왜 두 법을 비교해야 하는가

2024년 8월 EU AI Act가 발효되었고, 2026년 1월 한국 AI기본법이 시행되었습니다. 전 세계 AI 규제의 양대 축이 모두 가동 중입니다.

한국 시장만 대상으로 하는 사업자라면 AI기본법만 신경 쓰면 됩니다. 하지만 글로벌 서비스를 운영하거나 해외 진출을 고려하는 사업자라면 두 법의 차이를 정확히 파악해야 합니다. 또한 AI기본법은 EU AI Act를 상당 부분 참고하여 만들어졌으므로, EU의 사례를 보면 한국의 향후 법 개정 방향도 예측할 수 있습니다.

규제 철학의 차이

EU AI Act: 위험 기반 규제 (Risk-Based)

EU AI Act는 AI 시스템을 위험 수준에 따라 4단계로 분류하고, 위험이 높을수록 강한 규제를 적용합니다.

위험 등급 내용 규제 수준
수용 불가 위험 사회적 점수 매기기, 실시간 원격 생체인식 등 전면 금지
고위험 의료, 교육, 채용, 사법 등 적합성 평가, 등록, 모니터링
제한된 위험 챗봇, 감정 인식 등 투명성 의무
최소 위험 스팸 필터, 게임 AI 등 규제 없음

AI기본법: 분야 기반 규제

한국 AI기본법은 고영향 AI 10개 분야를 지정하고, 해당 분야의 AI에 추가 의무를 부과합니다. EU처럼 위험 등급을 나누기보다는, 특정 분야에 속하는지를 기준으로 판단합니다.

구분 내용 규제 수준
고영향 AI 생명·신체, 사법, 교육, 채용 등 10개 분야 안전성 확보, 영향평가, 사고 보고
생성형 AI 텍스트·이미지·음성 등 생성 AI 투명성 의무 (사전고지, 표시, 딥페이크)
일반 AI 위 두 가지에 해당하지 않는 AI 기본 원칙 준수

핵심 차이

EU는 "수용 불가" 등급을 두어 특정 AI를 아예 금지합니다. 한국은 금지 조항 없이, 고영향 분야에 더 강한 의무를 부과하는 방식입니다. 이는 한국이 AI 산업 육성과 규제 사이에서 균형을 잡으려는 의도를 반영합니다.

투명성 의무 비교

투명성 의무는 두 법 모두 핵심적으로 다루는 영역입니다.

사전 고지 (AI 사용 사실 알림)

항목 AI기본법 EU AI Act
적용 대상 고영향 AI + 생성형 AI 제한된 위험 이상 모든 AI
고지 방법 제품, 약관, 이용자 화면, 제공 장소 게시 AI와 상호작용 중임을 알림
감정 인식 AI 별도 규정 없음 감정 인식 시스템 사용 사실 고지 의무

생성물 표시 (AI 생성 콘텐츠 라벨링)

항목 AI기본법 EU AI Act
사람 인식 가능 표시 워터마크, 로고, 문구 기계 판독 가능 형식 (C2PA 등)
기계 판독 가능 표시 메타데이터, 디지털 워터마킹 기술 표준 준수 의무
딥페이크 이용자 명확 인식 가능 표시 + 별도 강화 딥페이크임을 명시
안내 의무 비가시적 표시 시 1회 이상 안내 -

핵심 차이

EU는 기계 판독 가능 표시를 더 강조하며, C2PA 같은 국제 기술 표준을 사실상 의무화하는 방향입니다. 한국은 사람이 인식할 수 있는 표시(워터마크, 문구)에 더 비중을 두되, 기계 판독 가능 표시도 병행합니다.

AI 분류 체계 상세 비교

EU AI Act의 고위험 AI

EU는 고위험 AI를 Annex III에서 8개 카테고리로 열거합니다:

  1. 생체 인식 및 분류
  2. 핵심 인프라 관리 및 운영
  3. 교육 및 직업 훈련
  4. 고용, 근로자 관리, 자영업 접근
  5. 필수 민간 서비스 및 공공 서비스 접근
  6. 법 집행
  7. 이민, 망명, 국경 통제
  8. 사법 및 민주적 절차

AI기본법의 고영향 AI 10개 분야

  1. 생명·신체의 안전
  2. 기본권 보호
  3. 사법·수사
  4. 교육
  5. 채용·고용
  6. 복지·사회보장
  7. 금융·보험
  8. 의료·건강
  9. 교통·이동
  10. 에너지·환경

겹치는 영역과 차이

영역 EU AI Act AI기본법
교육 고위험 (Annex III) 고영향
채용·고용 고위험 (Annex III) 고영향
사법 고위험 (Annex III) 고영향
의료 의료기기 규정과 연계 고영향
금융 별도 규정 (AI in Finance) 고영향
이민·국경 고위험 (Annex III) 별도 규정 없음
에너지·환경 핵심 인프라에 포함 고영향 (별도 분류)

한국은 금융·보험과 에너지·환경을 별도 분야로 명시한 반면, EU는 이를 다른 규정이나 핵심 인프라 카테고리에 포함시킵니다.

의무 이행 체계 비교

적합성 평가 vs 영향평가

항목 EU AI Act AI기본법
명칭 적합성 평가 (Conformity Assessment) 인공지능 영향평가
시점 시장 출시 전 출시 전
방법 자체 평가 또는 제3자 평가 자체 평가 (가이드라인 제공)
CE 마킹 필수 (적합성 확인 표시) 해당 없음
등록 EU 데이터베이스 등록 별도 등록 의무 없음

EU는 CE 마킹과 EU 데이터베이스 등록이라는 구체적 절차를 요구합니다. 한국은 영향평가를 실시하되, 등록이나 마킹 의무는 아직 없습니다.

