Sarah Webb, LawVu 최고운영책임자 겸 공동 창업자 – 인터뷰 시리즈

Sarah Webb은 LawVu의 최고운영책임자 겸 공동 창업자로, LOVEFiLM과 Amazon에서 맡았던 직책을 비롯해 엔지니어링과 소프트웨어 조직 리더십 분야의 경력을 쌓았다. 2015년 LawVu에 최고기술책임자(CTO)로 합류했고 2020년 최고운영책임자(COO)가 되면서 기술, 운영, 보안, 거버넌스 전반의 경험을 두루 갖추게 됐다. 웹의 업무는 법무팀이 데이터와 워크플로를 연결하고, AI 혁신과 기업 리스크 사이에서 균형을 잡도록 돕는 데 초점을 맞추고 있다.

LawVu는 사내 법무팀을 위한 법률 운영체제를 제공하며, 접수 업무, 사안 관리, 계약, 지출, 지식을 하나의 연결된 플랫폼으로 통합한다. AI 기능과 통합 기능을 통해 팀은 기존 도구를 활용하면서 권한과 감독 체계를 유지할 수 있다. 이번 인터뷰에서 웹은 섀도 AI, 에이전트형 워크플로, 조직의 제도적 지식, 그리고 기업이 통제 가능한 AI 도입을 위해 갖춰야 할 기반에 관해 이야기한다.

LOVEFiLM과 Amazon을 비롯해 소프트웨어 팀을 구축하고 이끄는 일을 경력 대부분에 걸쳐 해 온 뒤 LawVu를 공동 창업하셨습니다. 기업 법무 운영을 해결할 가치가 있는 문제라고 보게 된 계기는 무엇이었나요? AI가 기술 환경을 변화시키면서 LawVu에 대한 초기 비전은 어떻게 발전했나요?

저는 경력 초기에 LOVEFiLM과 Amazon을 비롯해 엔지니어링과 기술 분야에서 주로 일했습니다. 법률 기술 분야로 옮기는 것은 처음부터 계획했던 일이 아니라, 상황에 따라 자연스럽게 이루어진 일이었습니다. 저는 현재 LawVu에서 일한 지 거의 11년이 됐습니다. 처음에는 최고기술책임자였지만 비교적 빠르게 최고운영책임자로 자리를 옮겼고, 그 변화만으로도 사업을 바라보는 제 관점이 크게 달라졌습니다.

초창기에 우리가 가장 먼저 해결하려 했던 문제는 가시성이었습니다. 고객 대부분은 Outlook과 Excel 스프레드시트로 업무를 처리하고 있었고, 모든 것을 한곳에 모으는 것만으로도 큰 성과라고 느꼈습니다. 그러다 팀들이 원격 근무를 하게 됐고, 중앙화된 플랫폼이 없는 상황에서 협업은 한층 더 어려워졌습니다. 이 경험은 우리가 이미 파악하고 있던 사실을 더욱 분명히 보여 줬습니다. 반복적인 법률 업무가 상당 부분 인정받지 못하거나 다른 부서에조차 알려지지 않고 있었는데, 그 업무를 가시적으로 드러낼 곳이 없었기 때문입니다. 그 시기를 계기로 우리는 고객에게 도구만 제공하는 데 그치지 않고 데이터를 어떻게 구성하고 조직 내부의 변화를 어떻게 관리할지 교육하는 데 실질적인 노력을 기울였습니다.

또한 초기에 Microsoft 제품군 전반에 걸친 통합 기능도 구축했습니다. 팀에 익숙한 업무 방식을 포기하라고 요구하기보다, 기업이 일상적으로 이미 일하고 있는 환경에 맞추는 것이 언제나 목표였기 때문입니다. 그때와 달라진 점은 이제 같은 아이디어를 실현하는 데 요구되는 규모입니다. 사용할 수 있는 데이터 세트를 확보하기 위한 진입 장벽을 낮추는 일은 예전에는 편의성의 문제였습니다. 이제는 법률 업무에 실제로 작용할 수 있는 AI와 기존의 파편화를 그대로 되비추기만 하는 AI를 가르는 차이가 됐습니다.

