조항 하나 빼고 통과된 AI기본법…인권위 요구 여섯 중 다섯은 빠졌다

이 글은 창간 전 시험발행본입니다. 공개된 원문을 설명하며 개별 사건에 대한 법률조언이 아닙니다.

# 기획특집 「AI기본법 어떻게 이해해야 하나」 ②

법은 무엇을 담았고 무엇을 담지 않았나

2024년 12월 26일 국회 본회의. 재석 264인 중 찬성 260, 반대 1, 기권 3으로 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법이 통과됐다. 표결만 놓고 보면 다툰 흔적이 없다.

앞선 회에서 봤듯이 법이 만들어지기 전에는 달랐다. 국가인권위원회는 2022년 5월부터, 15개 인권시민단체는 2023년 3월부터 같은 방향을 가리켰다. 일이 벌어진 뒤에 고치는 방식으로는 안 된다는 것이었다. 그 요구들이 조문에 어떻게 정리됐는지 본다.

「우선허용 · 사후규제」

먼저 사라진 조항부터다. 21대 국회 법안에 들어 있던 「우선허용 · 사후규제」다.

내용은 이랬다. 누구든 인공지능 제품과 서비스를 내놓을 수 있고, 국민의 생명 · 안전 · 권익에 위해가 되는 경우가 아니면 기술개발을 제한해서는 안 된다. 읽으면 당연한 말처럼 들린다. 위험하지 않은 것을 막지 말라는 뜻이니 그렇다.

시민사회가 이 조항을 독소조항이라 부른 이유는 다른 데 있었다. 개별 규제를 정하는 조항이 아니라 다른 모든 규제를 재는 잣대였기 때문이다. 원칙 조항이 법에 들어가면 나중에 어떤 규제를 만들려 해도 먼저 이 잣대를 통과해야 한다. 위해가 명백히 증명됐는가. 그 증명은 규제하려는 쪽이 해야 한다. 판단 과정을 들여다보기 어려운 기술에서 위해를 미리 증명하기란 쉽지 않다.

법안은 그 자리에서 멈췄다. 2023년 2월 소위를 통과한 뒤 과방위 전체회의에서 1년 가까이 계류하다 2024년 5월 21대 국회 임기가 끝나면서 폐기됐다. 조항 하나를 두고 4년 가까이 쌓아온 논의가 함께 사라졌다.

22대 국회는 다시 시작했고, 통과된 법에 그 조항은 없다. 3년 가까이 이어진 요구 가운데 그대로 관철된 것은 이 하나다.

사업자가 할 다섯 가지

빠진 자리에 들어온 것은 인공지능사업자가 지켜야 할 다섯 가지다.

생성형 인공지능이나 「고영향 인공지능」을 쓴 제품이라면 그 사실을 이용자에게 미리 알릴 것
생성형 인공지능이 만든 결과물에는 그렇게 만들어졌다고 표시할 것. 실제와 구분하기 어려운 영상이나 음향이면 이용자가 명확히 알아볼 수 있게 할 것
아주 큰 규모로 학습한 인공지능은 위험을 찾아 줄이고 사고에 대응하는 체계를 갖춰 그 결과를 정부에 낼 것
위험한 분야에 쓰는 인공지능은 위험관리방안과 설명 방안을 만들고 사람이 관리 · 감독할 것
국내에 영업소가 없는 해외 사업자도 일정 규모가 넘으면 국내대리인을 둘 것

여기서 낯선 말이 하나 나온다. 「고영향 인공지능」이다. 이 법이 만들어낸 말이다. 사람의 생명과 신체의 안전, 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능을 그렇게 부르고 열 개 분야를 적었다. 에너지 · 먹는물 · 보건의료 · 의료기기 · 원자력 · 수사용 생체인식 · 채용과 대출 심사 · 교통 · 공공기관 의사결정 · 학생 평가다.

유럽연합은 같은 자리를 high-risk, 곧 위험이라 부른다. 1회에서 인권위와 시민사회가 쓴 말도 「고위험 인공지능」이었다. 한국 법은 위험이 아니라 영향을 택했다.

어겼을 때는 장관이 조사해 중지나 시정을 명하고, 그 명령을 따르지 않으면 과태료를 물린다. 상한은 3천만원이다.

「노력하여야 한다」

요구했던 것이 들어가 있기는 한데 힘이 빠진 자리들이 있다.

인권위가 2022년부터 요구한 인권영향평가가 그렇다. 조항은 들어갔다. 고영향 인공지능을 쓴 제품을 내놓을 때 사람의 기본권에 미치는 영향을 미리 평가하라는 것이다. 그런데 문장 끝이 「평가하기 위하여 노력하여야 한다」이다. 노력의무는 하지 않아도 위반이 아니고 벌칙도 없다. 실질적인 힘은 다른 곳에서 나온다. 국가기관이 고영향 인공지능을 쓸 때는 영향평가를 마친 제품을 우선 고려해야 한다는 조항이다. 하지 않으면 공공 시장에서 불리해진다.

