AI 기본법 시대,

규제는 비용인가 신뢰 인프라인가, 어떻게 나아가야 하는가

인공지능과 관련한 글로벌 규범 체계와 한국 인공지능기본법의 의미

해외 AI 규제와 한국 인공지능기본법의 위치 

다른 나라의 AI 법제와 비교하면 한국 인공지능기본법의 성격이 보다 분명하게 드러난다. 주요국의 AI 규제는 크게 네 가지 흐름으로 나누어 볼 수 있다. EU는 위험 기반의 강한 규제 모델, 일본은 산업진흥 중심의 기본법 모델, 미국은 행정명령·기관별 가이드라인·주법이 결합된 분산형 모델, 중국은 생성형 AI·알고리즘 추천·딥페이크 등 특정 영역을 행정적으로 관리하는 모델에 가깝다.

EU의 AI Act는 가장 체계적인 포괄적 AI 규제법으로 평가된다. EU는 인공지능 시스템을 위험 수준에 따라 구분하고, 특히 고위험 AI에 대해 엄격한 의무를 부과한다. AI Act는 2024년 8월 1일 발효되었고, 금지된 AI는 2025년 2월부터, 범용 AI 모델 관련 의무는 2025년 8월부터 단계적으로 적용되었다. 고위험 AI에 관한 주요 규칙은 영역에 따라 2027년 12월 또는 2028년 8월까지 단계적으로 적용되는 구조로 정리되고 있다. EU 법제의 핵심은 AI를 시장에 출시하거나 사용하는 자에게 사전적 위험관리, 기술문서, 투명성, 감독, 정확성·견고성·사이버보안 확보 의무를 부과한다는 점이다.

일본은 EU와 접근 방식이 크게 다르다. 일본의 AI 관련 법제는 인공지능 관련 기술의 연구개발과 활용 촉진에 초점을 둔다. 일본 법은 AI를 경제사회 발전의 기반 기술로 보고, 연구개발 촉진, 인프라 정비, 인재 양성, 국제협력, AI 기본계획, AI 전략본부 등을 중심으로 설계되어 있다. 다만 AI가 범죄, 개인정보 유출, 저작권 침해 등 국민의 권익을 침해할 수 있다는 점도 함께 언급하며, 투명성 확보 등 필요한 조치를 마련하도록 한다. 즉 일본은 강한 사전규제보다는 국가 차원의 AI 활용 촉진과 정책 조정에 더 무게를 둔 모델이다.

미국은 아직 연방 차원의 단일하고 포괄적인 AI 기본법 체계를 갖추고 있지 않다. 대신 NIST(National Institute of Standards and Technology, 국립표준기술연구소)의 AI Risk Management Framework와 같은 가이드라인, 연방기관별 지침, 행정명령, 주법, 분야별 규제를 통해 AI를 관리하는 방식에 가깝다. NIST는 책임 있는 AI 활용을 지원하기 위해 AI 위험관리 프레임워크, 도구, 벤치마크 등을 개발하고 있고, 미국 행정부는 AI 리더십과 국가경쟁력, 안보, 혁신 촉진을 중요한 정책 목표로 제시하고 있다.

중국은 또 다른 방향이다. 중국은 포괄적 AI 기본법보다는 알고리즘 추천, 딥페이크, 생성형 AI 등 특정 기술과 서비스 유형을 중심으로 행정적 규제를 발전시켜 왔다. 생성형 AI 서비스 관리 잠정방법은 중국 내 대중에게 텍스트, 이미지, 음성, 영상 등을 생성하는 서비스를 제공하는 경우 적용되며, 딥페이크 규정과 알고리즘 추천 규정도 별도로 존재한다. 중국 모델은 혁신을 추구하면서도, 콘텐츠 관리, 국가안보, 사회질서, 개인정보 보호, 알고리즘 투명성, 보안평가 등 행정적 통제의 성격이 강하다.

한국의 인공지능기본법은 EU와 일본 사이에 위치한다. EU처럼 고영향 인공지능, 생성형 인공지능, 고성능 인공지능에 대해 일정한 의무를 부과하지만, EU AI Act만큼 강한 감독 및 규제 체계를 전면적으로 도입한 것은 아니다. 일본처럼 산업 육성과 국가 전략을 강조하지만, 일본보다 사업자 의무와 규율은 더 구체적이다. 미국처럼 자율과 혁신을 중시하면서도, 미국보다 법률 체계가 분명하다. 중국처럼 생성형 AI와 딥페이크의 위험을 인식하고 있지만, 국가안보나 콘텐츠 통제 중심의 행정관리 모델과도 또 다르다.

