Executive Summary

규제를 비교할 때 흔히 명목 발효일을 본다. 그러나 고영향 AI처럼 사업자에게 실제 의무를 지우는 규제는 '언제 법이 통과됐나'보다 '언제 의무가 실제로 작동하나'가 훨씬 중요하다. 이 실질 작동일을 기준으로 한국·EU·미국을 나란히 놓으면, 2026년 현재 고영향 AI 규제를 실제로 가동한 관할권은 한국과 뉴욕시뿐이다.

아래 타임라인은 세 관할권의 명목 일정과 실질 작동 시점을 하나의 축에 겹쳐 놓은 것이다. 한국이 2026년 7월 스위치를 올리는 동안, EU는 가장 논쟁적인 고위험 의무를 오른쪽으로 밀었고, 미국 콜로라도는 시행 전에 원안을 아예 폐지했다.

한국의 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 2026년 1월 22일 본법이 시행됐지만, 사업자 의무를 구체화한 개정법·시행령이 7월 14일 국무회의를 거쳐 7월 21일 발효되면서 고영향 AI 규율이 비로소 현실의 의무로 작동하기 시작했다. 반면 EU는 유럽의회가 6월 16일 승인한 '디지털 옴니버스' 개정으로 사용 기반 고위험 AI(Annex III)의 의무 적용을 2026년 8월 2일에서 2027년 12월 2일로 16개월 미뤘다. 명목일과 실질 작동일은 세 관할권에서 크게 어긋난다.

연기의 무게는 시점에만 있지 않다. EU 개정법은 소급 적용되지 않기 때문에, 2027년 12월 이전에 시장에 나온 고위험 시스템은 새 의무를 영구히 피해 갈 수 있다는 우려가 함께 제기됐다. 규제가 1년 늦게 켜지는 데서 그치는 것이 아니라, 그사이 배치된 시스템 상당수가 규제 그물 밖에 남는다는 뜻이다.

미국은 결이 또 다르다. 콜로라도 원안(SB24-205)은 시행을 앞두고 2026년 5월 폐지됐고, 재정의된 신법(SB26-189)이 2027년 1월 1일로 미뤄졌다. 사용 단계 규제를 3년째 실제 집행 중인 곳은 뉴욕시(채용 AI 편향 감사, Local Law 144)뿐이다. '세계 최초'라는 수사는 늘 조심해야 하지만, 적어도 사람의 신용·건강·일자리를 판단하는 AI에 강행 규범을 먼저 가동했다는 점에서 한국의 선행은 과장이 아니다.

법 제2조제4호는 10개 영역을 열거하고, 그 영역에서 사람의 생명·신체 안전이나 기본권에 중대한 영향을 미칠 우려가 있는 AI를 고영향으로 분류한다. 열거된 영역은 에너지, 먹는 물, 보건의료·의료기기, 원자력, 생체인식, 채용, 대출심사 등 개인의 권리관계 평가, 교통, 공공서비스, 학생평가다. 이 목록을 데이터 담당자의 눈으로 다시 읽으면 하나의 축이 보인다. 이 중 네 영역은 결국 "데이터로 사람을 판단"하는 일이고, 바로 그 지점에서 편향이 기본권 침해로 이어진다.

10개 영역을 대표 사용사례·핵심 데이터 리스크·요구 증빙·한국과 EU의 범위 차이로 갈라 보면 한 가지가 특히 눈에 띈다. 한국의 지정 범위가 EU보다 좁다는 점이다. 금융에서 한국은 '대출심사'만, EU는 신용도 평가 전반을 포괄하고, 고용에서 한국은 '채용'만, EU는 성과·해고 등 근로자 관리까지 포함한다.