“섀도 AI”는 직원의 문제가 아니라 워크플로의 문제인 경우가 많다고 말씀하셨습니다. 실제로 이는 어떤 의미인가요? 직원들이 승인된 AI 도구나 시스템을 우회해 자체적인 해결책을 사용할 때 조직은 무엇을 배울 수 있을까요?

조직 내부에서 적절한 도구를 제공하지 않으면 사람들은 효율성을 높이기 위해 직접 다른 도구를 찾아 나섭니다. 문제의 근본 원인이 바로 여기에 있습니다. 누군가 승인된 시스템을 우회하면, 이를 규정 준수 실패로 보고 통제하거나 금지 정책을 마련하려는 경향이 있습니다. 하지만 실제로는 대개 워크플로 자체에 문제가 있다는 신호입니다. 승인된 경로가 대안보다 느리거나 번거로워서 사람들이 나름의 우회 방법을 찾았다는 뜻입니다.

섀도 AI가 섀도 IT보다 훨씬 큰 책임 위험을 초래하는 이유가 바로 여기에 있습니다. 섀도 AI 관련 사고는 이제 데이터 유출의 20퍼센트를 차지하며, 사고당 평균 피해액은 1,020만달러에 이릅니다. 사람들이 승인되지 않은 도구를 도입하는 데 그치지 않고 계약 문구, 거래 조건, 내부 검토 내용과 같은 민감한 자료를 도구에 직접 입력하기 때문입니다.

조직이 여기서 실제로 배워야 할 점은 격차가 어디에 있는지 파악하는 것입니다. 안전하고 신뢰할 수 있는 대안이 없다고 해서 사람들이 AI를 쓰지 않는 것은 아닙니다. 그저 눈에 띄지 않는 곳에서 사용하게 될 뿐입니다. 여기에 보안을 넘어서는 더 큰 위험도 있습니다. 업무가 공동의 체계적인 시스템이 아니라 개인용 AI 도구 곳곳에 흩어지면, 기업은 그림의 일부가 빠졌다는 사실조차 모른 채 불완전한 정보를 바탕으로 의사결정을 하게 됩니다. 나머지 데이터가 누군가의 개인 계정에 있어 AI 도구가 관련 데이터의 60퍼센트만 볼 수 있다면, 정확도는 떨어지고 잘못된 판단을 내릴 위험은 커집니다. 우회 수단을 금지해도 이런 문제는 해결되지 않습니다. 우회 수단보다 나은 것을 제공해야 해결할 수 있습니다.

LawVu가 수백 개의 기업 법무팀과 협력하며 지켜본 결과, 조직이 AI 거버넌스를 수립할 때 가장 흔히 저지르는 실수는 무엇인가요? 특히 직원들이 점점 더 강력한 범용 AI 도구를 사용할 수 있게 되는 상황에서 어떤 실수가 두드러지나요?

가장 흔한 실수는 문서로 작성한 정책을 실제 통제 수단으로 착각하는 것입니다. 이제 많은 조직이 AI를 어떻게 사용해야 하고 어떻게 사용해서는 안 되는지 적은 문서를 갖추고 있습니다. 하지만 그 정책을 뒷받침하는 운영 체계를 마련한 곳은 극히 드뭅니다. 도구가 무엇에 접근할 수 있는지 실제로 통제하고, 도구가 수행한 작업을 기록하며, 필요할 때 나중에 그 과정을 재구성할 수 있도록 하는 체계 말입니다.

두 번째 실수는 도구를 하나씩 추가할 때마다 위험이 얼마나 커지는지 고려하지 않는 것입니다. 팀이 도입하는 개별 목적형 솔루션은 계약, 지출 관리, 접수 등 무엇을 위한 것이든 각각 별도의 연동이 필요하고, 고유한 인증 프로토콜을 사용하며, 민감한 데이터 사본을 자체적으로 보관합니다. 하나씩 따로 보면 모두 감당할 만해 보입니다. 하지만 이런 솔루션이 모이면 법률 기술 스택은 위험이 산재한 파편화된 구조가 되고, 보안 침해 사고의 3분의 1이 넘는 사례가 바로 이런 유형의 제3자 접근에서 비롯됩니다. 대부분의 팀은 문제가 발생한 뒤 자신들이 검토 대상이 되고 나서야 위험이 얼마나 쌓였는지 깨닫습니다.

