세계 최초의 포괄적 인공지능 규제 법안인 'EU AI Act'가 단계적 시행에 들어가면서 국내 산업계에 비상이 걸렸다. 유럽연합이 인공지능을 단순한 혁신 동력이 아닌 관리와 감시가 필요한 '위험 관리 대상 기술'로 정의함에 따라, 글로벌 시장 진출을 노리는 한국 기업들에게는 기술 개발보다 더 큰 장벽이 세워진 셈이다.
이번 규제의 핵심은 지리적 한계를 넘어서는 '역외 적용'에 있다. 기업의 본사 소재지가 서울이나 판교라 할지라도, EU 내 사용자에게 서비스를 제공하거나 유럽 데이터를 활용하는 비즈니스를 수행한다면 예외 없이 법적 구속력을 받는다.
집행을 총괄하는 European Commission은 위반 기업에 대해 전 세계 매출액의 최대 7%라는 천문학적인 과징금을 부과할 수 있는 칼자루를 쥐었다. 전문가들 사이에서 이번 조치가 과거 개인정보보호법(GDPR)을 넘어서는 역사상 가장 강력한 디지털 규제가 될 것이라는 평가가 나오는 이유다.
EU AI법은 시스템의 위험도를 4단계로 분류해 차등 규제를 적용한다. 사용 자체가 불법인 '금지 AI'부터, 엄격한 인증과 감독 의무가 따르는 '고위험 AI', 투명성을 표시해야 하는 '제한 AI', 그리고 규제가 없는 '최소 위험 AI'로 나뉜다.
채용이나 대출 심사, 의료 판단 등 인간의 삶에 직접적인 영향을 미치는 자동화 시스템은 고위험군으로 분류되어 강력한 감시를 받게 될 가능성이 높다. 반면 오락 목적의 게임 추천 알고리즘 등은 상대적으로 자유롭다. 결국 우리 기업이 추진하는 비즈니스 모델이 어느 등급에 속하는지 전수 조사하는 것이 대응 전략의 출발점이다.
챗봇이나 이미지·음성 생성 서비스를 운영하는 생성형 AI 기업들은 별도의 관리 체계를 구축해야 한다. 구체적으로는 학습 데이터의 출처를 투명하게 기록하고, AI가 생성한 콘텐츠임을 명시해야 하며, 저작권 보호 조치와 악용 방지를 위한 안전장치를 마련해야 한다. 이제는 뛰어난 모델을 시장에 내놓는 것만으로는 부족하며, 데이터의 획득부터 모델의 출력 결과까지 전 과정을 추적 관리하는 시스템이 뒷받침되어야 시장 생존이 가능하다.
규제 대응 인력이 부족한 스타트업들은 특히 문서화에 집중해야 한다. 법률 전문가들은 위험관리 문서, 데이터 출처 로그, 모델 설명서, 인간 감독 프로세스, 사고 대응 프로토콜 등 5가지 체계를 우선적으로 구축할 것을 권고한다. 규제 기관의 심사는 실제 소스 코드보다 이를 증명하는 '증빙 자료'를 바탕으로 이루어지는 경우가 많기 때문이다.
하지만 현재 한국 기업들의 준비 상태는 낙관적이지 않다. 기술 경쟁력은 글로벌 수준에 도달했으나, AI 윤리 담당 조직이 부재하거나 데이터 출처 관리가 미흡한 사례가 빈번하다. 특히 자동 결정에 대한 설명 기능이 부족한 점은 고위험 AI로 분류될 경우 치명적인 결격 사유가 될 수 있다.
벤처캐피털(VC) 업계의 시각도 급변하고 있다. 이제 투자사들은 기업 실사 과정에서 데이터의 합법성과 알고리즘의 설명 가능성, 규제 대응 체계 구축 여부를 필수적으로 확인한다. AI 컴플라이언스 역량이 부족한 기업은 아무리 기술력이 뛰어나도 투자 우선순위에서 밀려나거나 기업 가치가 저평가될 수밖에 없는 구조다.
업계 관계자들은 효과적인 생존 전략으로 AI 컴플라이언스 책임자(CACO) 지정과 제품 출시 전 위험평가 절차 도입을 제시한다. 리스크를 분산하기 위해 유럽 전용 서비스를 별도로 운영하는 정책적 유연함도 필요하다.
EU AI법은 지역적 규제를 넘어 글로벌 AI 산업의 표준으로 자리 잡을 전망이다. 앞으로 시장을 주도할 주인공은 단순히 높은 성능을 구현하는 기업이 아니라, 복잡한 규제 환경 속에서 신뢰성을 입증할 수 있는 '준법 역량'을 갖춘 리더가 될 것으로 보인다.
Copyright ⓒ 스타트업엔 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
