요약

  • 2025년 8월 VITA는 현대화가 필요한 주정부 IT 애플리케이션 850개 이상을 확인했고, 300개 이상은 긴급한 관심이 필요하다고 봤다.
  • JLARC의 2026년 10월 위원회 초안은 AI 코딩 도구의 심사를 앞당기고 기술·위험 완화 지침을 마련하라고 권고한다.
  • 버지니아에는 AI 시스템 승인과 생성 코드 검토 절차가 이미 있다. 새 경로는 도구가 읽고 쓰는 범위에 따라 심사 수준을 달리해야 한다.

버지니아의 오래된 시스템 목록은 숫자로 잡혔다. AI 코딩 도구를 승인하는 데 걸리는 시간은 아직 공개되지 않았다.

Virginia Information Technologies Agency(VITA)는 2025년 8월 기준 현대화가 필요한 주정부 IT 애플리케이션을 850개 넘게 확인했다. 300개 넘는 애플리케이션은 긴급한 관심 대상으로 분류됐다. 이 수치는 2026년 10월 13일자 Joint Legislative Audit and Review Commission(JLARC) 위원회 초안에 담겼다. 보고서는 적절한 통제를 두면 AI 코딩 지원이 오래된 시스템의 현대화에 보탬이 될 수 있다고 본다. VITA가 현대화 사업의 AI 코딩 도구 사용 신청을 더 빨리 심사하고 기술·위험 완화 지침을 내놓으라는 권고도 포함했다. 보고서와 권고안은 어떤 애플리케이션에 도구를 적용할 수 있는지, 현재 심사에 며칠이 드는지 알려주지 않는다.

갈림길은 접근 권한이다. 공개 코드에 대한 변경 제안을 격리된 시험 환경에서 내는 보조 도구와, 내부 저장소를 읽거나 보호된 데이터를 처리하고 운영 브랜치에 직접 쓰는 에이전트의 영향 범위는 다르다. 심사 속도도 그 차이를 따라야 한다.

버지니아에 중앙 승인 체계가 없는 것은 아니다. 2026년 6월 개정된 VITA EA400 정책은 기관이 개발·도입·조달하려는 AI 시스템을 주정부 등록부에 올리도록 한다. 기관의 IT 담당자와 정보보안 책임자가 검토한 뒤 VITA와 주 CIO, 행정장관이 순차적으로 판단한다. 공정성, 공익, 사람의 감독, 위험, 데이터 관리, 비용과 공급자 보증도 살핀다. EA400 정책은 승인권한의 경로를 이미 정해 둔다. JLARC가 지적한 문제는 위험이 다른데도 같은 요구가 폭넓게 적용된다는 점이다.

초안에 따르면 VITA는 기관이 위험을 판단할 공통 도구를 제공하지 않았다. 그런데 승인 신청에는 위험을 식별하라고 요구했다. 기능별 AI를 쓰는 주 행정부 기관의 48%는 불명확한 요구사항을 중간 또는 큰 제약으로 꼽았다. 기존 기준이 자율 에이전트와 주정부 시스템·데이터 접근 보호를 다루지 않는다는 점도 보고서가 지적했다. 격리된 시험과 광범위한 쓰기 권한을 같은 절차에 넣으면 작은 작업은 지연되고, 더 큰 영향력을 가진 도구는 충분히 제어되지 않을 수 있다.

직원들의 AI 사용은 이미 일상 업무에 들어왔다. 조사 대상 기관의 97%는 일정한 제한을 두고도 직원의 범용 AI 사용을 허용했다. JLARC는 VITA가 지원하는 직원 가운데 76%가 한 달 동안 범용 AI 도구를 사용했다고 추정한다. 코드 개선도 확인된 용도 중 하나다. 이 수치는 현대화 대상 850개 가운데 몇 개가 AI 코딩에 적합한지 말해주지 않는다. 현장 직원이 이미 이런 도구를 업무에 접목한다는 점을 보여준다. JLARC 요약 페이지는 일반 AI 사용과 기관의 시스템 도입을 구분한다.

생성 코드 검토와 도구 승인은 다른 일이다. VITA의 AI FAQ는 자격 있는 개발자가 생성 코드를 개발 브랜치에 넣기 전에 검토하고, 운영 배포 전에 보안·기능·성능 시험을 하도록 안내한다. 이는 변경된 코드를 확인하는 절차다. 도구 승인은 어느 저장소를 읽고 어떤 데이터를 다룰 수 있는지, 누가 사용 책임을 맡는지 정한다.

JLARC 초안의 권고는 신속한 심사와 기술 통제를 함께 묶었다. VITA는 공개 코드와 합성 데이터만 쓰는 격리 시험에 짧은 경로를 만들 수 있다. 내부 저장소에 접근하는 도구는 책임자와 제한된 권한, 변경 기록을 갖춰야 한다. 보호 데이터에 접근하거나 운영 환경에 자율적으로 쓰는 도구에는 강화된 검토와 재현 가능한 시험, 복구 책임자가 필요하다. 이는 저자의 제안이며 현재 버지니아가 채택한 별도 절차는 아니다.

보고서는 850개 넘는 애플리케이션 중 몇 개가 AI 코딩 지원에 적합한지, 심사 요청에 며칠이 걸리는지 공개하지 않았다. VITA가 접근 수준별 신청 건수와 결정 시간을 공개해야 승인 절차가 현대화를 막는 병목인지 알 수 있다.

출처: JLARC 보고서 621; 위원회 초안 권고; VITA EA400 정책; VITA AI FAQ; VITA EA225 기준.