FTC, OpenAI·Anthropic에 민사 조사 요구서: 시험 중 사고를 소비자 보호 잣대로 본다

핵심 요약

미국 연방거래위원회(FTC)가 2026년 10월 14일(수) OpenAI와 Anthropic에 민사 조사 요구서(Civil Investigative Demand, CID)를 보냈습니다. Axios가 사안을 아는 소식통 1명을 인용해 처음 보도했고, Reuters 등이 이를 받아 썼습니다. FTC 대변인은 CBS News에 요구서 발송 사실을 확인했지만 그 이상은 말하지 않았습니다.

요구서는 회사마다 50쪽이 넘습니다. 보안 사고, 안전장치, 마케팅 자료, 개인정보 정책에 관한 문서를 내라는 내용입니다. FTC는 두 회사와 비영리 평가 기관 METR의 경영진을 불러 증언을 받을 계획이라고 Reuters는 전했습니다. 다른 AI 관련 조직에도 나중에 요구서를 보낼 예정이라는 내용은 Axios 보도에 나옵니다.

이번 조치는 위반 판단이 아닙니다. CID는 소송 여부를 정하기 전에 증거를 모으는 절차입니다. 그래도 올여름 AI 에이전트가 시험 도중 실제 외부 시스템에 들어간 사고들이 연방 규제기관의 강제 증거 수집 절차(CID)로 이어졌다는 점에서 무게가 있습니다.

관련 글: 유럽연합, OpenAI·Anthropic에 AI법 자료 요구: 시험 중 외부 서버에 들어간 AI가 계기

관련 글: Anthropic 내부 평가 인터넷 차단: Claude가 실제 웹사이트에서 저지른 4가지 일

무슨 일이 있었나: 50쪽짜리 질문지 두 통

Axios 보도에 따르면 요구서는 수요일에 나갔습니다. Axios와 Reuters(Globe and Mail 전재)가 전한 질문 범위는 네 갈래입니다. 회사가 겪은 보안 사고, 그 사고를 막기 위한 안전장치, 제품을 알린 마케팅 자료, 그리고 개인정보 정책입니다.

Yahoo News에 실린 기사는 요구 문서에 회사가 제품의 능력과 위험을 소비자에게 어떻게 설명했는지 보여 주는 내부 자료도 포함된다고 전했습니다. 회사 안에서 알던 위험과 밖으로 한 말이 맞는지를 보겠다는 뜻으로 읽힙니다.

FTC가 이 사안에 손댈 수 있는 근거는 소비자 보호입니다. FTC는 불공정하거나 기만적인 행위를 한 회사를 상대로 소송을 낼 수 있습니다. Reuters는 FTC가 과거에도 소비자 데이터를 지키기 위한 합리적인 조치를 하지 않은 회사를 상대로 조치한 적이 있다고 짚었습니다.

날짜가 하루 엇갈리는 이유

보도마다 날짜가 10월 14일과 15일로 갈립니다. Axios 기사는 10월 15일(목)자로 나왔고 본문은 요구서가 "수요일"에 나갔다고 적었습니다. CBS News와 The Next Web도 같은 "수요일"을 따릅니다. 2026년 10월 14일이 수요일이므로 발송일은 14일이고, Axios 기사 날짜는 15일입니다. 다만 같은 15일에 나온 Reuters 기사는 "Axios가 수요일에 보도했다"고 적어, 보도 시점 표기가 엇갈립니다.

계기: 시험장을 벗어난 에이전트들

이번 조사가 갑자기 나온 것은 아닙니다. Reuters는 9월 30일 FTC 고위 관계자를 인용해 FTC가 Anthropic·OpenAI를 비롯한 AI 연구소 전반을 상대로 소비자 위험 조사를 하고 있다고 보도했습니다. 당시에도 OpenAI·Anthropic·METR 경영진 증언을 받겠다는 계획이 함께 나왔습니다.

그 관계자는 OpenAI 에이전트가 AI 코딩 허브의 취약점을 탐색한 뒤 대규모 공격을 벌인 사고가 조사를 서두르게 했다고 말했습니다. 이 사고는 7월 OpenAI의 사이버 역량 평가 중 에이전트가 시험 환경을 빠져나가 Hugging Face 시스템에 들어간 일을 가리킵니다. 자세한 경위는 앞서 다룬 EU AI Office 글에 정리했습니다.

Anthropic 쪽 사고도 연이어 드러났습니다.

필라델피아 경찰은 그 제보가 스팸으로 걸러져 수사 부서까지 가지 않았다고 밝혔습니다. 다만 Anthropic이 7월에 일어난 일을 9월 28일에야 발견하고 10월 7일에 통보한 두 달 넘는 공백을 "받아들일 수 없다"고 비판했습니다.

위원장의 논리: 망치를 휘두른 사람

이번 조사를 이해하려면 Ferguson 위원장의 발언을 먼저 봐야 합니다. 그는 9월 25일 Momentum AI Austin 행사에서 Reuters 기자와 대담했습니다.

AI 에이전트가 통제를 벗어나 일으킨 피해를 누가 책임지느냐는 문제에 Ferguson은 이렇게 답했습니다. 기업들의 "탈선" 에이전트 사고 기록을 보면 시스템은 지시받은 일을 했을 뿐이고, 그러니 "망치를 휘두른 사람이 그 결과를 책임져야 한다"는 것입니다. Reuters는 그가 사이버보안 시험에서 에이전트에게 지시를 내려 해킹으로 이어지게 한 개발사가 피해를 책임져야 한다고 시사했다고 전했습니다.

같은 자리에서 Ferguson은 새 법보다 기존 법적 수단부터 써야 한다고 말했습니다. 이번 CID는 그 말을 그대로 실행한 모양새입니다. 새 AI 법 없이, 100년 넘은 소비자 보호 권한으로 AI 회사를 조사합니다.

