AI 기여 금지안 부결한 Debian, 공개 의무 대신 남긴 선 세 개

AI 요약

• Debian 개발자 425명이 투표해 AI 보조 기여를 허용했습니다.
• AI를 썼다고 밝힐 의무는 없지만, 검토 없이 올리면 관행 위반입니다.
• 공개 전 보안 정보와 자격 증명은 외부 AI에 넘길 수 없습니다.

Debian이 코딩 에이전트로 만든 패치를 계속 받기로 했습니다. 2026년 8월 15일부터 28일까지 열린 총투표(General Resolution)에서 개발자 425명이 8개 안을 순위로 매겼습니다. 사회 계약(Social Contract)에 "LLM 기여 금지" 조항을 넣자는 안은 144표 대 257표로 떨어졌습니다. 대신 Marc Haber가 낸 "생성 AI의 책임 있는 사용"이 281표로 통과했습니다. 프로젝트 사무총장 Kurt Roeckx가 8월 30일 결과를 발표했습니다.

이 결의는 Debian 프로젝트에 직접 제출하는 기여에만 적용됩니다. 패키징, lintian 같은 Debian 자체 소프트웨어, 문서와 번역, 공식 웹 자원, 메일링 리스트 글이 대상입니다. 상류 프로젝트가 자기 코드를 AI로 개발하는 것은 이 투표의 대상이 아니었습니다.

금지안을 떨어뜨린 건 정족수가 아니라 3대 1 벽

일부 해외 보도가 "금지안이 정족수에 미달했다"고 썼지만 사실이 아닙니다. Debian의 정족수는 등록 개발자 1045명 기준으로 48.49표입니다. 8개 안이 전부 정족수를 넘겼습니다. 금지안(1번)도 144표로 통과선을 넘었습니다.

1번안이 떨어진 이유는 다른 데 있습니다. 이 안만 사회 계약 개정을 요구했습니다. 헌법상 사회 계약을 고치려면 3대 1 초다수결이 필요합니다. 1번안의 실제 성적은 144 대 257, 비율로 0.560이었습니다. 3을 넘겨야 하는 자리에서 1도 못 넘긴 셈이니 단순 다수결이었어도 부결이었습니다.

득표 1위부터 3위까지가 전부 허용안이었습니다. 281표, 276표, 267표로 5표에서 14표 차이입니다. Debian 개발자들은 AI를 받을지 말지가 아니라 받되 어떤 조건을 걸지를 놓고 갈렸습니다.

표가 갈린 진짜 지점은 "AI를 썼다고 밝힐 것인가"

승리한 5번안과 3위를 한 2번안의 결정적 차이는 공개 의무의 유무입니다.

Lucas Nussbaum이 낸 2번안은 이렇게 요구했습니다. 기여의 상당 부분을 도구가 생성했거나 도구의 도움을 크게 받았다면, 기여자는 그 사실을 대상 독자가 분명히 볼 수 있게 밝혀야 한다. 적용 범위는 코드만이 아니라 메일링 리스트 글과 버그 토론까지였습니다. 커밋에는 Generated-By:나 Assisted-By: 같은 Git 트레일러를 쓰면 된다고 예시까지 붙였습니다. 여기에 더해 생성 AI 도구의 이용약관이 Debian의 배포·수정·사용과 충돌하지 않는지 기여자가 확인하라는 조항도 있었습니다.

5번안은 같은 자리에서 한 문장으로 끝냅니다. "AI 보조로 만든 기여인지 밝히기를 권장하지만, 요구하지는 않는다." Debian 결의문의 원문 표현입니다.

Condorcet 방식이라 1대 1 대결 기록이 남았습니다. 5번안은 2번안을 203 대 148로 눌렀습니다. 55표 차입니다. 2위였던 6번안과 붙었을 때는 210 대 130으로 80표 차였습니다. 6번안은 "가능하면 생성 AI를 피하고 사람의 저작을 선호하라"고 권고하되 공개는 예의 수준으로 남긴 안이었습니다.

화살표는 1대 1 대결에서 이긴 방향이고 옆의 숫자가 표 차이입니다. 맨 위 파란 타원에서 나가는 화살표만 있고 들어오는 화살표가 없습니다.

결의문이 실제로 금지한 것 세 가지

공개 의무가 빠졌다고 해서 아무 제약이 없는 것은 아닙니다. 5번안 본문은 세 가지를 명시적으로 막았습니다. 셋 다 코딩 에이전트를 쓰는 사람의 일상 작업에 바로 걸립니다.

첫째, 검토 없이 올리는 것. 기여자는 AI 산출물을 이해하고 검토하고 테스트한 뒤, 필요하면 고쳐서 반영해야 합니다. 결의문은 "적절한 사람 검토 없이 AI 생성물을 그대로 받아들이거나 업로드하는 것은 Debian의 확립된 개발 관행에 어긋난다"고 못 박았습니다. 도구를 썼다는 사실이 기여자의 책임을 줄여주지 않는다는 문장이 그 앞에 놓여 있습니다.

