고객인가 주권자인가 — 정부가 AI 벤더를 배제할 때 선은 누가 긋는가

정부가 조달에서 특정 AI 벤더를 배제하는 것은 정당한 구매자의 재량인가, 아니면 이용 정책에 대한 보복인가. 그리고 그 경계는 누가 긋는가.

도입

2026년 8월 27일, 미국 캘리포니아 북부연방지방법원의 리타 F. 린(Rita F. Lin) 판사가 59쪽짜리 약식판결(summary judgment) 결정을 냈다. 사건은 Anthropic PBC 대 U.S. Department of War 외(사건번호 3:26-cv-01996-RFL)이다. 결론부터 말하면, 트럼프 행정부가 앤트로픽을 “국가안보 공급망 리스크(supply chain risk)“로 지정하고 전 연방기관에 사용 중단을 지시한 일련의 조치는 수정헌법 제1조가 금지하는 보복이자, 수정헌법 제5조의 적법절차를 건너뛴 처분이며, 근거 법률인 10 U.S.C. § 3252의 요건도 충족하지 못했다는 것이다.

이 사건을 정파적 사건으로 읽으면 얻을 것이 별로 없다. 흥미로운 것은 이 사건이 지금까지 누구도 정면으로 시험해 본 적 없는 구조를 시험했다는 점이다. AI 벤더가 이용 정책(usage policy)으로 특정 용도를 계약상 제한할 때, 그 계약의 상대방인 정부는 동시에 세 가지 지위에 선다. 물건을 사는 고객이고, 그 산업을 규율하는 규제자이며, 사실상 최대 구매자다. 민간 거래에서라면 “그 조건이 싫으면 다른 벤더를 쓰면 된다”로 끝날 일이, 상대가 주권을 가진 구매자일 때는 끝나지 않는다. 린 판사의 판결문은 바로 그 지점에서 선을 하나 긋는다. 그 선이 어디에 그어졌는지, 그리고 그 선이 실제로 무엇을 지킬 수 있는지가 이 글의 주제다.

기록은 얇았다: 무엇이 지정되었고 무엇이 남았는가

먼저 판결문이 “다툼 없는 사실(undisputed facts)“로 정리한 시간표를 보자. 미 정보·국방 기관은 2024년부터 클로드(Claude)를 써 왔고, 2025년 3월부터는 국가안보 사용자를 위한 전용 모델인 클로드 거브(Claude Gov)가 파트너 플랫폼을 통해 국방부에 공급됐다. 2025년 6월 클로드는 FedRAMP High 및 국방부 임팩트 레벨 4·5 인가를 받았고, 앤트로픽은 18개월의 심사를 거쳐 최고기밀(Top Secret) 시설 보안 인가를 획득했다. 2025년 7월에는 국방부 최고디지털·AI실(CDAO)로부터 2년, 최대 2억 달러 규모의 계약을 따냈다. 즉 문제의 이용 제한 조항은 처음부터 그 자리에 있었고, 그것을 알고도 정부는 최고 등급의 인가와 계약을 내줬다.

균열은 2025년 가을 국방부의 GenAI.mil 플랫폼에 클로드를 새로 배치하는 협상에서 시작됐다. 국방부는 모든 이용 제한을 제거하고 “모든 적법한 용도(for all lawful uses)“를 허용하는 조항을 요구했다. 앤트로픽은 대부분의 제한을 없애는 데 동의했지만 두 가지는 끝내 거부했다. 미국인에 대한 대규모 감시, 그리고 치명적 자율 무기다. 다만 판결문은 이 제한이 “순전히 계약상의 한계”이며 앤트로픽에게는 이를 기술적으로 강제할 수단도, 국방부의 실제 사용을 들여다볼 가시성도 없다고 못박는다. 이 점은 뒤에 다시 중요해진다.