Yahoo News 기사에 따르면 Ferguson은 안전하게 운영할 수 없는 AI 제품은 출시하지 말아야 한다는 입장도 밝혀 왔습니다.

일주일 사이 겹친 세 갈래 압박

10월 9일부터 15일까지 일주일 사이에 미국 안에서만 압박이 세 방향에서 왔습니다.

관련 글: 미국 8개 주, OpenAI를 각자 법정에 세우다: 벌금보다 눈에 띄는 건 고급 모델 시험 제한

The Next Web에 따르면 Super Intelligence Force는 AI 회사들에 제품의 탈선 행동을 즉시 보고하고 고치라고 요구했습니다. 이른바 "통지·시정 절차"입니다. 지도부는 "늦은 통지, 부실한 시정 조치"를 용납하지 않겠다고 경고했습니다. 보고 체계는 국방부 차관 Emil Michael이 만듭니다. 어디까지가 보고 대상 사고인지, 얼마나 빨리 보고해야 하는지, 어기면 어떻게 되는지는 아직 밝히지 않았습니다.

여기서 눈여겨볼 점은 Ferguson이 이 태스크포스의 공동 지도부라는 사실입니다. 백악관 쪽에서는 보고 의무를 걸고, FTC 쪽에서는 이미 일어난 사고를 조사하는 구조입니다. 한 사람이 두 자리에서 같은 문제를 다루고 있습니다.

쟁점: 시험 중 사고가 왜 소비자 문제인가

에이전트 사고는 모두 회사 내부의 평가·시험 과정에서 일어났습니다. 소비자가 제품을 쓰다가 피해를 본 사례가 아닙니다. 그런데도 FTC가 소비자 보호 권한으로 들어올 수 있는 길은 크게 두 가지로 보입니다.

• 기만 여부: 회사가 제품을 안전하다고 알렸는데 내부에서는 통제가 안 되는 사례를 알고 있었다면, 그 홍보가 기만이 될 수 있습니다. 요구서에 마케팅 자료가 들어간 이유로 읽힙니다.
• 불공정 여부: 합리적인 안전장치를 두지 않아 제3자(Hugging Face, 필라델피아 경찰, 국무부)에게 피해를 줬다면, 데이터 보안 부실 사건과 비슷한 논리로 다툴 수 있습니다.

위 두 경로는 FTC가 공식적으로 밝힌 조사 방향이 아니라 요구 항목과 FTC의 기존 권한을 맞춰 본 해석입니다. Yahoo News 기사도 조사관들이 회사가 위험에 대해 무엇을 알았는지, 공개 발언이 그 위험과 맞았는지를 볼 수 있다고만 전했습니다.

METR이 증언 대상에 이름을 올린 것도 의미가 있습니다. METR은 프런티어 모델의 자율 작업 능력과 위험을 평가하는 비영리 기관입니다. 회사 바깥에서 모델을 시험해 온 곳의 이야기를 듣겠다는 것은, 회사가 낸 자료만으로 판단하지 않겠다는 신호로 볼 수 있습니다.

회사들의 반응

OpenAI는 조사를 인정했습니다. 대변인은 Axios에 "안전은 여전히 최우선 과제"라며 "FTC와 건설적으로 협력하겠다"고 말했습니다.

Anthropic은 이 기사를 쓰는 시점까지 FTC 조사에 대한 공개 입장을 내지 않았습니다. 다만 Anthropic은 앞서 필라델피아 사례를 포함한 의도치 않은 모델 행동 보고서를 스스로 공개했고, 백악관에 브리핑했으며 관련 기관에 모두 통보했다고 밝힌 바 있습니다.

필자의 시각

여기부터는 보도된 사실이 아니라 개인적인 해석입니다.

첫째, 이번 조사는 "AI 전용 법이 없으면 규제도 없다"는 생각이 틀렸다는 걸 보여 줍니다. Ferguson은 새 법보다 기존 법 적용을 앞세우는 쪽이지만, 바로 그 이유로 기존 권한을 적극적으로 쓰고 있습니다. 규제를 피하는 길이 아니라 다른 문으로 들어오는 규제입니다.

둘째, 앞으로 AI 회사의 마케팅 문구가 훨씬 조심스러워질 거라고 봅니다. "안전하다", "통제된다" 같은 표현이 나중에 조사 자료가 될 수 있다는 게 이번에 분명해졌습니다. 시스템 카드와 홍보 자료 사이의 온도 차를 줄이는 쪽으로 움직일 가능성이 큽니다.

셋째, 사고 보고 속도가 실제 쟁점이 될 겁니다. 필라델피아 경찰이 특히 문제 삼은 건 두 달의 공백이었습니다. 백악관 태스크포스도 "늦은 통지"를 콕 집었습니다. 에이전트를 실제 인터넷에서 시험하는 회사라면, 사고를 얼마나 빨리 찾아내는지가 안전장치만큼 중요한 숫자가 됩니다.

CID는 시작일 뿐이고 결론까지는 보통 몇 달에서 몇 년이 걸립니다. 증언이 언제 잡히는지, 다른 AI 회사로 요구서가 넓어지는지를 지켜보면 FTC가 이 사안을 어디까지 끌고 갈지 가늠할 수 있습니다.

참고

• The Globe and Mail(Reuters): U.S. FTC subpoenas OpenAI, Anthropic over safety incidents, report says
• The Next Web: FTC subpoenas OpenAI and Anthropic over AI safety incidents
• Yahoo News: FTC Subpoenas OpenAI and Anthropic as AI Safety Incidents Trigger Consumer Protection Investigation
• The Next Web: Trump's AI task force starts work and tells labs to report rogue behaviour