대한민국은 2026년 1월 22일, AI 기본법[1]을 전면 시행하는 세계 최초의 국가가 됐습니다. EU가 앞서 AI Act를 입법했지만, 정작 고위험 AI 규제는 2026년 8월부터 단계적으로 적용합니다. 그러니 포괄적인 AI 법을 실제로 전면 적용하는 첫 나라는 한국인 셈입니다.
[1] 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(약칭 AI 기본법) — 2025년 1월 공포, 2026년 1월 22일 시행.
큰 이슈가 된 사안이었던 만큼, 법의 전반적인 내용을 소개하거나, '지나친 규제가 혁신을 막는다'는 식의 비판은 이미 다른 곳에서 많이 다뤄진 것으로 보입니다. 이 글에서는 조금 방향을 달리하여, 제가 생각하는 법의 중요한 두 가지 공백을 짚어보고, AI에 대한 규제의 패러다임 전반에 대해 검토해보겠습니다.
🧩 AI 기본법의 공백 (1) - 주체 식별
첫째는 주체 식별의 혼란입니다. AI 기본법 제2조(정의)는 '인공지능'을 비롯한 여러 개념들을 정의하고 있습니다. 그 중 주목할만한 것은 다음과 같습니다.
제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다. <개정 2026. 1. 20.>
1. “인공지능”이란 학습, 추론, 지각, 판단, 언어의 이해 등 인간이 가진 지적 능력을 전자적 방법으로 구현한 것을 말한다.
...
4. “고영향 인공지능”이란 사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서 다음 각 목의 어느 하나의 영역에서 활용되는 것을 말한다. (가. 「에너지법」 제2조제1호에 따른 에너지의 공급 등...)
...
7. “인공지능사업자”란 인공지능산업과 관련된 사업을 하는 자로서 다음 각 목의 어느 하나에 해당하는 법인, 단체, 개인 및 국가기관등을 말한다.
가. 인공지능개발사업자: 인공지능을 개발하여 제공하는 자
나. 인공지능이용사업자: 가목의 사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자
8. “이용자”란 인공지능제품 또는 인공지능서비스를 제공받는 자를 말한다.
'인공지능'과 '고영향 인공지능'을 나눈 차이가 정확히 무엇이냐는 지적은 이미 충분히 지적되고 있습니다만, 저는 '사업자인지 이용자인지'를 가르는 일이 훨씬 더 중요하고 동시에 까다롭다고 봅니다.
법은 인공지능 사업자와 이용자를 구분하고, 인공지능사업자를 개발사업자와 이용사업자로 세부 분류합니다. 그러면서 법은 사업자들, 특히 고영향 인공지능 사업자나 생성형 인공지능 사업자에게는 막대한 의무를 지우면서, 단순히 AI를 가져다 쓰는 '이용자'는 규율 대상에서 제외해버렸습니다.
문제는 인공지능 산업의 특성 상 사업자와 이용자의 경계가 흐릿하다는 것입니다. 한 기업이 직접 생성형 AI를 개발해 대출심사 서비스를 제공하면, 개발사업자이자 이용사업자이며 동시에 생성형 AI 사업자이자 고영향 AI 사업자가 됩니다. 많은 기업이 기존 거대언어모델(LLM)을 파인튜닝해 서비스를 만드는 지금, 이는 결코 사소한 문제가 아닙니다.
🧩 AI 기본법의 공백 (2) - 표시 의무
둘째는 표시 의무의 한계입니다. AI 기본법은 표시 의무를 크게 ① 제품 또는 서비스 제공 사전 고지(제1항), ② 결과물이 생성형 AI로 만들어졌다는 사실의 표시(제2항), ③ 실제와 구분하기 어려운 딥페이크 결과물에 대한 고지·표시(제3항)로 규정합니다. 구체적으로는 다음과 같습니다.
제31조(인공지능 투명성 확보 의무)
① 인공지능사업자는 고영향 인공지능이나 생성형 인공지능을 이용한 제품 또는 서비스를 제공하려는 경우 제품 또는 서비스가 해당 인공지능에 기반하여 운용된다는 사실을 이용자에게 사전에 고지하여야 한다.
② 인공지능사업자는 생성형 인공지능 또는 이를 이용한 제품 또는 서비스를 제공하는 경우 그 결과물이 생성형 인공지능에 의하여 생성되었다는 사실을 표시하여야 한다.
③ 인공지능사업자는 인공지능시스템을 이용하여 실제와 구분하기 어려운 가상의 음향, 이미지 또는 영상 등의 결과물을 제공하는 경우 해당 결과물이 인공지능시스템에 의하여 생성되었다는 사실을 이용자가 명확하게 인식할 수 있는 방식으로 고지 또는 표시하여야 한다. 이 경우 해당 결과물이 예술적ㆍ창의적 표현물에 해당하거나 그 일부를 구성하는 경우에는 전시 또는 향유 등을 저해하지 아니하는 방식으로 고지 또는 표시할 수 있다.