세 번째 실수는 범용 AI 도구를 민감한 데이터를 다루는 다른 모든 소프트웨어와 다르게 취급하는 것입니다. 정부 기관 고객을 포함해 저희가 처음부터 함께해 온 모든 고객은 저희와 전면적인 보안 평가를 거쳤습니다. 저희 시스템에는 기업이 보유한 정보 중에서도 가장 민감한 정보, 즉 영업 비밀, M&A 데이터, 개인 식별 정보(PII)가 들어가기 때문입니다. 직원들은 그와 똑같은 종류의 정보를 거의 아무런 검토도 거치지 않은 채 매일 공개 AI 도구에 입력합니다. 새로운 공급업체를 도입하는 것처럼 느껴지지 않고 그저 도구를 사용하는 일처럼 느껴지기 때문입니다. 감사 대상이 되는 것과 실제로 위험을 초래하는 것 사이의 간극 때문에 대부분의 거버넌스 프로그램이 무너집니다.

LawVu는 법률 업무에 AI 에이전트와 에이전트형 워크플로를 도입해 왔습니다. 어떤 법률 업무는 AI가 자율적으로 수행해도 되고, 어떤 업무는 반드시 사람의 검토나 승인을 거쳐야 하는지 어떻게 판단하시나요?

저희는 업무가 문서상 얼마나 복잡해 보이는지보다 그 영향과 되돌릴 수 있는지를 더 중요하게 봅니다. 실수를 찾아내는 비용이 적고 쉽게 되돌릴 수 있다면 대체로 자율화에 적합한 업무입니다. 그래서 접수와 분류처럼 처리량이 많고 명확하게 정의된 업무가 잘 맞는 경우가 많습니다.

외부에 대한 약속이나 법적 책임이 수반되는 일, 또는 되돌리기 어려운 결정에는 테스트에서 에이전트가 아무리 정확해 보여도 사람이 개입합니다. 이는 LawVu가 전반적인 위험 감내 수준을 판단하는 방식과 같은 원칙입니다. 팀이 감당할 수 있는 수준을 파악하고, 적절한 통제 장치를 마련한 뒤에야 적용 범위를 넓힙니다. 핵심은 정확도가 아닙니다. 에이전트가 무엇에 접근했는지, 왜 그런 조치를 취했는지, 그럴 권한이 있었는지, 그리고 이를 사후에 입증할 수 있는지를 설명할 수 있느냐가 진짜 기준입니다. 이 질문에 답할 수 없다면 아직 해당 업무를 자율적으로 처리할 준비가 되지 않은 것입니다.

이런 결정은 한 번 내리면 끝나는 것이 아닙니다. 오늘은 자동화해도 안전한 업무가 사용량이 늘거나 워크플로가 처음보다 더 민감한 자료를 다루기 시작하면 더 이상 안전하지 않을 수 있습니다. 따라서 기준은 한 번 정하고 끝낼 것이 아니라 계속 다시 살펴야 합니다.

LawVu의 MCP 서버를 사용하면 조직은 ChatGPT, Claude, Microsoft Copilot 같은 도구를 법률 운영 환경에 직접 연결할 수 있습니다. 기업은 권한, 감사 가능성, 개인정보 보호, 통제력을 유지하면서 외부 AI 시스템에 기업 데이터에 대한 유용한 접근 권한을 어떻게 제공할 수 있을까요?