2026년 2월 24일 회의에서 헤그세스 국방장관은 클로드의 “정교한 역량”을 인정하면서도, 국방부에는 그런 우려를 제기한 적 없는 다른 벤더가 많고 그들은 국방부의 결정에 “거부권을 행사하지 않는다”고 말했다. 판결문에 따르면 그는 모델이 불안전하거나 침해 가능성이 있다는 말은 하지 않았다. 대신 2월 27일 오후 5시까지 “모든 적법한 용도”에 동의하지 않으면 즉시 공급망 리스크로 지정하겠다고 통보했다. 같은 날 오후 3시 47분 트럼프 대통령은 소셜미디어에 앤트로픽 기술의 “즉각 사용 중단”을 전 연방기관에 지시하는 글을 올렸고, 약 한 시간 뒤 헤그세스 장관은 앤트로픽이 “오만과 배신의 명강의”를 했다며 공급망 리스크 지정을 발표했다. 이 지정의 효력은 군과 거래하는 어떤 계약자·공급자·파트너도 앤트로픽과 상업적 거래를 할 수 없다는 것, 즉 군 조달과 무관한 영역까지 미치는 2차 보이콧이었다.

법원이 무너뜨린 지점은 증거였다. 판결문의 표현으로 정부가 제출한 행정기록은 “얇았다(The record is slim)”. 정부 논리 전체를 담은 문서는 4쪽짜리 메모 하나였고, 그것조차 문제된 세 조치 중 두 개보다 나중에 작성됐다. 더 결정적으로, 정부는 원래 위험 평가의 핵심이던 “앤트로픽이 배치된 모델에 백도어 접근권을 갖는다”는 주장을 스스로 철회했다. 앤트로픽에게 그런 접근권이 없다는 점, 그리고 앤트로픽의 기술이 다른 “블랙박스” AI 모델보다 특별히 더 위험하지 않다는 점을 정부가 인정한 것이다. 그러자 남은 근거는 단 하나, “신뢰”였다. 정부는 앤트로픽이 “언론을 통해 점점 더 적대적인 태도”를 보였기 때문에 모델의 무결성을 맡길 수 없다고 주장했다.

법원은 여기서 정부의 행위를 그 자체의 언행으로 반박한다. 조치가 시작되기 며칠 전 헤그세스 장관은 앤트로픽에 국방생산법(Defense Production Act) 적용을 검토했는데, 이는 그 회사가 국가안보에 위협이 아니라 필수적이라는 뜻이 된다. 조치 직후에도 국방부는 앤트로픽과 계약 협상을 이어가며 “거의 다 왔다”고 말했고, 판결 시점에도 정부는 앤트로픽의 신규 모델을 여러 민감한 영역에 쓰는 협업을 논의 중이었다. 린 판사는 이렇게 정리한다. 이 조치들은 앤트로픽이 실제로 모델을 오염시킬 것이라는 어떤 구체적 근거에 기반한 것이 아니라, 정부를 비판한 “오만함”에 대해 본보기를 만들려는 의도에 기반했다는 것이다. HN 토론에서 한 이용자는 판결문의 이 “기록은 얇았다” 단락을 그대로 옮기며 이것이 사건 전체의 가장 간결한 요약이라고 평했다(@embedding-shape).

고객의 재량과 주권자의 처벌 — 법원이 그은 선

이제 핵심 질문으로 돌아가자. 판결문에서 가장 인용할 가치가 있는 문장은 승소 선언이 아니라 그 옆에 붙은 단서다. “국방부가 원하는 AI 벤더를 선택할 자유가 있다는 데는 다툼이 없다. 그러나 앤트로픽에 부과된 광범위한 조치들은 불법적이고 근거가 없었다.” 법원은 정부의 구매 재량 자체를 건드리지 않았다. 실제로 판결문은 이번 구제가 “피고들이 적법하게 앤트로픽과의 계약관계를 종료하는 것을 막지 않는다”고 명시한다. 정부는 앤트로픽을 안 써도 된다. 계약을 끊어도 된다. 그것이 고객의 재량이다.

