1. 무엇이 나왔고, 무엇은 아닌가

NARA는 2026년 8월 21일 AC 11.2026과 7쪽짜리 지침을 내고 기존 연방기록법을 현재의 AI 이용에 적용했다. 입력, 출력, 데이터, 감사 추적, 소프트웨어 등을 다루지만 새로운 AI 거버넌스 제도를 만들거나 개인정보, 보안, 윤리, 소송상 증거개시를 결정하지는 않는다.

적용 범위는 미국 연방기관이다. 민간기업·사우디 기관·다른 정부를 직접 구속하지 않으며 ChatGPT나 Claude의 모든 프롬프트를 연방 기록으로 바꾸지도 않는다. 플랫폼 사용 자체가 아니라 기관 업무에서의 생성·유지·사용 상황이 판단 기준이다.

  • 새 법률인가? 아니다. 기존 법의 적용 지침이다.
  • 모든 대화가 기록인가? 아니다. 맥락이 결정한다.
  • 즉시 삭제 가능한가? 승인된 일정이 필요한 기록은 아니다.
  • 세계 공통 규칙인가? 아니지만 계약을 통해 공급자 요건은 확산될 수 있다.

2. 기술 흔적이 기록으로 바뀌는 테스트

공식 업무에 사용했는지, 결정에 의존했는지, 다른 직원에게 돌렸는지, 기관 시스템에 통합했는지, 기관 통제 아래 두었는지, 법적·업무상 필요가 있는지를 묻는다. 저장하지 않은 개인적 탐색은 비기록일 수 있지만 FOIA 검색의 적정성을 입증하는 프롬프트는 사건 파일에 들어갈 수 있다.

공식 회의록이 된 AI 요약, 저장해 업무에 쓴 출력, 조사에 사용한 감사 추적, 조달·운영 문서, 학습에 사용한 기관 기록 사본, 기관이 직접 또는 계약으로 만든 알고리즘·모델·코드는 기록 가능성이 높다. 파일 형식보다 증거 기능이 중요하다.

3. 자동 저장은 법적 분류가 아니다

공급자가 모든 질의를 보관해도 수동적 저장만으로 연방 기록이 되지는 않는다. 보안팀이 특정 직원의 AI 사용 기록을 포착해 조사에 사용하면 조사 파일의 일부가 될 수 있다. 누가 무엇을 언제 어떤 목적으로 어떤 버전에서 포착했는지가 필요하다.

반대로 대화 삭제 버튼은 처분 권한이 아니다. 기록 정의를 충족하면 NARA 승인 일정이 필요하다. 180일 미만만 필요한 일부 일시적 기록이나 후속 기록을 만드는 중간 기록은 GRS 5.2에 따라 짧게 보존할 수 있지만, 이름만 붙인다고 되는 것은 아니다.

4. RFP와 계약에 넣을 여섯 가지 검수

첨부와 메타데이터를 포함한 대화를 읽을 수 있는 형식으로 내보내지 못하면 승인된 저장소로 옮길 수 없다. 모델 버전과 설정을 남기지 않은 채 답을 재생성하면 의사결정자가 실제로 본 내용을 증명하기 어렵다. 관리자 로그에 사용자·시간·용도 맥락이 없으면 개인 흔적과 조사 증거를 나누기 어렵다.

완전한 사건을 내보내고, 법적 보존 중지 상태에서 삭제를 막고, 기록 유형별 기간을 적용하고, 변경 이력을 확인하고, 만료 뒤 삭제 증명을 받아야 한다. 계약에는 백업 위치, 종료 시 기록 통제권, 모델 개선용 복제본의 포함 여부도 명시해야 한다.

  • 완전 내보내기: 프롬프트·첨부·출력·시간·사용자.
  • 증거 고정: 가능한 범위에서 모델 버전·설정·참조.
  • 선택 보존: 전역 타이머가 아니라 목적·기록 유형별.
  • 법적 보존: 나머지 정책을 깨지 않고 처분만 중지.
  • 이식성: 독립 기록 저장소로 이동.
  • 삭제 증명: 원본과 백업을 포함한 감사 가능한 증거.

5. 모든 것을 저장하라는 뜻은 아니다

무차별 보존은 개인정보 위험·비용·증거개시 범위를 키우고 중요한 기록을 묻는다. 무차별 빠른 삭제는 결정과 조사 증거를 없앤다. 사용 사례별로 자료 유형, 소유자, 보존 근거, 저장소, 보존 중지와 처분 사건을 매핑하는 편이 낫다.

GAO 기준선은 시급성을 보여준다. 선정된 11개 기관에서 생성형 AI 사례는 2023년 32건에서 2024년 282건으로, 전체 AI 사례는 571건에서 1,110건으로 늘었다. 2026년 수치도 전체 정부 수치도 아니지만 새 지침 전부터 기록 표면이 빠르게 커지고 있었다.

6. 미국 법을 수입하지 않는 사우디의 교훈

연방기록법을 사우디 의무로 말해서는 안 된다. 다만 목적·분류·보존·파기·감사를 분리하는 설계는 현지 거버넌스와 닿아 있다. 사우디 데이터 공유 정책은 목적, 분류, 저장, 보호, 파기 통제를 문서화하고 정부기관이 공유 요청과 관련 문서를 종료 후 5년간 보관하도록 한다.

이식 가능한 교훈은 구조다. 무엇이 공식 증거가 되고 누가 소유하며 어떻게 내보내고 보호하고 파기할지 정하기 전에는 공공부문 보조자나 기업 에이전트를 사지 말아야 한다. 실제 기간과 의무는 NARA가 아니라 관련 사우디 법·정책·계약이 정한다.