둘째, 비공개 정보를 외부 AI 서비스에 넘기는 것. 결의문이 이름을 붙여 열거한 대상은 기밀 정보, 사적 커뮤니케이션, 아직 공개되지 않은 embargo 상태 보안 버그 정보, 암호 키, 자격 증명입니다. Debian 프로젝트와 인프라, 커뮤니티에 관한 비공개 자료를 서드파티 AI에 보내려면 명시적 승인이 있어야 하고 Debian의 보안·프라이버시 요건에 맞아야 합니다. 보안 팀에서 일하면서 에이전트에 메일함을 연결해 둔 사람이 가장 먼저 확인해야 할 조항입니다.

셋째, 사전 논의 없는 대량 자동 제출. 다수 패키지나 다수 기여자에게 영향을 주는 자동화 작업, 예를 들어 대량 버그 등록이나 대량 패치 제출, 대규모 코드 수정은 적절한 프로젝트 채널에서 먼저 논의하고 합의를 얻어야 합니다. 그 자동화 과정은 사람이 감독해야 하고 그 사람이 결과에 책임집니다. 기존 대량 버그 등록 절차를 AI 워크플로에 그대로 연장한 조항입니다.

저작권 문제는 프로젝트가 판단을 유보했습니다. AI 산출물이 저작권 대상인지, 학습 데이터의 2차적 저작물인지를 놓고 Debian은 입장을 정하지 않겠다고 명시했습니다. 대신 기여자가 출처와 라이선스 함의를 따져 보고 법적 지위를 합리적으로 정당화할 수 없는 콘텐츠는 넣지 말라고 했습니다. 판단의 무게는 프로젝트가 아니라 개인이 지게 됐습니다. 1번안 지지자들이 문제 삼은 지점도 정확히 여기였습니다.

항목	내용
적용 대상	Debian에 제출되는 기여 전부. 패키징, 자체 소프트웨어, 문서·번역, 공식 웹 자원, 메일링 리스트 글
적용 시점	결의 통과 즉시. 헌법 4.1(5) 입장 표명이라 다음 총투표 없이도 바뀔 수 있음
지역 조건	없음. 한국 기여자에게도 그대로 적용
공개 의무	없음. 권장 사항
개별 메인테이너	AI 보조 기여를 받지 않을 자유를 5번안은 명시하지 않음. 실무에서는 패키지 메인테이너 판단이 여전히 1차 관문

다른 프로젝트는 어디에 선을 그었나

Debian은 스펙트럼의 중간보다 허용 쪽에 섰습니다. 같은 질문을 먼저 받은 프로젝트들의 답은 이렇게 갈렸습니다.

Fedora와 Debian의 차이가 실무에서 가장 눈에 띕니다. Fedora는 트레일러 한 줄을 요구하고 Debian은 요구하지 않습니다. 두 배포판에 같은 패치를 보내는 사람이라면 커밋 메시지 규칙이 배포판마다 갈라집니다.

이 논쟁이 지금 벌어진 배경에는 기여 품질만 있지 않았습니다. 금지안이 든 네 가지 근거 중 하나가 인프라 부하였습니다. 제안문은 Debian 공개 웹 자원의 일부가 크롤러 때문에 아예 접근 불가 상태가 됐고 JavaScript 기반 검증을 켜야 했다고 적었습니다. 같은 시기 kernel.org가 공개한 숫자는 더 구체적입니다. git.kernel.org에 하루 약 600만 요청이 들어오는데, 관대하게 잡아도 정상 요청은 전체의 약 2%였습니다. AI 생성 저품질 기여가 메인테이너의 검토 시간을 고갈시키는 문제는 이미 다뤘습니다. Debian 투표는 그 문제를 규정으로 풀려던 첫 대규모 시도였습니다. 결과는 규정 대신 개인 책임이었습니다.

오늘 점검할 것

Debian에 패키지를 올리거나 패치를 보내는 사람이라면 커밋 메시지보다 에이전트가 무엇을 읽고 있는지를 먼저 봐야 합니다. 보안 팀 메일함, 비공개 저장소, 로컬 자격 증명 파일이 에이전트 컨텍스트에 들어가고 있다면 오늘 그 연결을 끊어야 합니다. 공개 의무는 안 생겼지만 이 조항은 생겼고 위반 여부는 사후에 드러납니다.

기여자가 아니라면 다시 볼 대목은 두 가지입니다. 하나는 5번안이 헌법 4.1(5)에 따른 입장 표명이라 총투표 없이도 바뀔 수 있다는 점입니다. 다른 하나는 QEMU가 논의 중인 완화안입니다. 금지에서 조건부 허용으로 넘어가는 프로젝트가 하나 더 나오면, 남은 금지 진영의 근거가 무엇인지가 다음 논쟁의 출발점입니다.