[스타트업 법률 가이드] 글로벌 AI 규제, 기업 대응 방안

[프라임경제] AI 서비스를 해외에 출시하려는 기업이라면 이제 각국의 AI 규제를 함께 고려해야 한다. 한국에서는 인공지능기본법에 따른 규제가 시행되고 있고, 유럽연합(EU)은 AI Act를 통해 보다 촘촘한 규제 체계를 마련하고 있다. 

미국 역시 연방 차원의 포괄적인 AI 규제법은 없지만 분야별 규제와 주법을 중심으로 규제가 확대되고 있다. 글로벌 서비스를 준비하는 기업 입장에서는 어느 나라의 규제를 기준으로 시스템을 설계해야 할지 고민이 생길 수밖에 없다.

과거 개인정보 규제에서도 비슷한 문제가 있었다. 각국이 서로 다른 개인정보 규제를 두고 있어 글로벌 기업은 국가별 규제를 일일이 확인해야 했다. 

그러나 EU의 GDPR이 시행된 이후 상황은 달라졌다. GDPR의 규제 수준이 상대적으로 높고 적용 범위도 넓다 보니, 글로벌 기업들은 이를 중요한 기준점으로 삼고 여기에 각 국가의 추가적인 요구사항을 반영하는 방식으로 개인정보 컴플라이언스 체계를 구축하기 시작했다.

AI 규제 역시 비슷한 방향으로 전개될 가능성이 있다. 특히 글로벌 서비스를 계획하는 국내 기업이라면 EU AI Act를 하나의 상위 기준으로 두고 한국의 인공지능기본법상 의무를 함께 반영하는 방안을 생각해 볼 수 있다.

그 이유 중 하나는 EU AI Act의 적용 범위가 넓기 때문이다. 반드시 EU에서 AI 시스템을 개발하거나 EU 사업자가 서비스를 제공하는 경우에만 적용되는 것은 아니다. 

일정한 경우 EU 밖에서 제공되는 AI 시스템이라 하더라도 그 결과물이 EU에서 사용되면 규제 대상이 될 수 있다. 국내에서 AI 시스템을 개발하더라도 유럽 시장을 대상으로 서비스하거나 그 결과물이 유럽에서 이용된다면 EU 규제를 검토해야 하는 것이다.

더 중요한 이유는 규제의 '촘촘함'에 있다. EU AI Act는 AI 시스템의 설계·개발 단계부터 시장 출시, 실제 운영과 사후 관리에 이르기까지 생애주기 전반을 규율한다. 고위험 AI 시스템 등을 중심으로 위험관리체계, 데이터 거버넌스, 기술문서, 기록 보관, 인간의 감독, 정확성·견고성·사이버보안 등에 관한 요구사항을 두고 있다.

이 가운데 상당수는 서비스를 완성한 뒤 서류를 추가로 작성하는 것만으로는 대응하기 어렵다. 대표적인 것이 학습데이터의 출처와 변경 이력, 데이터셋 관리, 자동 로그 생성 등이다. 개발 과정에서 관련 정보를 남기지 않았다면 나중에 이를 완전히 복원하기 어려울 수 있다. 

로그 역시 필요한 항목을 애초에 수집하지 않았다면 서비스 출시 후 과거의 로그를 새롭게 만들어낼 수 없다.

따라서 AI 규제에서 법의 시행일은 '그때부터 준비를 시작하는 날'이라기보다 필요한 준비를 상당 부분 마쳐야 하는 시점으로 이해할 필요가 있다. 

특히 AI 모델이나 서비스를 핵심 사업으로 하는 스타트업에는 더욱 중요하다. 규제 요건을 뒤늦게 발견해 학습데이터를 다시 정비하거나 개발 구조 자체를 변경해야 한다면 법률비용만의 문제가 아니라 서비스 출시가 수개월 이상 늦어지는 문제로 이어질 수 있기 때문이다.

다만 국내 기업이 모든 국가의 AI 규제를 각각 별도의 체계로 구축하는 것도 현실적이지 않다. 예를 들어 한국용 컴플라이언스 체계와 EU용 체계를 따로 만들고 다시 미국용 체계를 만드는 방식은 중복되는 업무가 많고 실제 운영도 어렵다.