나머지도 비슷하다.

위험한지 아닌지를 사업자가 판단한다. 「중대한 영향」이 어느 정도인지 법은 적지 않았고, 해당 여부의 1차 판단을 사업자에게 맡겼다. 장관에게 확인을 요청할 수는 있으나 의무가 아니다
표시는 눈에 보이지 않아도 된다. 시행령이 기계만 판독하는 방식도 허용했다
가장 무거운 안전성 의무는 문턱이 높다. 인권위는 그 기준이 현재 우리나라에 존재하지 않는 수준이라고 지적했다
고영향 사업자의 조치는 권고다. 장관이 고시로 정한 뒤 준수하도록 권고할 수 있다고 적혀 있다

「영향받는 자」

형식조차 없는 자리도 있다. 요구는 2022년부터 문서로 나와 있었고 법을 만든 쪽은 그것을 알고 있었다.

피해를 입은 사람이 할 수 있는 일이 없다. 법에는 「영향받는 자」라는 말이 있다. 인공지능 때문에 생명과 안전, 기본권에 중대한 영향을 받는 사람이다. 정의까지 두었다. 그런데 그 사람이 무엇을 요구할 수 있는지는 없다. 어디에 이의를 제기하는지, 잘못된 판단을 되돌릴 길이 있는지 적혀 있지 않다. 기본원칙에 「설명받을 수 있어야 한다」는 대목이 있을 뿐이다. 원칙이지 권리가 아니다.

그 밖에 없는 것들이다.

독립적으로 감독하는 기관 — 이 법을 집행하는 곳은 인공지능 산업을 키우는 부처다
사업자를 향한 형벌 — 형법이 닿는 자리는 둘인데 둘 다 위원회를 향한다
자율규제를 떠받칠 강제 장치 — 윤리원칙은 제정할 수 있고 민간 윤리위원회는 둘 수 있다. 전부 「할 수 있다」다

인권위는 2025년 7월 결정문에서 이 상황을 스스로 적었다. 2023년 8월 국회에 요구한 여섯 가지 중 반영된 것은 우선허용 · 사후규제 삭제 하나이고, 나머지 다섯은 반영되지 않았다는 것이다. 인권영향평가 도입, 위험성에 따른 규제 세분화, 고위험 영역의 확대와 재정의, 이용자의 권리와 피해구제 절차, 독립적 기관에 의한 감독이다.

국가기관이 자기 요구가 어디까지 반영됐는지 세어 문서에 남겼다.

아직 나오지 않은 고시

여기까지를 넷으로 나눌 수 있다. 요구가 조문이 된 것, 조문은 있으나 힘이 빠진 것, 요구가 있었는데 조문이 없는 것, 그리고 정하기로 하고 아직 정하지 않은 것이다.

마지막 하나는 고시다. 법은 안전성 확보 조치의 이행 방식을 장관이 고시하여야 한다고 적었다. 할 수 있다가 아니다. 2026년 8월 현재 이 법을 근거로 제정이 확인되는 과학기술정보통신부 고시는 공공영역의 인공지능 도입을 돕는 확인 절차 고시 한 건이다.

넷을 뭉쳐 법이 비어 있다고 하면 틀린다. 조문이 없는 것은 미완성이 아니라 결정이다. 「하여야 한다」가 아니라 「노력하여야 한다」로 적은 것도 문장을 고르는 선택이었다. 미완성인 것은 아직 나오지 않은 고시뿐이다.

법은 스스로 어디에 설지를 밝혀 두었다. 목적 조항에 인공지능의 건전한 발전을 지원하고 국민의 권익과 존엄성을 보호한다고 적었다. 키우는 일과 지키는 일을 한 법에 담은 것이다. 그 사이에 그어진 선이 어디였는지가 이번 회에서 본 것이다.

법이 시행된 것은 1년 1개월 뒤인 2026년 1월 22일이다. 시행이 다가오자 2022년과 2023년에 나왔던 말들이 다시 나오기 시작했다. 이번에는 말하는 곳이 하나 더 늘었다.

다음 회 · 3부 — 시행되자, 같은 말이 다시 나왔다

기사의 기준과 범위

법 기준일: 2026-08-23
확인된 범위: 2026년 8월 23일까지 공개된 법령 · 시행령 · 공식 문서를 기준으로 한다. 다루는 범위는 2024년 12월 26일 국회를 통과해 2026년 1월 22일 시행된 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법의 조문 구성이다.
제외되는 범위: 금지되는 인공지능에 관한 논의, 시행 이후 각계의 주장, 개별 조문의 해석과 사업자의 구체적 이행 방법은 다루지 않는다. 후속 회차에서 다룬다. 개별 사건에 대한 법률조언이 아니다.
다음 확인: 자신이 다루는 인공지능이 법이 정한 열 개 분야에 걸리는지 먼저 확인한다. 걸린다면 결과가 나온 근거를 설명할 방안과 사람이 관리 · 감독하는 절차를 갖추었는지 점검한다.