각주: '인공지능사업자' 정의가 매우 넓어 개발자뿐 아니라 AI를 도입해 서비스하는 사업자(예: 대출심사 모델을 쓰는 은행)도 포함된다. 한 사업자가 개발·이용·고영향 지위를 중첩할 수 있으며, 고영향 판단은 사업자의 1차 자기판단 + 불확실 시 과기정통부 'AI 기본법 지원데스크' 상담으로 이뤄진다. 사람이 최종 개입·통제 가능하면 제외될 수 있다.

2.1편향은 모델이 아니라 데이터에서 나온다

규제가 데이터를 향해 질문을 던지는 이유는 학술 연구가 반복해 보여준 사실 때문이다. 가장 널리 인용되는 사례는 의료 AI다. 미국의 한 상용 알고리즘은 환자의 건강 필요도를 예측하는 데 '의료 지출액'을 대리지표로 학습했다. 그런데 흑인 환자는 같은 건강 상태에서도 역사적으로 의료비를 덜 지출해 왔기 때문에, 알고리즘은 흑인 환자를 체계적으로 과소분류했다. 대리지표를 건강 그 자체를 반영하도록 재설계하자, 추가 돌봄 대상으로 지정되는 흑인 환자 비율이 17.7%에서 46.5%로 뛰었다(Obermeyer et al., Science, 2019). 모델 구조가 아니라 학습 데이터의 라벨 정의가 편향의 원천이었다.

생체인식도 같은 결을 보인다. 상용 안면분석 시스템의 오류율을 성별·피부색으로 나눠 측정한 연구는, 밝은 피부 남성에서 거의 완벽하던 정확도가 어두운 피부 여성에서 크게 무너지는 것을 확인했다(Buolamwini & Gebru, Gender Shades, 2018). 학습셋에 특정 인구집단이 과소대표됐다는 데이터 문제가 그대로 성능 격차로 나타난 것이다. 신용평가에서도 민감속성을 제거하더라도 우편번호·구매이력 같은 대리변수를 통해 차별이 재현되는 '공정성 역설'이 보고된다.

고영향 AI 사업자에게 부과되는 의무는 크게 두 갈래다. 영향평가와 안전성·신뢰성 확보다. 둘은 성격이 다른데, 이 차이를 놓치면 준비의 우선순위가 흔들린다. 영향평가는 강행 의무가 아니라 노력 의무에 가깝다. 대신 국가기관 등이 조달할 때 영향평가를 마친 제품·서비스를 우선 고려하도록 설계돼 있어, 실질적으로는 공공 시장에 들어가기 위한 자격처럼 작동한다.

의무의 진짜 무게중심은 안전성·신뢰성 확보 쪽에 있다. 책무 고시안 제8조에 따라 사업자는 자신이 취한 조치를 '안전신뢰문서'로 작성해 5년간 보관하고 주기적으로 점검·최신화해야 하며, 그 문서에는 AI와 학습용 데이터에 대한 설명가능성 확보가 명시적으로 포함된다. 법적 성격·트리거·산출물·보관·제재 어느 기준으로 봐도 무게중심은 안전신뢰문서 쪽에 쏠린다.

3.1안전신뢰문서가 요구하는 것은 서명이 아니라 증적

여기서 법이 요구하는 것은 서명된 정책 선언 한 장이 아니다. 이 판단이 어떤 데이터로 학습됐고, 그 출처와 품질을 5년 뒤에도 설명할 수 있는가에 대한 증적이다. 모델을 재학습하고 데이터셋을 교체하는 동안에도 그 기록이 끊기지 않아야 한다는 뜻이기도 하다. '문서'라는 이름과 달리 그 실체는 데이터의 이력 그 자체다.

3.2중복 인정의 전제, 그리고 EU FRIA와의 차이

다른 법에서 동등한 조치를 이미 이행 중이면 AI 기본법 의무를 이행한 것으로 인정된다. 얼핏 부담을 덜어 주는 조항처럼 보이지만, 인정의 전제가 관건이다. 그 인정은 위험관리·설명가능성·데이터 거버넌스를 이미 갖추고 있었는지를 묻는다. 결국 어느 법을 경유하든 데이터 거버넌스라는 도착지는 같다.