연결성과 보안은 서로 상충한다고 생각하기 쉽지만, 반드시 그런 것은 아닙니다. 권한 관리의 기준은 그 위에서 작동하는 AI 도구가 아니라 플랫폼이어야 합니다. 누군가 ChatGPT, Claude, Copilot에서 대화를 시작하더라도 어떤 인터페이스를 열었는지에 따라 볼 수 있거나 할 수 있는 일이 달라져서는 안 됩니다.

이 방식이 제대로 작동하려면 무엇이든 연결하기 전에 상대 시스템 환경에 필요한 통제 장치가 이미 마련되어 있어야 합니다. 바로 이 기초 작업을 대부분의 기업이 건너뜁니다. 데이터 이동량이 줄어든다는 이유로 모두가 MCP를 자동으로 보안을 강화하는 수단으로 여기는데, 그 말은 맞습니다. 다만 데이터를 받는 시스템이 무엇에 접근했는지, 왜 접근했는지, 누구를 대신해 어떤 에이전트가 접근했는지를 밝히고 사후에 이를 입증할 수 있을 때만 그렇습니다.

여기에는 사업적 이점도 있습니다. 중앙 AI 도구가 요청에 법률 관련 내용이 있음을 파악해 자동으로 LawVu에 전달할 수 있다면, 직원이 애초에 어느 시스템을 이용해야 하는지 알아내느라 오가는 과정을 없앨 수 있습니다. 또한 직원이 신뢰할 수 있고 안전한 데이터에 전혀 접근할 수 없는 개인용 AI 도구를 찾는 일도 막을 수 있습니다. 잘 관리되는 단일 진입점을 제공하는 편이 모든 것을 잠그는 것보다 도입을 촉진하는 데 더 큰 효과를 냅니다.

범용 AI 모델은 강력할 수 있지만, 조직의 축적된 지식과 과거의 의사 결정, 구체적인 위험 프로필은 알지 못하는 경우가 많습니다. 중대한 결과가 따르는 기업 업무에 AI 모델을 실질적으로 유용하게 활용하려면 어떤 정보와 인프라를 갖춰야 할까요?

저는 수평형 AI를 아주 똑똑한 낯선 사람에 비유합니다. 방대한 자료를 읽었고 글도 훌륭하게 쓰며 거의 모든 주제로 대화를 나눌 수 있는 사람이죠. 하지만 그 사람은 여러분의 고객을 만난 적이 없습니다. 협상에 참여해 본 적도 없습니다. 여러분의 조직이 위험을 어떻게 감수하는지도 모릅니다. 팀이 6개월 전에 예외를 승인하기까지 어떤 대화를 나눴는지도 본 적이 없습니다.

그래서 많은 법무팀이 가장 먼저 하는 일 중 하나가 AI를 업무 지침서와 연결하는 것이며, 이는 분명 매우 가치 있는 일입니다. 선호하는 조항, 대체 협상안, 승인 기준 및 협상 지침에 AI 모델이 접근할 수 있게 하면 효율성이 거의 즉시 높아집니다. 문제는 표준 입장을 더는 적용하기 어려운 상황에서 가장 중요한 법적 판단이 내려지는 경우가 많다는 점입니다. 전략적으로 중요한 고객을 위해 예외를 두어야 하거나, 고성장 기회가 추가적인 위험을 감수할 만한 가치가 있거나, 협상 과정에서 상업적 우선순위가 선호 조항보다 중요해지는 경우가 그렇습니다.

바로 그런 상황에서 법적 판단력이 드러나기 시작합니다. 가장 가치 있는 지식 중 일부는 업무 지침서가 아니라 예외 사례에 담겨 있습니다. 왜 이 고객에게 예외를 적용했을까요? 같은 거래 상대방과 이 조건을 협상했을 때는 어떤 일이 있었을까요? 다른 상황에서도 회사가 이런 위험을 감수한 적이 있을까요? 이전에도 이 문제가 상위 단계로 보고된 적이 있을까요? 그렇다면 최종적으로 어떤 결정을 내렸을까요?

답은 대개 하나의 문서에 담겨 있지 않고 계약서, 승인 기록, 이메일, 사안 기록, 회의록, 그리고 당시 관여했던 사람들의 축적된 경험에 흩어져 있습니다. 문서에는 결과만 기록되고, 그에 이른 판단 근거는 조직의 다른 곳에 남습니다.