한국의 인공지능 법령 체계 및 구조

한국의 인공지능 관련 법령 체계는 크게 네 개의 층으로 이해할 수 있다. 첫째는 인공지능기본법이다. 이 법은 인공지능의 개발, 활용, 산업 진흥, 신뢰성 확보, 고영향 인공지능 관리, 생성형 인공지능 관련 기본 사항을 정한다. 둘째는 시행령이다. 시행령은 법률에서 위임한 사항을 구체화한다. 예를 들어 국가인공지능전략위원회의 구성과 운영, 인공지능집적단지 지정 절차, 고영향 인공지능의 투명성 확보 방안, 고영향 인공지능 확인 절차, 고영향 인공지능 사업자의 책무 등을 정한다.

셋째는 고시다. 고시는 고영향 인공지능과 관련한 사업자의 책무, 인공지능 안전성 확보 의무의 이행방법 등을 세부적으로 정한다. 넷째는 가이드라인이다. 인공지능 투명성 확보 가이드라인, 인공지능 안전성 확보 가이드라인, 고영향 인공지능 판단 가이드라인, 고영향 인공지능 사업자 책무 가이드라인, 인공지능 영향평가 가이드라인 등이 이에 해당한다. 법률이 원칙을 정하고, 시행령과 고시가 구체적 의무를 정하며, 가이드라인이 실무상 판단 기준을 보완하는 구조다.

다만 인공지능기본법만으로 모든 문제가 해결되는 것은 아니다. 실제 사업에서는 개인정보 보호법, 저작권법, 신용정보법, 의료법, 디지털의료제품법, 자본시장법, 전자금융거래법, 근로기준법, 표시광고법 등 다양한 개별 법령이 함께 적용된다. 예컨대 AI가 의료진단에 사용되면 의료·의료기기 규제가 문제될 수 있고, 신용평가에 사용되면 금융규제와 신용정보 규제가 문제될 수 있다. 채용 평가에 사용되면 개인정보, 노동법, 차별 문제가 함께 검토되어야 한다. 인공지능기본법은 AI에 관한 일반적 기준을 제시하는 법이고, 구체적인 사업에서는 산업별 개별 법령이 함께 검토되어야 한다.

인공지능기본법의 기본 구조

인공지능기본법은 크게 두 가지 방향을 함께 담고 있다. 하나는 인공지능 산업의 발전을 지원하는 것이고, 다른 하나는 인공지능에 대한 신뢰 기반을 조성하는 것이다. 산업 발전 측면에서는 연구개발 지원, 인력 양성, 데이터 활용 기반, 인공지능집적단지, 중소기업 지원, 국제협력 등이 중요하다. 신뢰 기반 조성 측면에서는 고영향 인공지능, 생성형 인공지능, 고성능 인공지능, 투명성 확보, 안전성 확보, 국내대리인 지정 등이 핵심이다.

인공지능기본법은 인공지능사업자를 인공지능개발사업자와 인공지능이용사업자로 나누어 규정한다. 인공지능을 직접 개발하여 제공하는 사업자가 있는 반면, 외부에서 개발된 AI 모델이나 시스템을 활용하여 최종 서비스를 제공하는 사업자도 있다. 실제로는 하나의 기업이 두 지위를 동시에 가질 수 있다. 예를 들어 자체 AI 모델을 개발하면서 이를 활용해 금융, 교육, 채용 서비스를 제공한다면 개발사업자이면서 동시에 이용사업자가 된다.

이 구분은 실무상 중요하다. 외부 AI 모델을 사용했다고 해서 최종 서비스 제공자의 책임이 모두 사라지는 것은 아니다. 이용자에게 실제 서비스를 제공하는 회사는 고지, 표시, 위험관리, 고객 대응, 개인정보 처리, 결과물 관리, 사고 대응 등에 관한 책임을 부담할 수 있다. 반대로 AI 모델 개발자는 이용사업자가 법적 의무를 이행할 수 있도록 필요한 기술 정보, 안전성 자료, 위험관리 자료를 제공해야 하는 문제가 발생할 수 있다.

인공지능기본법은 고영향 인공지능, 생성형 인공지능, 고성능 인공지능을 구분하고, 각각의 성격에 따라 의무와 책임을 달리 정한다. 고영향 인공지능은 사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서 보건의료, 의료기기, 채용, 대출, 교통수단 등 법령상 정한 영역에 활용되는 것을 말한다. 이러한 AI를 제공하거나 이용하는 사업자는 고영향 AI 해당 여부를 확인하고, 투명성 확보와 안전성·신뢰성 확보를 위한 조치를 검토해야 한다.

생성형 인공지능에 대해서는 투명성 확보가 중요하다. 텍스트, 이미지, 영상, 음성 등을 생성하는 AI를 활용하는 경우 이용자가 해당 서비스가 AI에 기반하고 있다는 사실을 알 수 있어야 한다. 또한 AI가 만든 결과물에 대해서도 일정한 경우 AI 생성물임을 표시해야 한다. 특히 실제 사람의 말, 얼굴, 영상과 혼동될 수 있는 딥페이크형 콘텐츠는 이용자가 이를 명확히 인식할 수 있도록 표시하는 것이 중요하다.