각주(EU 비교): EU의 기본권영향평가(FRIA, 제27조)는 배포자를 대상으로 "사람을 공정히 대우하는가·이의제기 경로가 있는가"를 묻는 권리 중심 평가로, 데이터 중심의 개인정보영향평가(DPIA)와 구분된다. 미이행 시 Art.99 Tier 2(€15M 또는 매출 3%)가 적용된다. 한국의 영향평가는 성격상 FRIA와 DPIA의 중간에 가깝다. 이 비교는 참고일 뿐 한국 상황에 그대로 대입하기는 어렵다.

안전신뢰문서가 요구하는 '설명가능성 확보'는 추상적인 구호처럼 들리지만, 데이터 담당자의 언어로 옮기면 세 가지 구체적인 질문으로 좁혀진다. 학습 데이터의 출처를 추적할 수 있는가(계보), 그 품질이 기준을 충족하는지 검증할 수 있는가(품질), 그 검증을 5년 뒤에도 재현하고 감사할 수 있는가(감사 가능성). 이 세 층위가 규제가 던지는 질문의 실체다.

중요한 것은 이 세 층위가 이미 국제적으로 표준화돼 있다는 점이다. ISO/IEC 5259 시리즈(5개 파트, 2024~2025)가 데이터 품질의 측정·관리·프로세스·거버넌스 언어를 제공하고, 학계·산업의 데이터 문서화 관행(Datasheets, Model Cards, Data Cards)이 그 뼈대를 이룬다. 세 층위가 어떻게 맞물리고 각각 어느 표준에 대응하는지는 아래 개념도에 담았다.

아래 표는 세 층위 각각이 규제가 던지는 어떤 질문에 답하고, ISO/IEC 5259의 어느 파트와 어떤 문서화 관행에 대응하는지를 정리한 것이다. 데이터 계보는 "이 데이터는 어디서 왔고 어떤 가공을 거쳤나"에 답하며 Datasheets for Datasets·Data Cards가 그 서식을 제공한다. 품질은 "그 품질이 기준을 충족하는지 검증 가능한가"를, 감사 가능성은 "5년 뒤에도 재현·감사 가능한가"를 묻고 Model Cards·알고리즘 영향평가 방법론이 뒷받침한다.

제재 규정을 나란히 놓으면 한국의 과태료 상한이 유독 낮아 보인다. 한국은 3천만원 이하(≈$23K, 건별)인 반면 EU는 최고 €35M 또는 전 세계 매출의 7%에 이른다. 그러나 이 숫자만으로 규제 부담을 가늠하면 오히려 위험을 놓친다. 제재의 구조와 실질 리스크가 관할권마다 질적으로 다르기 때문이다.

한국의 3천만원은 EU에 비하면 작아 보이지만, 실질 리스크는 금전 밖에 있다. 첫째, 시정명령 불이행이 반복되면 영업정지 등으로 격상될 수 있다. 둘째, 그리고 더 중요하게, 고영향 지정과 의무 위반 자체가 공공조달 배제와 시장 신뢰 훼손으로 이어진다. 영향평가를 마친 사업자를 조달에서 우선 고려하는 구조에서, 데이터 거버넌스를 갖추지 못한 기업은 과태료를 맞기 전에 시장에서 밀려난다.

뉴욕시의 구조는 또 다르다. 건당 $500~$1,500로 액수는 작지만 상한이 없고 계속위반형이라, 감사를 방치하면 누적 벌금이 무제한으로 불어난다. 건당 상한형인 한국과 단순 병렬 비교가 어려운 이유다. 결국 세 관할권의 제재는 액수가 아니라 "무엇을 증빙하지 못했을 때 벌하는가"에서 갈리며, 그 대상은 공통적으로 데이터 거버넌스로 수렴한다. EU가 Tier 2에 '데이터 거버넌스 위반'을 명시적으로 넣은 것이 그 방향을 가장 분명하게 보여준다.

