EY가 낸 보고서 인용 대부분이 가짜였다 — 빅4의 권위가 무너지는 순간

빅4 컨설팅 펌이라는 이름이 갖는 무게가 있습니다. 한 장당 수백만 원짜리 리포트에 EY, Deloitte, PwC, KPMG의 로고가 박혀 있으면, 정부도 기업도 그 내용을 일단 신뢰하고 봅니다. 그런데 그 신뢰의 근거가 통째로 흔들리는 사건이 또 터졌습니다. 이번에는 EY 캐나다, 그것도 사이버보안 리포트입니다.

인용 출처 대부분이 “존재하지 않는 문서"였다

캐나다 정부 기관에 제출된 EY의 사이버보안 자문 보고서를 검증하던 연구자들이 황당한 사실을 발견했습니다. 보고서 곳곳에 박힌 학술 인용과 정부 문서 출처를 하나씩 추적해봤더니, 상당수가 실재하지 않는 문서였던 겁니다.

존재하지 않는 저자, 존재하지 않는 저널, 존재하지 않는 페이지 번호. 그럴듯한 제목과 그럴듯한 연도가 붙어 있어서 언뜻 보면 진짜 같지만, 실제로 검색해보면 흔적조차 없습니다. 생성형 AI가 만들어내는 전형적인 환각(hallucination) 패턴입니다.

문제는 이 보고서가 단순한 내부 메모가 아니라는 점인데요. 정부의 사이버보안 정책 방향에 영향을 줄 수 있는 공식 자문 문서였다는 사실입니다.

이게 처음이 아니라는 게 더 무섭다

빅4 컨설팅의 AI 환각 사고는 이번이 처음이 아닙니다. 호주에서는 Deloitte가 정부에 제출한 44만 호주달러짜리 복지 시스템 분석 리포트에 가짜 인용이 잔뜩 들어 있어서 환불 사태가 벌어졌습니다. 미국 법원에서는 변호사들이 ChatGPT가 만들어낸 가짜 판례를 그대로 제출했다가 제재를 받았고요.

패턴이 보입니다. 고비용 전문가 서비스일수록 AI 활용을 숨기고, 그러다 보니 내부 검증 프로세스가 작동하지 않습니다. 시간당 수십만 원을 받는 컨설턴트가 ChatGPT에 프롬프트를 던지고 그 결과를 그대로 붙여넣었다는 사실을 인정하기 어려우니까요.

우리가 컨설팅 펌에 돈을 내는 이유

생각해보면 본질적인 질문이 남습니다. 정부와 기업이 빅4에 천문학적인 돈을 지불하는 이유가 뭐였을까요. 보고서 작성 자체가 아니라, 그 보고서 뒤에 있는 검증된 전문성과 책임입니다.

브랜드가 보증하는 사실관계, 업계 베스트 프랙티스에 대한 깊이 있는 이해, 그리고 잘못됐을 때 책임질 수 있는 평판. 이게 무너지면 컨설팅 펌은 그냥 “AI를 좀 더 비싸게 대신 돌려주는 중개상"이 됩니다.

EY 캐나다 사건이 보여주는 건 단순한 실수가 아니라, 검증 프로세스 자체가 망가지고 있다는 신호인데요. 시니어 파트너가 사인하기 전에 인용 출처 하나 확인하지 않는 워크플로가 굳어졌다는 뜻이니까요.

AI 슬롭이 권위의 외피를 입을 때

가장 위험한 시나리오는 따로 있습니다. 개인 블로거가 AI로 만든 가짜 정보는 의심이라도 받지만, EY 로고가 박힌 PDF는 그대로 정책 결정의 근거가 됩니다. 그 정책이 다시 인용되고, 다른 보고서의 출처가 되고, 결국 검증 불가능한 정보의 생태계가 만들어집니다.

AI 슬롭(slop)이라는 단어가 단순히 “저질 콘텐츠"를 의미하지 않는 이유입니다. 진짜 문제는 그 슬롭이 권위 있는 기관의 이름표를 달고 유통될 때 생깁니다. 이번 EY 사건은 그 경계선이 이미 무너졌다는 증거예요.

마무리

전문가의 권위는 어디서 오는 걸까요. 직함도, 회사 이름도, 보고서의 두께도 아니라 책임지고 검증한 사실관계에서 나옵니다. AI가 그 검증 단계를 건너뛰게 만드는 한, 빅4의 로고는 점점 더 의심받게 될 겁니다.

다음에 100페이지짜리 컨설팅 리포트를 받게 된다면, 한 가지 질문을 던져보시면 어떨까요. “이 인용 출처, 누가 확인했나요?” 그 답이 머뭇거린다면, 이미 답은 나온 셈입니다.