7. AI 컴플라이언스

AI 시스템을 개발·운영하는 기업이 오픈소스 관점에서 고려해야 할 AI 컴플라이언스 요소를 설명한다. ISO/IEC 42001 AI 관리 시스템 표준의 오픈소스 교차 요구사항을 중심으로 안내한다.
Tags:
Categories:

AI 시스템은 오픈소스 프레임워크, 사전 훈련된 모델, 오픈 데이터셋을 광범위하게 활용한다. 오픈소스 관리 체계(ISO/IEC 5230 · 18974)를 운영하는 기업은 AI 시스템 개발 단계에서도 오픈소스 컴플라이언스 원칙을 적용해야 한다.

ISO/IEC 42001(AI 관리 시스템)은 AI 거버넌스 전반을 다루며, 그 중 일부 조항이 오픈소스 관리와 직접 교차한다. 이 섹션은 그 교차점을 실무 관점에서 정리한다.

AI 시스템에서 오픈소스가 사용되는 세 가지 영역

AI 시스템
  ├── 1. AI 프레임워크 · 라이브러리
  │       (PyTorch, TensorFlow, Hugging Face Transformers, LangChain 등)
  │       → 일반 오픈소스 라이선스 컴플라이언스 적용
  │
  ├── 2. 사전 훈련 모델 (Pre-trained Model)
  │       (Llama, Mistral, Falcon, BERT 등)
  │       → 모델별 커스텀 라이선스 확인 필요
  │
  └── 3. 학습 데이터셋
          (Common Crawl, Wikipedia, CC-BY 데이터셋 등)
          → 오픈 데이터 라이선스 의무 이행

각 영역별로 기존 오픈소스 컴플라이언스 프로세스와 다른 지점이 있으므로 아래를 참고한다.

1. AI 프레임워크 · 라이브러리 관리

AI 개발에 사용하는 오픈소스 프레임워크와 라이브러리는 일반 소프트웨어와 동일하게 ISO/IEC 5230의 오픈소스 관리 프로세스를 적용한다.

주요 AI 프레임워크 라이선스

프레임워크라이선스상업적 사용주요 의무
PyTorchBSD 3-Clause✅ 가능저작권 표시
TensorFlowApache 2.0✅ 가능저작권 표시, 변경 고지
Hugging Face TransformersApache 2.0✅ 가능저작권 표시
LangChainMIT✅ 가능저작권 표시
scikit-learnBSD 3-Clause✅ 가능저작권 표시

체크포인트

2. 사전 훈련 모델 (Pre-trained Model) 관리

사전 훈련 모델은 일반 오픈소스 라이브러리와 다른 커스텀 라이선스를 사용하는 경우가 많다. 특히 상업적 사용 제한이나 파생 모델 공개 의무를 포함하는 경우가 있어 주의가 필요하다.

주요 오픈소스 AI 모델 라이선스 유형

라이선스 유형대표 모델상업적 사용파생 모델 공개
Apache 2.0Falcon, Mistral 7B✅ 가능❌ 불필요
MITGPT-2, GPT-J✅ 가능❌ 불필요
Llama Community LicenseLlama 3조건부 (MAU 7억 이하 무료)❌ 불필요
CC-BY 4.0일부 학술 모델✅ 가능저작자 표시 필요
CC-BY-NC일부 연구 모델❌ 비상업적 한정—

AI SBOM에 모델 정보 포함

SBOM(소프트웨어 구성 목록)에 사전 훈련 모델을 포함하는 AI SBOM을 구성한다.

# AI SBOM 모델 항목 예시 (SPDX 3.0 AI Profile 기반)
- name: "meta-llama/Llama-3.1-8B"
  version: "3.1"
  license: "Llama Community License Agreement"
  primaryPurpose: "inference"
  hyperparameter:
    contextWindow: 131072
  modelCard: "https://huggingface.co/meta-llama/Llama-3.1-8B"

AI SBOM 구성 방법은 AI SBOM 가이드를 참고한다.

3. 학습 데이터셋 관리

AI 모델 학습에 사용한 데이터셋에 오픈 데이터 또는 크리에이티브 커먼즈 라이선스가 적용된 경우 해당 라이선스 조건을 이행해야 한다.

오픈 데이터 라이선스 주요 유형

라이선스저작자 표시상업적 사용동일 조건 변경 허락
CC0❌ 불필요✅ 가능❌ 불필요
CC-BY 4.0✅ 필요✅ 가능❌ 불필요
CC-BY-SA 4.0✅ 필요✅ 가능✅ 필요
CC-BY-NC 4.0✅ 필요❌ 비상업적 한정❌ 불필요

체크포인트

  • AI SBOM에 학습 데이터셋과 라이선스를 기록한다
  • CC-BY 계열 데이터 사용 시 모델 카드(Model Card) 또는 시스템 문서에 출처를 명시한다
  • CC-BY-SA 조건의 데이터를 학습에 사용한 경우, 파생 모델의 라이선스 처리를 법무팀과 협의한다

4. ISO/IEC 42001과의 연계

기업이 ISO/IEC 42001 AI 관리 시스템을 운영하거나 준비 중인 경우, 다음 조항이 오픈소스 관리와 직접 연결된다.

ISO 42001 조항오픈소스 담당자 역할
§5.2 AI 정책AI 정책에 오픈소스 사용 원칙 포함
§6.1.2 AI 리스크 평가OSS 라이선스·취약점 리스크 식별·평가
§7.5 문서화AI SBOM 수립·유지
§8.5 AI 생애주기개발 단계별 OSS 컴플라이언스 검토
§8.6 AI 데이터데이터셋 라이선스 관리
§8.8 외부 AI 조달외부 오픈소스 모델 공급망 검증

ISO/IEC 42001의 오픈소스 교차 요구사항 전체 가이드: ISO/IEC 42001 가이드

5. AI Work Group 산출물 활용

OpenChain Korea Work Group의 AI Work Group은 AI SBOM 컴플라이언스 가이드를 개발했다. 이 가이드는 AI 시스템의 구성 요소(모델, 데이터셋, 프레임워크)를 SPDX 3.0 AI 프로파일 형식으로 문서화하는 방법을 상세히 안내한다.

최종 수정 2026년 4일 14월: add: ISO/IEC 42001 오픈소스 관점 가이드 신설 (ko) (a073d88f3)