전면 시행이라고 해서 오늘 당장 과태료가 날아오는 것은 아니다. 사업자 의무 전반에는 최소 1년 이상의 계도기간이 주어진다. 다만 딥페이크 등 생성물 표시 의무는 유예 없이 즉시 적용되니, 생성형 서비스라면 이 부분은 미룰 수 없다. 계도기간의 진짜 용도는 문서를 사후에 채워 넣을 시간을 버는 것이 아니라, 데이터 거버넌스를 파이프라인에 심을 유예로 쓰는 것이다.

왜 지금 시작해야 하는지는 국제 벤치마크가 정량으로 말해 준다. 여러 서베이가 공통으로 보여주는 것은 "거버넌스가 있다"는 선언과 "완전히 구현했다"는 실행 사이의 큰 격차다. 그 격차는 서로 다른 세 지표에서 똑같이 확인된다.

이 격차가 계도기간을 어떻게 써야 하는지를 결정한다. 지금 학습에 들어가는 데이터의 출처를 기록하기 시작하면 1년 뒤 그것이 곧 안전신뢰문서가 된다. 반대로 기록을 미루면 1년 뒤 이미 흘러간 데이터의 출처를 거슬러 복원해야 한다. 그렇다면 남은 1년, 무엇부터 손대야 할까. 분기별 착수 순서는 아래 로드맵과 같다.

(주)페블러스 데이터 커뮤니케이션팀
2026년 7월 23일

공식 문서·법령

• 1.국가법령정보센터. (2026). "인공지능 발전과 신뢰 기반 조성 등에 관한 기본법." 법제처.

업계·보도 해설

• 2.AI Citizen Lab. (2026). "AI기본법 2026년 7월 21일 시행, 내 삶과 비즈니스는 어떻게 달라질까?."
• 3.신·김앤장 법률사무소. (2026). "AI 기본법 시행 관련 뉴스레터." Shin & Kim Newsletter 3114.
• 4.법률신문. (2026). "AI기본법 시행에 따른 쟁점과 과제."
• 5.Lexology. (2026). "고영향 인공지능사업자의 책무 — AI기본법 가이드라인 해설 시리즈 (4)."

EU AI Act 비교

• 6.Gibson Dunn. (2026). "EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes."
• 7.Morgan Lewis. (2026). "EU Approves Delays and Other Amendments to Certain EU AI Act Obligations."
• 8.Tech Policy Press. (2026). "EU's AI Act Delays Let High-Risk Systems Dodge Oversight."

미국 주법 비교

• 9.Colorado General Assembly. (2024–2026). "SB24-205: Consumer Protections for Artificial Intelligence" (repealed 2026-05; replaced by SB26-189, eff. 2027-01-01).
• 10.New York City Department of Consumer and Worker Protection. (2023–2025). "Automated Employment Decision Tools (Local Law 144)."

데이터 품질 표준·학술

• 11.ISO/IEC. (2024–2025). "ISO/IEC 5259 series (Parts 1–5): Data quality for analytics and machine learning."
• 12.Gebru, T., et al. (2021). "Datasheets for Datasets." Communications of the ACM, 64(12).
• 13.Mitchell, M., et al. (2019). "Model Cards for Model Reporting." FAT* '19.
• 14.Obermeyer, Z., Powers, B., Vogeli, C., & Mullainathan, S. (2019). "Dissecting racial bias in an algorithm used to manage the health of populations." Science, 366(6464), 447–453.
• 15.Buolamwini, J., & Gebru, T. (2018). "Gender Shades: Intersectional Accuracy Disparities in Commercial Gender Classification." PMLR, 81.

모든 규제 사실은 2026-07-21 기준이며, 미국 주법 관련 최신 동향(콜로라도 재입법)은 발행 시점 기준 로펌 3곳 교차 확인에 근거한다.