아주 유능한 낯선 사람도 규칙은 놀라울 만큼 빨리 익힐 수 있지만, 애초에 왜 규칙을 예외적으로 적용했는지 이해하는 것은 전혀 다른 과제입니다. 유용한 AI와 변혁적인 AI를 가르는 것은 대개 조직이 AI가 학습할 수 있도록 자체 경험을 얼마나 보존해 두었느냐입니다.

많은 기업이 서로 연결되지 않은 계약 시스템, 사안 관리 도구, 스프레드시트, 이메일 보관소 및 기타 기업 지식 출처를 축적해 왔습니다. AI 에이전트를 도입하기 전에 통합된 데이터 기반을 갖추는 것이 얼마나 중요하며, 데이터를 진정으로 AI를 활용할 수 있는 상태로 만들려면 조직은 무엇을 해야 할까요?

법무 업무는 이것이 왜 중요한지를 보여 주는 완벽한 사례입니다. 계약서는 Word에서 수정되고, 승인은 이메일로 이루어지며, 결정은 Slack에서 내려집니다. 그런데 AI는 실제 업무 흐름을 연결하는 대신 문서 저장소 위에 덧붙여집니다. 파편화된 시스템 위에 AI를 얹는 것은 혼란에 더 빨리 접근하게 할 뿐입니다.

AI가 등장하기 전부터 수년간 탄탄한 데이터 인프라를 구축하고 시스템을 정비한 기업에서 이미 AI가 성과를 내고 있습니다. 핵심은 바로 이것입니다. 서로 연결되지 않은 계약 시스템, 사안 관리 도구, 스프레드시트, 이메일 보관소 위에서 에이전트를 확장하면서 신뢰할 수 있는 결과까지 기대할 수는 없습니다. 무엇보다 먼저 연결된 시스템, 명확한 접근 제어, 그리고 정해진 위험 감수 수준을 갖춰야 합니다. 그래야 AI 확장을 생각해 볼 수 있습니다.

기업이 자체 AI 애플리케이션을 개발할지, 전문 AI 플랫폼을 구매할지, 범용 모델을 기존 시스템에 연결할지 검토할 때 기술 리더는 개발·구매·통합 중 어떤 방식을 택할지 어떻게 판단해야 할까요?

자체 개발과 구매 중 무엇을 선택할지는 기술적 결정처럼 들립니다. 하지만 제 경험상 이는 실제로 법무 운영의 성숙도에 관한 문제입니다. 법무팀이 자체 업무 흐름과 데이터, 운영 모델을 갖춘 하나의 기능 조직으로서 스스로를 얼마나 진지하게 대하는지가 관건입니다. 그 성숙도를 제대로 갖추면 적합한 법무 AI 전략은 자연스럽게 뒤따르는 경향이 있습니다.

자체 개발의 경우, 소프트웨어 회사처럼 운영할 자원이 있는 소수의 팀이라면 합리적인 선택일 수 있습니다. 모델은 진화하고 인프라는 바뀌며, 개발 작업은 사실상 끝나지 않습니다. 대부분의 팀이 마주하는 어려움은 한 번 개발하는 것이 아니라 이를 계속 유지하는 것입니다.

구매의 경우, 대부분의 팀은 이 방식을 택하지만 ‘구매’가 단 하나의 선택지를 뜻하는 것은 아닙니다. 사람들이 한데 묶어 부르는 방식만 해도 적어도 세 가지입니다. ChatGPT, Copilot, Claude 같은 범용 AI는 강력하지만 사안 구조, 접수 절차 또는 승인 업무 흐름을 본질적으로 이해하지는 못합니다. MCP 같은 방식을 통해 단일 솔루션에 연결된 AI는 의미 있는 진전이지만, 여전히 해당 시스템 하나에 있는 정보만 볼 수 있습니다.