사후 모니터링

항목 EU AI Act AI기본법
시장 감시 각 회원국 감시 기관 과학기술정보통신부
사고 보고 중대 사고 즉시 보고 의무 중대 사고 보고 의무
로그 보관 자동 로그 기록 및 보관 의무 기록·보관 의무 (세부 기준 미정)

Human-in-the-Loop

두 법 모두 사람의 감독을 핵심 원칙으로 삼습니다. EU는 "Human Oversight"라는 용어로, 한국은 "인간의 개입 보장"으로 표현하지만, 본질은 동일합니다. AI가 최종 결정을 내리지 않고, 사람이 검토하고 수정할 수 있어야 합니다.

제재 수준 비교

제재 수준에서 두 법의 차이가 가장 극명하게 드러납니다.

위반 유형 EU AI Act AI기본법
가장 중대한 위반 3,500만 유로 또는 전 세계 매출 7% 시행령에 따른 과태료
고위험/고영향 AI 의무 위반 1,500만 유로 또는 매출 3% 시정명령 + 과태료
투명성 의무 위반 750만 유로 또는 매출 1.5% 과태료
SME/스타트업 감경 매출 기준 적용 시 하한선 존재 사업 규모 고려 감경

EU의 제재는 GDPR 수준으로 강력합니다. 한국은 상대적으로 낮지만, 이는 시행 초기이기 때문입니다. 위반 사례가 축적되면 제재 수준이 상향될 가능성이 높습니다.

시행 일정 비교

항목 EU AI Act AI기본법
법안 확정 2024년 3월 2024년 12월
발효 2024년 8월 1일 2026년 1월 22일
금지 AI 규정 2025년 2월 (발효 6개월 후) 해당 없음
범용 AI 규정 2025년 8월 (발효 12개월 후) -
고위험 AI 전면 적용 2026년 8월 (발효 24개월 후) -
계도기간 없음 (유예기간으로 대체) 최소 1년 이상
전면 시행 2027년 8월 (발효 36개월 후) 2027년 이후 (계도기간 종료 후)

두 법 모두 2027년경 전면 시행됩니다. 지금이 준비의 골든타임입니다.

글로벌 서비스 사업자를 위한 대응 전략

EU와 한국 모두 서비스하는 경우

두 법 모두 적용되므로, 더 강한 기준에 맞추는 것이 효율적입니다. 대부분의 경우 EU AI Act가 더 엄격하므로:

  1. EU 기준으로 적합성 평가를 실시하면 한국 영향평가도 충족
  2. C2PA 기반 기계 판독 가능 표시를 구현하면 양쪽 투명성 의무 모두 충족
  3. 자동 로그 기록 체계를 구축하면 양쪽 사후 모니터링 요건 모두 충족

한국 시장만 대상인 경우

AI기본법만 준수하면 되지만, EU 수준으로 준비해 두면:

  • 향후 한국 법 강화 시 추가 비용 없이 대응 가능
  • 글로벌 진출 시 즉시 EU 시장 진입 가능
  • 투자 유치 시 글로벌 컴플라이언스 역량을 어필 가능

공통 준비 사항

두 법 모두 요구하는 핵심 사항은 동일합니다:

  • 투명성: AI 사용 사실 고지 + 생성물 라벨링
  • 기록: AI 판단 과정의 로그 기록 및 보관
  • 감독: Human-in-the-Loop 보장
  • 평가: 출시 전 위험/영향 평가 실시
  • 보고: 중대 사고 발생 시 보고

이 다섯 가지를 변조 불가능한 형태로 기록하고 보관하는 체계가 있다면, 어느 법에서든 컴플라이언스를 입증할 수 있습니다.

향후 전망

AI기본법의 진화 방향

EU AI Act가 선행 사례이므로, AI기본법의 향후 개정 방향을 예측할 수 있습니다:

  • AI 금지 목록 도입 가능성: 사회적 점수 매기기 등 특정 AI 관행 금지
  • 등록 의무 신설 가능성: 고영향 AI의 정부 데이터베이스 등록
  • 제재 강화: 매출 비례 과태료 도입
  • 범용 AI 모델 규제: 대규모 언어모델 등에 대한 별도 규정

글로벌 AI 규제 흐름

EU와 한국 외에도 미국(AI 행정명령), 일본(AI 가이드라인), 중국(생성형 AI 관리 조치) 등 각국이 AI 규제를 강화하고 있습니다. AI 규제 대응 역량은 글로벌 비즈니스의 필수 경쟁력이 되고 있습니다.

결론: 글로벌 기준으로 준비하라

AI기본법과 EU AI Act는 세부 사항에서 차이가 있지만, 핵심 원칙은 동일합니다. 투명하게 알리고, 안전하게 운영하고, 기록을 남기고, 사람의 감독을 보장하라.

차이점에 혼란스러워할 필요 없이, 가장 높은 기준에 맞춰 한 번 준비하면 어디서든 통합니다. DPU 기반 증빙 체계는 SHA-256 해시 체인으로 모든 AI 의사결정을 봉인하므로, 한국 감사관이든 EU 감시 기관이든 동일한 증빙을 제시할 수 있습니다.