보다 현실적인 방법은 하나의 기준을 먼저 정하는 것이다. 한국 인공지능기본법상 의무와 EU AI Act상 요구사항을 나열한 뒤 양쪽에 공통되는 사항, EU에 추가로 존재하는 사항, 한국에서 별도로 요구되는 사항을 구분할 수 있다. 

그중 보다 구체적이고 전주기적인 EU 기준을 기본 설계에 반영하고, 한국의 고지·표시나 고영향 인공지능 관련 의무 등을 추가하는 방식이다.

미국은 조금 다르게 접근할 필요가 있다. 현재 미국에는 EU AI Act와 같은 포괄적인 연방 AI 규제법이 존재하지 않고, 특정 피해나 산업 분야를 중심으로 한 규제와 각 주의 법률이 함께 발전하고 있다. 

따라서 EU와 한국을 기준으로 기본적인 통제체계를 만든 다음, 실제 서비스가 제공되는 미국의 주와 사업 분야에 따라 필요한 체크리스트를 추가하는 방식이 현실적이다.

이를 실제 기업의 운영 체계로 옮기기 위해서는 먼저 회사가 사용하거나 제공하는 AI를 파악하는 것이 필요하다. 어떤 AI 시스템을 누가 개발하거나 도입하고 있는지, 기업이 해당 시스템의 제공자인지 이용자인지, 어떤 목적으로 사용되는지 등을 정리해야 한다. 규제 대응은 회사가 보유한 AI를 제대로 파악하는 것에서 시작된다.

다음으로 각 규제의 요구사항을 구체적인 항목으로 전환할 필요가 있다. 예를 들어 위험관리, 데이터 관리, 기술문서 작성, 로그 보관, 인간의 감독, 이용자 고지 등을 각각 관리 가능한 항목으로 만들고 담당자와 이행 여부를 정하는 방식이다. 

한국과 EU에서 같은 취지의 의무를 요구한다면 하나의 통제 항목으로 관리하고, 특정 국가에만 존재하는 규제는 별도의 항목을 추가할 수 있다.

규제를 준수했다는 사실을 증명할 수 있는 자료도 함께 관리해야 한다. AI 규제에서는 ‘무엇을 했는가’ 못지않게 ‘무엇을 했다는 사실을 입증할 수 있는가’가 중요하다. 

정책과 기술문서뿐만 아니라 개발 과정의 로그, 데이터 관련 기록, 테스트 결과, 위험평가 자료 등을 일관된 방식으로 보관해 둘 필요가 있다.

마지막으로 이러한 체계가 일회성 점검으로 끝나서는 안 된다. AI 시스템은 모델 업데이트, 데이터 변경, 기능 추가 등에 따라 위험 수준과 적용 규제가 달라질 수 있다. 

따라서 일정 주기로 AI 시스템을 점검하고, 중요한 변경이나 새로운 서비스 출시가 있을 때 이를 다시 평가하며, 이상 징후나 사고가 발생하면 보고·대응한 뒤 그 결과를 다시 정책과 개발 절차에 반영하는 순환 구조가 필요하다. 

이를 위해 AI 관련 위원회나 검토 조직을 두고 중요한 모델이나 서비스를 출시할 때 기술·법률·개인정보 관점에서 함께 검토하는 절차를 마련하는 것도 방법이다.

글로벌 AI 규제에 대응한다는 것은 각국 법률의 체크리스트를 많이 보유한다는 의미가 아니다. 어떤 AI를 운영하고 있는지 파악하고, 설계와 개발 단계에서 필요한 통제를 반영하며, 그 이행 과정을 기록하고, 변화가 있을 때 다시 평가할 수 있는 하나의 운영체계를 만드는 것이다.

개인정보 분야에서 GDPR이 글로벌 기업의 컴플라이언스 체계를 설계하는 중요한 기준이 되었던 것처럼, AI 분야에서도 규제 수준이 높은 법을 기준으로 공통의 체계를 구축하고 각 국가의 차이를 추가하는 방식이 효율적일 수 있다. 

글로벌 시장을 준비하는 기업이라면 AI 규제를 서비스 출시 직전에 확인해야 할 법률 체크리스트가 아니라, 개발 초기부터 제품과 조직 안에 함께 설계해야 하는 운영 요건으로 바라볼 필요가 있다.