더 큰 기회는 특정 도구 하나에서 일어나는 일만이 아니라 법무 기능 전반에서 업무가 어떻게 연결되는지 이해하는 AI에 있습니다. 접수, 사안, 계약, 지출, 지식이 모두 한곳에 모이면 AI는 전체 그림을 바탕으로 추론할 수 있습니다. 한 부분만 보는 데 그치지 않는 것입니다.

LawVu에서 CTO와 COO를 모두 맡아 기술, 운영, 보안 및 제품 실행 전반을 책임지셨습니다. 이러한 경험은 빠른 AI 혁신과 보안, 규정 준수, 신뢰성 및 기업 차원의 위험 사이에서 균형을 잡는 방식에 어떤 영향을 주었나요?

2015년에 LawVu의 CTO로 합류했고 2020년에 COO 역할을 맡았습니다. 따라서 기술과 운영 두 영역을 아우르는 역할을 10년 넘게 해 왔습니다.

이러한 조합은 AI 혁신과 보안 및 규정 준수를 바라보는 관점을 바꿉니다. 이 둘을 별개의 논의로 경험하지 않기 때문입니다. 내부적으로 거버넌스, 리스크, 규정 준수를 책임지는 동시에 고객이 같은 기능을 관리하도록 돕는 플랫폼도 구축하다 보니, 혁신과 보안을 순차적인 단계로 다룰 수 없습니다. 하나가 끝난 뒤 다른 하나가 시작되는 게 아니라, 두 가지가 동시에 이루어져야 합니다. 그렇지 않으면 어느 쪽도 제대로 이루어지지 않습니다. 처음부터 지금까지 모든 고객은 전면적인 보안 평가를 거쳤으며, 생태계에 새로운 도구를 추가할 때마다 해당 데이터와 관련된 위험 범위도 넓어집니다. 이는 고객뿐 아니라 우리 내부에도 똑같이 적용됩니다. 따라서 플랫폼을 구축하고 그 운영 방식에 대한 책임까지 지려면 두 가지를 모두 동시에 고려해야 합니다.

앞으로 에이전틱 AI가 기업 법무팀의 역할을 어떻게 바꿀 것으로 보시나요? 법무 부서는 주로 생산성을 높이는 수단으로 AI를 활용하게 될까요, 아니면 궁극적으로 기업 전반에서 작동하는 대체로 자율적인 업무 흐름을 감독하게 될까요?

생성형 AI는 논의를 점진적인 효율성 개선에서 법률 업무의 수행 방식과 빠르게 에이전틱 역량을 갖춰 가는 세상에 필요한 운영 모델을 근본적으로 재고하는 방향으로 바꾸어 놓았습니다. 저는 에이전틱 AI를 과장된 유행어가 아니라, 적절한 통제 장치와 안전장치를 갖추면 법무팀이 업무를 관리하는 데서 나아가 직접 실행하도록 돕는 실행 계층으로 봅니다.

지금 여러 조직에서 ‘첫 관문’이 바뀌고 있습니다. 기업 내 사용자가 Microsoft Copilot이나 Claude 같은 도구로 점점 더 먼저 업무를 시작하면서, 법무팀이 이러한 상호작용을 적절한 시스템과 데이터, 업무 흐름에 어떻게 연결할지가 중요한 과제가 되고 있습니다.

따라서 저는 이를 생산성 향상 수단과 감독자 중 하나를 선택하는 문제로 보지 않고, 발전 과정으로 봅니다. 법무팀은 먼저 AI를 활용해 개별 업무를 더 빠르게 처리합니다. 그러나 에이전틱 역량이 성숙해지면 진정한 기회는 법무팀이 실행 계층 자체를 맡아, 단지 초안을 더 빨리 작성하는 데 그치지 않고 거버넌스가 적용된 시스템을 통해 업무를 직접 실행하는 데 있습니다.

훌륭한 인터뷰에 감사드립니다. 연계된 법무 운영과 거버넌스가 적용된 AI 업무 흐름을 알아보고 싶은 독자라면 LawVu를 방문해 보시기 바랍니다.