선이 그어진 곳은 그 너머다. 첫째, 조치는 정부의 조달 범위를 넘어 민간 영역으로 확장됐다. 군과 거래하는 회사가 군과 무관한 일에서도 앤트로픽과 거래하지 못하게 하는 것은 구매 결정이 아니라 규제다. 판결문은 이를 “정부 공급망을 훨씬 넘어서는 2차 보이콧”이라 부르고, 정부 측 변호인조차 구두변론에서 계약의 유지·종료를 벗어난 행위는 공무원 발언 사건에 쓰이는 완화된 심사 기준의 적용 대상이 아님을 인정했다고 적는다. 둘째, 조치의 목적이 억지였다. 앤트로픽을 “미국의 적대자”로 공개 낙인찍은 것은 정의상 제3자의 행동을 겁주기 위한 것이고, 그 청중은 다른 AI 기업과 방산업체였다는 것이 법원의 판단이다. 셋째, 법률 요건이다. § 3252의 “공급망 리스크”는 “적대자가 시스템을 사보타주하거나 악의적으로 불필요한 기능을 심는” 위험으로 정의되어 있다. 법원의 문장은 단호하다. “IT 벤더는 껄끄러운 질문을 던지거나 특정 계약 조건을 완강히 고집한다고 해서 미국의 잠재적 적대자가 되지 않는다. 설령 그 때문에 국방부가 그 벤더의 신뢰성을 의심하게 되더라도 마찬가지다.”

요컨대 법원이 구분한 것은 시장 참여자로서의 정부와 주권자로서의 정부다. 전자는 거래를 끊을 수 있고, 후자는 법이 정한 요건과 절차 안에서만 낙인을 찍을 수 있다. 문제는 이 구분이 개념적으로는 깔끔해도 현실에서는 잘 흐려진다는 점이다. 최대 구매자가 거래를 끊는 것과 시장에서 배제하는 것은 결과적으로 잘 구별되지 않는다.

그리고 이 사건에는 진지하게 다뤄야 할 반대 논거가 있다. HN 토론에서 한 이용자는 앤트로픽이 일반 이용자에게는 막을 수 없는 용도를 계약으로 미국 정부에만 금지한 것은 사실상 안보 리스크를 만든 것이며, 모두를 막든지 아무도 막지 말든지 해야지 한 나라만 골라내 손발을 묶을 수는 없다고 주장했다(@trimethylpurine). 이 반론은 앞서 인용한 판결문의 사실인정 — 이용 제한은 순전히 계약상의 것이고 기술적으로 강제되지 않는다 — 과 정확히 맞물리기 때문에 진지하다. 실효성이 없는 제한이라면 그것은 안전장치가 아니라 미국 정부에만 적용되는 비대칭적 족쇄가 아니냐는 것이다.

같은 스레드에서 나온 반박도 만만치 않다. 앤트로픽의 두 레드라인은 인간이 개입하지 않는 치명적 자율 전투와 미국인에 대한 대규모 감시인데, 이는 평균적 이용자가 수행할 수 있는 능력의 범주가 아니며, 정부는 역량과 오용 잠재력 면에서 일반 이용자와 같은 부류로 취급될 수 없고, 게다가 이 조항들은 2024년부터 이용 정책에 있던 것이지 협상 막판에 끼워 넣은 특별 조건이 아니라는 지적이다(@doginasuit). 여기에 판결문의 사실관계를 더하면 반박은 더 두터워진다. 국방부는 그 제한이 있는 상태에서 최고기밀 인가와 2억 달러 계약을 내줬고, 2026년 3월 2일 이전에는 어떤 공급망 리스크도 식별하지 않았다. 제한 조항이 안보 위협이었다면 그것은 협상이 결렬된 날이 아니라 처음부터 위협이었어야 한다.

한편 판결의 방향 자체를 경계하는 목소리도 있었다. 사법부가 정부가 어떤 소프트웨어 회사를 쓸 수 있고 없는지를 결정하기 시작하면, 이번에는 통쾌할지 몰라도 다음에는 어떤 부처가 특정 벤더의 ERP를 써야 한다는 판결로 돌아올 수 있다는 우려다(@ExoticPearTree). 이 걱정은 논리적으로는 자연스럽지만, 판결문이 실제로 한 일과는 어긋난다. 법원은 벤더를 지정하지 않았고, 오히려 벤더 선택은 국방부의 자유라고 두 번 확인했다. 무효화된 것은 선택이 아니라 낙인과 2차 보이콧이다.