고성능 인공지능은 일정한 연산량 기준과 기술 수준, 사회적 영향 가능성을 기준으로 규율된다. 학습에 사용된 누적 연산량이 일정 기준 이상이고, 최첨단 인공지능기술을 적용하여 구성·운영되며, 사람의 생명·신체의 안전, 기본권, 공공의 안전에 광범위하고 중대한 영향을 미칠 가능성이 높은 인공지능이 이에 해당할 수 있다. 이러한 인공지능에 대해서는 수명주기 전반에 걸친 위험의 식별·평가·완화, AI 안전사고 모니터링과 대응을 위한 위험관리체계 구축이 중요하다.

인공지능기본법을 통해 한국 AI 산업을 발전시키려면 이 법을 단순한 규제 준수 목록으로만 이해해서는 부족하다. 이 법은 한국 AI 산업의 성장을 위한 제도적 인프라로 이해할 필요가 있다.

첫째, 기업이 AI 서비스를 기획하는 단계부터 법적 구조를 함께 설계할 수 있어야 한다. 서비스 출시 후 문제가 생길 때 대응하는 방식이 아니라, 기획 단계에서 고영향 AI 여부, 생성형 AI 표시, 개인정보, 저작권, 데이터 출처, 설명가능성, 책임 분담, 사고 대응 체계를 함께 설계해야 한다.

둘째, 산업별 규제와 인공지능기본법의 정합성을 높여야 한다. 의료, 금융, 교육, 채용, 모빌리티, 콘텐츠, 공공서비스는 각기 다른 규제 논리를 가지고 있다. 인공지능기본법이 공통 원칙을 제시하더라도, 산업별 감독기관의 해석이 지나치게 달라지면 기업은 예측가능성을 잃게 된다. 따라서 과학기술정보통신부, 개인정보보호위원회, 금융위원회, 보건복지부, 식약처, 고용노동부 등 관계 부처가 공통된 해석 기준과 협업 체계를 마련하는 것이 중요하다.

셋째, 스타트업과 중소기업을 위한 실질적 지원이 필요하다. 대기업은 자체 법무·보안·개인정보·컴플라이언스 조직을 통해 AI 규제 대응 체계를 만들 수 있지만, 스타트업은 그렇지 않다. 고영향 AI 판단, 투명성 표시, 데이터 관리, 위험평가, 계약서 정비, 고객사 보안심사 대응을 모두 자체적으로 수행하기 어렵다. 따라서 표준계약서 및 고지문구, AI 영향평가 기준, 가이드라인을 제공하는 것이 산업 발전에 실질적으로 도움이 된다.

넷째, 신뢰성 인증과 공공조달을 연결할 필요가 있다. AI 안전성, 신뢰성 검증과 인증 제도가 실효성을 가지려면 시장에서 인센티브가 있어야 한다. 인증을 받은 AI 서비스가 공공조달, 대기업 납품, 금융·의료기관 도입, 해외 진출 지원에서 우대를 받을 수 있다면 기업들은 규제 대응을 비용이 아니라 시장 진입을 위한 투자로 인식할 수 있다.

다섯째, 데이터와 컴퓨팅 인프라 지원이 병행되어야 한다. AI 산업의 경쟁력은 법제만으로 만들어지지 않는다. 양질의 데이터, 안전한 데이터 활용 환경, 고성능 컴퓨팅 자원, 전문인력, 테스트베드, 산업별 실증 공간이 함께 필요하다. 인공지능기본법이 산업 육성과 신뢰 기반 조성을 함께 담고 있다는 점은 바로 이 지점에서 중요하다. 안전한 활용 기준을 만들면서 동시에 기업들이 실제로 AI를 개발하고 검증할 수 있는 인프라를 제공해야 한다.

결국 인공지능기본법의 가치는 규제를 만들었다는 데 있지 않다. AI 산업이 지속적으로 성장하기 위해 필요한 신뢰의 조건을 법제화했다는 데 있다. AI는 속도가 중요한 산업이지만, 신뢰가 없는 속도는 오래 지속되기 어렵다. 반대로 신뢰의 기준이 지나치게 무거워 혁신을 막는다면 산업은 성장하기 어렵다. 한국 인공지능기본법은 이 두 가지 사이에서 균형을 찾으려는 시도다. 인공지능 시대의 경쟁력은 단순히 더 빠른 모델, 더 큰 모델, 더 많은 데이터에서만 나오지 않는다. 이용자가 믿고 사용할 수 있는 AI, 기업 고객이 도입할 수 있는 AI, 해외 시장에서 설명 가능한 AI, 투자자와 규제기관 앞에서 검증 가능한 AI가 결국 시장을 넓힌다. 인공지능기본법은 한국 AI 산업이 그 방향으로 나아가기 위한 첫 번째 공통 규칙이라고 볼 수 있다.