역도 한층 복잡해지고 있다. 의료 AI는 AI 관련 법제뿐 아니라 개인정보 보호, 의료기기·디지털의료제품 규제, 의료법 등 다양한 규제가 동시에 적용되는 분야다.

특히 병원과 AI 솔루션 기업 간 데이터 이용계약부터 의료 데이터를 활용하는 과정에서 발생할 수 있는 법적 쟁점, 사고 발생 시 책임 소재까지 여러 문제가 맞물려 있다. 바른은 이처럼 규제가 복합적으로 얽힌 의료 AI 분야에서 법률·규제 대응 경험을 축적하고 이를 다른 산업으로 확대하는 방안도 모색하고 있다.

다음은 이준희 법무법인 바른 기업전략연구소장, 이의규 변호사와의 일문일답.

바른이 AI 시스템을 구축하려는 이유는.

이준희 소장 “AI 시스템을 구축하는 것 자체가 목표는 아니다. 중요한 것은 기업이 복잡해진 규제 환경에 보다 효율적으로 대응할 수 있는 기반을 만드는 것이다. 특히 중견·중소기업은 대기업처럼 각 분야에 전담 인력을 두거나 별도의 시스템을 모두 갖추기 어렵다.
그렇다고 처음부터 AI를 도입해 모든 것을 자동화하려고 해서도 안 된다. 정확한 원천 데이터가 무엇인지, 관련 이해관계자는 누구인지, AI를 활용했을 때 얻을 수 있는 효용과 발생할 수 있는 리스크는 무엇인지를 먼저 정리해야 한다. 결국 AI는 이런 기본적인 관리체계를 갖춘 뒤 반복적인 업무를 효율화하는 수단으로 활용해야 한다고 본다.”

구체적으로 AI는 기업의 컴플라이언스에서 어떤 역할을 하나.

이의규 변호사 “AI가 모든 리스크를 판단해 답을 내놓는 구조를 생각하는 것은 아니다. 기업의 컴플라이언스 업무에는 많은 법령과 내부 자료, 통제 현황을 지속적으로 확인해야 하는 작업이 있다. AI는 이 과정에서 사람이 우선적으로 살펴봐야 할 부분을 보다 효율적으로 찾아주는 역할을 할 수 있다. 다만 AI가 제시한 결과가 실제 법적 리스크에 해당하는지, 기업에 어떤 영향을 미치는지는 변호사와 현업 담당자가 판단해야 한다. 아직 실제 자문 과정에서 AI를 활용한 리스크 탐지가 어느 정도 효용을 낼 수 있는지 검증하고 있다.”

AI를 활용하면 기존 법률자문 방식은 어떻게 달라지나.

이준희 소장 “지금까지 ESG·컴플라이언스 자문은 사람이 데이터를 모으고 검증한 뒤 보고서 형태로 정리하는 노동집약적인 구조였다. 이 과정에 많은 시간과 인력이 투입되면서 정작 데이터가 기업 경영에 어떤 의미를 갖는지 분석하고 구체적인 해법을 제시하는 데 충분한 시간을 쓰기 어려웠다.
AI와 IT 플랫폼을 활용해 데이터 관리 방식이 효율화되면 자문의 중심도 달라질 수 있다. 단순히 자료를 취합하고 결과를 전달하는 데 그치지 않고, 기업별 상황을 분석해 실제 경영에 필요한 판단과 대응 방향을 제시하는 데 전문가 역량을 더 집중할 계획이다.”

AI 활용에 따른 법적 위험은 없나.

이의규 변호사 “그래서 데이터 거버넌스가 중요하다. AI가 어떤 판단을 했을 때 그 근거 데이터가 어디에서 왔는지, 누가 입력했고 누가 검토했는지, 언제 변경됐는지를 추적할 수 있어야 한다. 기업이 AI를 도입할 때는 먼저 사용 목적과 데이터 흐름을 정리하고 이를 도입계약서와 대조해야 한다. 입력 데이터가 모델 학습에 사용되는지, 데이터가 어느 국가와 리전(데이터센터를 집약해놓은 영역)에 저장되는지, 입력물과 출력물의 권리는 누구에게 귀속되는지, 개인정보 처리 위탁과 국외이전 요건을 충족하는지 등을 확인할 필요가 있다.
또 AI의 용도와 영향에 따라 통제 수준을 정하고 위험등급에 따라 승인 절차와 모니터링, 사람의 개입 수준을 달리해야 한다. 채용이나 대출심사처럼 개인의 권리·의무에 중대한 영향을 미치는 분야에서는 고영향 AI 해당 여부를 사전에 검토해 판단 근거를 남길 필요도 있다.”

‘NOW ESG’ 이후 AI·IT 플랫폼은 어떻게 구현할 계획인가.

이준희 소장 “‘NOW ESG’와 같은 특정 서비스 하나를 만드는 것이 최종 목표는 아니다. 중요한 것은 법률자문을 실제 기업의 실행까지 연결할 수 있는 구조를 만드는 것이다. 정책이나 과제를 제시하는 데 그치지 않고 필요한 경우 각 분야의 전문가와 연결해 기업이 실제 대응 방안을 마련할 수 있도록 하는 플랫폼형 통합 서비스를 지향하고 있다.
앞으로 GRC 영역에서도 실제 자문 현장에서 AI의 리스크 탐지 효능을 검증하면서 IT 플랫폼·AI 솔루션을 결합하는 방안을 구체화할 계획이다. 궁극적으로는 법률·규제에 대한 의견을 제시하는 데 그치지 않고 다양한 분야의 전문가와 연계해 기업이 실제 대응 방안을 실행할 수 있도록 지원하는 구조로 확장하는 것이 목표다. AI와 IT 플랫폼은 이러한 통합 서비스를 뒷받침하는 기반이 될 것이다.”

이미경 기자 esit917@hankyung.com │사진 강건 기자