④ 그 밖에 제1항에 따른 사전고지, 제2항에 따른 표시, 제3항에 따른 고지 또는 표시의 방법 및 그 예외 등에 관하여 필요한 사항은 대통령령으로 정한다.
표시의 구체적인 방법은 법 조문 자체가 아니라, 과학기술정보통신부가 2025년 11월 입법예고한 시행령 제정안(제22조)과 뒤이어 공개한 「인공지능 투명성 확보 가이드라인」에 담겼습니다.
이에 따르면, 일반적인 생성물(텍스트·이미지 등)에는 사람이 눈으로 보는 가시적 표시든, 기계가 읽어 내는 비가시적 표시(워터마크·메타데이터)든 모두 허용됩니다. 다만 비가시적 방식을 택하면, 그 결과물이 생성형 AI로 만들어졌다는 사실을 1회 이상 안내 문구나 음성으로 함께 알려야 합니다. 또 생성물이 서비스 안에서만 쓰일 때는 화면(UI)이나 로고 표출만으로도 되지만, 외부로 반출되는 결과물에는 표시가 따라붙어야 합니다. 반면 실제와 구분하기 어려운 딥페이크 결과물만큼은, 이용자가 명확하게 인식할 수 있는 방식으로 고지·표시해야하며, 메타데이터에 숨기는 것만으로는 부족합니다.
문제는 이 표시 의무가 서비스를 제공하는 '사업자'에게만 부과된다는 점입니다. 정부의 명분은 'AI 기만 콘텐츠로 인한 국민의 혼란'을 막겠다는 것인데, 정작 AI를 악용해 콘텐츠를 퍼뜨리는 이용자에게는 책임이 없습니다. 앞서 봤듯 법이 이용자를 규율에서 제외했기 때문입니다. 사업자가 생성물에 표시를 달아도 배포자가 그걸 지우면 그만인데, 과연 이 법이 국민을 보호할 수 있을까요. 예컨대 ChatGPT에게 이미지 생성 시 "이 그림은 AI로 생성하였습니다"라고 표시하게 하는 것이, 과연 국민 권익에 무슨 실효가 있을지 의문입니다.
사견으로는, 출처 명시가 목적인 '생성형 AI' 표시 규제를 사고 방지가 목적인 '고영향 AI' 규제와 한데 묶은 데서 비롯된 문제로도 보입니다.
💡 마무리 - '거짓의 낙인'이 아니라 '진실의 인증'으로
사실 이것은 단순히 AI 기본법이 잘못 만들어졌다는 차원의 문제가 아닙니다. AI 기본법은 분명히 많은 고민과 검수를 거쳐 탄생하였을 것입니다. 정부는 최소 1년 이상의 계도 기간을 두기로 한 만큼, 그 기간 동안에도 많은 보완이 있을 것입니다.
다만, 저는 'AI로 생성·편집됐음'을 표시하도록 강제하는 방식 자체에 근본적인 한계가 있다고 생각합니다.
쏟아져나오는 AI 생성물을 모두 규제하는 것이 애초에 가능이나 한 것인가는 논외로 하고, 제가 가장 우려되는 것은 역효과입니다. AI 생성 표시를 의무화할수록, 그리고 표시된 생성물이 표준이 되고 흔해질수록, 사람들은 '표시가 없으면 진짜'라고 믿게 되고, 악의적 사용자가 표시를 떼어낸 정교한 가짜를 퍼뜨릴 때 오히려 더 무방비로 속게 될 수 있습니다.
그래서 방향을 바꿔야 한다고 봅니다. 가짜에 '거짓의 낙인'을 찍는 소모적인 규제를 넘어, 변형되지 않은 원본에 '진실의 태그'를 부여하는 쪽으로 패러다임을 옮기는 것입니다. 눈에 보이는 워터마크에 집착하기보다 C2PA 같은 메타데이터 기반의 출처 인증 표준을 장려하고, 이를 지키는 주체에게 인센티브를 주는 편이, 가짜의 홍수 속에서 디지털 신뢰를 세우는 더 현실적인 길이라고 여겨집니다.
참고로, 앞서 말했다시피 AI 기본법이 시행은 되었지만 현재 계도기간에 있습니다. 표시 의무를 어기면 시정명령이, 그래도 따르지 않으면 3천만원 이하의 과태료가 따르지만, 그 부과 자체가 한동안 유예되는 것입니다. 참고로 EU AI Act가 위반 시 글로벌 매출의 최대 7%까지 물릴 수 있는 것과 견주면, 한국의 제재는 '세계에서 가장 먼저, 그러나 가장 가볍게'에 가깝습니다. 그래서 더더욱, 그 계도 기간이 단순히 처벌을 미루는 시간이 아니라 위와 같은 구조적 물음을 다시 들여다보는 시간이 되기를 바랍니다. '세계 최초'라는 타이틀은 분명 값진 것이지만, 그 자체가 좋은 제도를 보장해 주지는 않으니까요. 가장 먼저 출발한 나라가 가장 나은 길까지 보여줄 수 있을지, 그 1년을 지켜보려 합니다.
#제도와기술사이 #AI기본법 #생성형AI #표시의무 #C2PA #디지털신뢰