판결이 회복하지 못하는 것과 조달 설계의 숙제

구제 자체는 강하다. 법원은 수정헌법 제1조 청구(Count II), 수정헌법 제5조 적법절차 청구(Count IV), § 3252 관련 행정절차법 청구(Count I), 행정절차법 558조 청구(Count V)에서 앤트로픽의 손을 들었다. 대통령 지시가 월권이라는 권력분립 청구(Count III)는 기각됐다. 법원은 단순 환송이 아니라 지정의 취소(vacatur)와 영구적 금지명령을 함께 내렸고, 피고 측이 요청한 7일간의 행정적 정지도 거부했다. 이미 5개월 넘게 예비적 금지명령을 준수해 온 정부가 그로 인한 회복 불가능한 피해를 입증하지 못했다는 이유였다. 이 정지 요청 자체가 항소를 염두에 둔 움직임으로 읽히며, 정부 규제 대상 지정을 다투는 별도의 소송이 워싱턴 D.C. 항소법원에 계류 중이라는 보도도 있다. 요컨대 이 판결은 종착점이 아니다.

그러나 이겨도 회복되지 않는 것이 있다. HN 토론의 한 참가자는 법이 “트위터 시대의 마차처럼” 느리다며, 트윗 한 줄이 몇 초 만에 피해를 만드는 시대에 왜 법은 특례로 빨라질 수 없느냐고 물었다(@firefoxd). 이 물음에는 같은 스레드에서 정확한 답이 나왔다. 그것이 바로 예비적 금지명령이며 앤트로픽은 3월에 이를 받아냈고, 이번 결정도 정식 재판을 건너뛰는 약식판결이라는 것이다(@smuhakg). 제소는 3월 9일, 예비적 금지명령은 3월 26일, 최종 판결은 8월 27일이다. 미국 사법 절차 기준으로는 매우 빠른 축에 든다.

그럼에도 손실은 그 사이에 이미 발생했다. 판결문이 인정한 사실만 보면, 예비적 금지명령 이전에 방산 계약자들은 클로드 연동 API 의존을 재평가하고 다수는 종료를 검토했고, 국방 부문 밖에서도 한 파트너는 FDA 계약을 위해 경쟁 모델로 갈아탔다. 앤트로픽은 100곳이 넘는 기업 고객으로부터 “깊은 두려움과 혼란”을 담은 문의를 받았다. 조치가 그대로 유지될 경우 국방 관련 고객 매출은 50~100퍼센트, 2026년 매출은 수십억 달러 규모로 줄어들 것이라는 것이 회사 측 추산이다. 정부 계약자 단체들은 의견서에서 계약 해지와 파트너십 동결, 규정 준수 혼란이 “즉각적으로” 닥쳤으며 이 피해가 앤트로픽만이 아니라 기술 산업 전체에 미친다고 적었다. 여기에 HN의 한 이용자가 덧붙인 관찰도 있다. 이 소동이 이어지는 동안 경쟁사가 기업 고객을 확보할 시간을 벌었다는 것이다(@xiphias2). 반대로 이 사건이 결과적으로 홍보 효과를 냈고 앤트로픽에 해보다 득이 컸을 것이라는 냉정한 견해도 있었다(@colechristensen). 판결이 되돌릴 수 있는 것은 지정과 지시이지, 그동안 이동한 계약과 굳어진 조달 습관이 아니다.

