인공지능 발전과 신뢰 기반 조성 등에 관한 기본법, 줄여서 AI 기본법이 지난 22일부터 효력을 갖기 시작했다. 특정 분야만 손보는 부분 규제가 아니라 인공지능 전반을 하나의 법으로 다루는 포괄 법령이 나라 단위로 전면 시행된 사례는 이번이 처음이다. 그런데 시행 엿새가 지난 기업 현장에서 벌어지는 일은 규제를 지키는 작업이 아니다. 우리 서비스가 이 법의 어느 칸에 들어가는지를 따지는 해석 작업이다.
법의 규제 축은 세 갈래다. 무엇이 AI인지 알리라는 투명성, 사람의 삶을 크게 흔드는 AI는 더 무겁게 관리하라는 고영향, 그리고 안전성이다. 이 가운데 두 갈래의 경계선이 그어지지 않은 채로 법이 켜졌다. 고영향 AI의 판단 기준과 세부 의무 항목이 마련되지 않았고, 생성물 표시 의무를 가르는 '외부 유통'의 범위와 서비스별 화면 구현 방식에 따른 적용 기준도 가이드라인 몫으로 넘어가 있다.
고영향 AI는 국민의 권리와 의무, 생계, 신용도처럼 삶의 조건을 좌우하는 의사결정에 개입하는 시스템을 가리키는 것으로 정리된다. 여기에 해당하면 위험관리 방안을 세우고, 학습데이터 개요와 알고리즘 작동 방식을 설명할 수 있게 준비하고, 이용자 보호 대책과 사람이 직접 관리·감독하는 체계를 갖춰야 한다. 금융권에서는 은행 내부 신용평가모형, 자동 대출심사와 한도 산정, 이상거래 탐지(FDS) 같은 시스템이 후보로 거론된다. 어떤 절차를 거쳐 누가 이 딱지를 붙이는지는 공개되지 않았다.
표시 의무 쪽은 상대적으로 그림이 있다. 시행 하루 전인 21일 공개된 인공지능 투명성 확보 가이드라인은 고영향·생성형 AI를 쓴다는 사실을 미리 알리는 고지와, AI가 만든 결과물임을 표시하는 의무로 투명성을 나눈다. 결과물이 서비스 안에서만 쓰이면 화면 안내나 로고 표출처럼 느슨한 방식이 허용된다. 챗봇은 대화 시작 전 안내나 화면 속 로고, 게임·메타버스는 로그인 시 안내나 캐릭터 표시로 갈음할 수 있다.
결과물이 밖으로 나가면 요구 수준이 올라간다. 반출·다운로드·공유 상황에서는 사람이 눈이나 귀로 알아챌 수 있는 워터마크를 붙이거나, 문구·음성으로 안내한 뒤 기계가 읽을 수 있는 메타데이터를 심어야 한다. 딥페이크처럼 실제와 구분하기 어려운 생성물은 사람이 명확히 알아볼 수 있는 방식이어야 한다. 문제는 SaaS와 API를 거쳐 결과물이 오가는 서비스에서 어디까지가 '밖'인지를 판정할 잣대가 흐릿하다는 데 있다.
의무를 지는 주체의 범위도 두 갈래로 읽힌다. 투명성 확보 의무는 이용자에게 AI 제품·서비스를 직접 제공하는 사업자로 한정된다고 정리되는 한편, 법은 AI를 개발·제공하는 쪽뿐 아니라 AI를 가져다 서비스를 만드는 이용 사업자까지 적용 대상으로 삼는 것으로 파악된다. 남의 모델을 붙여 서비스를 파는 회사 입장에서 이 차이는 사소하지 않다. 준비를 시작할 시점과 예산 규모가 통째로 달라지기 때문이다.
준비 상태를 보여 주는 숫자는 좋지 않다. 지난해 4월 금융회사 118곳을 상대로 한 전수조사에서 AI 관련 의사결정기구를 둔 곳은 은행 5곳, 보험사 4곳, 증권사 1곳에 그쳤다. 조사 대상의 약 85%는 AI 윤리 원칙이나 위험관리 기준을 만들어 두지 않은 상태였다. AI 기본법 대응 준비를 마쳤다고 답한 기업 비율이 2%에 머물렀다는 조사 결과도 나왔다.
금융권은 부담이 겹치는 자리에 서 있다. 전자금융거래법과 감독규정, 망분리를 포함한 정보보호 규제, 개인정보보호법과 신용정보법, 내부통제·소비자보호 규정, 금융분야 AI 가이드라인 위에 AI 기본법이 한 층 더 얹혔다. 그런데 이 법의 컨트롤타워에는 금융 관련 부처가 들어가 있지 않다. 금융 특유의 사정을 누가 어느 창구에서 조율하느냐는 질문이 여기서 나온다.
정부는 시행 초기 혼란을 줄이겠다며 사실 조사권 행사와 과태료 부과 같은 집행을 최소 1년 이상 미루겠다는 입장을 밝혔다. 이 1년은 기업에 주는 유예이면서 동시에 정부가 기준을 채워 넣어야 하는 기한이기도 하다. 과학기술정보통신부 장관은 3년마다 AI기본계획을 세워야 하고, 국가인공지능전략위원회는 법정 위원회로 올라선다. 제도의 뼈대는 세워졌고, 살은 시행령과 고시로 붙는다.
법을 만든 이유 자체는 분명했다. 전기통신사업법의 이용자 이익 침해 금지 조항으로는 알고리즘이 만들어 내는 차별을 붙잡기 어려웠고, 정보가 유통되고 공개되는 상황을 전제로 짜인 정보통신망법으로는 AI가 정보를 새로 만들어 내는 국면을 다루기 어려웠다. 빈 곳을 메우려 만든 법이 다시 빈 곳을 남긴 셈이 되지 않으려면, 남은 기한 동안 판정 기준과 경계 사례가 문서로 나와야 한다.
이 법이 제대로 굴러가면 이용자가 겪는 변화는 소박하고 구체적이다. 상담 화면을 열었을 때 상대가 사람인지 아닌지 첫 줄에서 알게 되고, 내려받은 이미지에 이것이 만들어진 것이라는 표시가 남고, 대출이 거절됐을 때 어떤 판단이 개입했는지 물어볼 통로가 생긴다. 지금은 그 세 가지가 모두 준비 중이다. 다음 1년 동안 기업이 변호사와 보내는 시간이 줄어드는 만큼, 이용자가 화면에서 확인할 수 있는 것이 늘어난다.