GSA, LLM 조달에서 정부 데이터 보호에 관한 최종 규정 조항 552.239-7001 발표

2026년 9월 28일, 연방조달청(GSA)은 '대규모 언어 모델 인공지능 시스템 내 데이터 기본 보호'에 관한 최종 조항 552.239-7001을 GSA 규정 예외(GSA Regulation Deviation)로 발표했으며, 2026년 10월 19일자로 효력이 발생한다. 이 최종 조항(2026년 6월 제안안의 강화된 버전)은 정부가 LLM 기능이 '핵심 기능(material feature)'인 시스템을 조달하고 정부 데이터가 LLM에 직접 제출되거나 LLM에 의해 생성되는 경우에 적용된다. 이 조항은 데이터 보호 및 지적재산권 보존 의무를 부과하고, 종전의 '무편향 AI 원칙'을 합리적 노력 기반 정확성/객관성 의무로 대체하며, NIST AI RMF 수명주기 과제를 중심으로 하도급자 전달(flow-down) 구조를 재편하고, 부수적/백오피스 LLM 사용에는 자동 삭제된다.

이는 LLM 시스템 내에서 정부 데이터를 취급하는 계약자의 의무를 구체적으로 규율하는 최초의 구속력 있는 미국 연방 조달 규칙이다. GSA 차량(GSA 일정, MAS)을 통해 LLM 기반 제품이나 서비스를 판매하는 모든 공급업체는 이 조항을 통합하고 정부 데이터를 처리하는 하도급자에게 전달해야 한다. 정확성-객관성 의무와 핵심 기능 기준은 AI 조달에서 '컴플라이언스'의 의미를 재정의하며, 다른 기관의 AI 계약 조항이 따를 수 있는 템플릿을 설정한다.

LLM 지원 시스템을 공급하는 연방 계약업체는 552.239-7001의 통합 여부를 GSA 일정 계약 및 제안요청서에서 검토하고, 데이터 흐름을 매핑하여 조항 적용 여부를 확인하며, 하도급자 전달을 보장하고, 2026년 10월 19일 발효일 이전에 합리적 노력 기반 정확성/객관성 관행을 문서화해야 한다.