의도치 않은 결과에 대한 관찰도 나왔다. 한 이용자는 반어법으로, 미국이 주권 AI와 소형 모델, 자체 호스팅을 향한 경쟁을 촉발한 것은 국제정치의 걸작이라고 적었고(@bushido), 다른 이용자는 이 사건이 전 세계 정부와 대기업에게 미국 호스팅 AI에 의존하는 것이 지정학적 리스크라는 점을 설득했다고 덧붙였다(@SwtCyber). 이것은 정서적 반응이지 측정된 수요 이동이 아니므로 그대로 받아들일 수는 없다. 다만 조건부로는 말할 수 있다. 조달 담당자가 벤더 선택의 리스크 항목에 기술 성능과 가격뿐 아니라 “이 벤더가 우리 정부와 정치적으로 충돌할 확률”을 추가하기 시작한다면, 그 압력은 자체 호스팅 가능한 오픈 웨이트 모델과 지역 벤더 쪽으로 흐른다. 이 사건은 그 항목이 가상의 것이 아님을 보여 주는 첫 번째 대규모 사례다.

실무자에게 남는 교훈은 정치적 입장이 아니라 설계 원칙이다. 첫째, 벤더의 이용 정책은 이제 법무 검토 항목이 아니라 가용성 리스크 항목이다. 우리가 쓰는 모델의 AUP가 우리 조직의 용도와 충돌할 수 있는지뿐 아니라, 그 AUP가 우리 최대 고객이나 규제기관과 충돌할 수 있는지를 함께 본다. 둘째, 추상화 계층은 이론적 우아함이 아니라 실질적 보험이다. 모델 호출을 하나의 인터페이스 뒤에 두고 프롬프트·평가·가드레일을 벤더 중립적으로 유지하면, 벤더 교체 비용이 몇 달에서 몇 주로 줄어든다. 셋째, 온프레미스 또는 오픈 웨이트 폴백은 성능 최적화가 아니라 연속성 계획이다. 최고 성능 모델을 쓰되 조금 못한 모델로 계속 굴러가는 경로를 준비해 두는 것이다. 다만 이 셋 모두 공짜가 아니라는 점은 정직하게 인정해야 한다. 추상화 계층은 각 모델의 고유 기능을 최소공배수로 깎아내고, 폴백 경로는 평가와 유지보수를 두 배로 만든다. 벤더 락인을 피하는 비용과 락인의 리스크를 저울에 올려 보고, 정부·방산·규제 산업처럼 정치적 노출이 큰 영역에서만 그 비용을 지불하는 것이 현실적이다.

결론

판결은 처음의 질문에 부분적으로만 답한다. 정부는 어떤 AI 벤더를 쓸지 자유롭게 고를 수 있고 계약을 끊을 수도 있다. 그것은 구매자의 재량이다. 그러나 벤더가 계약 조건을 고집하고 그 이유를 공개적으로 말했다는 사실만으로 그를 국가의 적대자로 지정하고 민간 거래까지 차단하는 것은 구매가 아니라 처벌이며, 그때는 헌법과 법률이 정한 요건과 절차가 작동한다. 린 판사의 문장으로 하면, “국가안보라는 말의 공허한 원용은 정부 비판자를 처벌하고 보복할 백지수표가 아니다”.

경계를 긋는 주체에 대한 답은 더 불편하다. 이번에는 법원이 그었다. 그러나 법원은 사후에만 긋고, 그 사이에 계약은 이동하고 조달 습관은 굳는다. 예비적 금지명령이라는 빠른 도구가 있었는데도 100곳 넘는 기업 고객이 흔들렸고, 계약자 단체들은 자신들도 아무런 사전 절차 없이 같은 일을 당할 수 있다고 우려했다. 판결이 만든 억지력이 다음번 조치를 실제로 막을지, 아니면 소송을 감당할 수 있는 소수의 기업만이 원칙을 지킬 여유를 갖게 될지는 아직 열려 있다. HN 토론에서 한 이용자가 던진 질문이 그래서 남는다. 스스로를 지킨 앤트로픽은 그렇다 치고, 애초에 위험을 감수하지 않기로 조용히 결정한 수많은 기업들은 어떻게 되는가(@thinkcontext). 당신의 조직이 쓰는 모델의 이용 정책은, 그 벤더가 정치적 압력을 받는 날에도 당신의 서비스를 계속 돌아가게 하는가.

출처: