EU AI 법 본격 집행 시작, 한국 AI 기본법과의 핵심 차이점은?

핵심 요약

- EU AI 법이 2026년 규제 설계에서 본격적인 집행 단계로 전환, 한국 AI 기본법(2026년 1월 시행)과 비교 분석 필요 - 한국은 생성형 AI·고영향 AI 중심 투명성 확보, EU는 고위험 AI 사전 적합성 평가 및 시장 감시 체계 강화 - 글로벌 AI 서비스 제공 기업은 EU·한국 양 법역의 규제 요구사항 동시 충족 전략 수립 시급

주요 내용

2026년 9월 현재, EU AI 법(AI Act)은 입법 완료 후 본격적인 집행 체계 구축 단계에 진입했다. 2024년 최종 승인된 EU AI 법은 AI 시스템을 위험도에 따라 4단계(금지·고위험·제한적 위험·최소 위험)로 분류하고, 특히 고위험 AI에 대해서는 시장 출시 전 적합성 평가, 기술 문서 작성, CE 마크 부착 등 엄격한 사전 규제를 요구한다. 2026년부터는 각 회원국의 감독기관이 실제 제재권을 행사하며, 위반 시 최대 연간 글로벌 매출의 7% 또는 3,500만 유로의 과징금이 부과된다.

한국은 2026년 1월 22일부터 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI 기본법)을 시행 중이다. 이 법은 생성형 AI와 고영향 AI에 초점을 맞춰, AI 사업자에게 투명성 확보 의무, 안전성 검증 절차, 개인정보 보호 강화 조치 등을 요구한다. 한국 법제는 EU와 달리 '원칙 중심 규제(principle-based regulation)' 접근을 채택해, 산업 육성과 규제의 균형을 추구하는 점이 특징이다. 다만 고영향 AI의 구체적 정의와 평가 기준은 향후 하위 법령을 통해 구체화될 예정이다.

양 법역의 주요 차이점은 규제 시점과 집행 강도에 있다. EU는 사전 승인 중심의 '게이트키핑(gatekeeping)' 방식으로 고위험 AI의 시장 진입을 통제하는 반면, 한국은 사후 감독과 자율 규제를 병행하는 방식이다. 또한 EU는 역외 적용 원칙을 명확히 해 EU 시장에 서비스하는 모든 AI 시스템에 규제를 적용하지만, 한국 AI 기본법은 국내 사업자 중심의 규율 체계를 갖추고 있다.

개인정보보호 측면에서도 차이가 두드러진다. EU AI 법은 GDPR과 긴밀히 연계돼 고위험 AI의 데이터 거버넌스, 자동화된 의사결정에 대한 설명 의무 등을 강화한다. 한국 AI 기본법은 개인정보보호법과의 정합성을 고려하되, AI 특화 규정으로 가명정보 활용 확대, AI 학습용 데이터의 법적 지위 명확화 등을 포함한다.

전문가 시각

ISMS-P 인증 실무 관점에서, 글로벌 AI 서비스를 제공하는 국내 기업은 EU AI 법과 한국 AI 기본법의 요구사항을 동시에 충족하는 '듀얼 컴플라이언스' 체계 구축이 필수다. 특히 고위험·고영향 AI로 분류될 수 있는 채용, 신용평가, 의료진단 등의 영역에서는 사전 위험평가(DPIA), 알고리즘 영향평가, 정기적 모니터링 체계를 이원화해 운영해야 한다. EU 시장 진출 시에는 기술문서 작성, 적합성 평가기관 선정, CE 마크 취득 프로세스를 사전 준비해야 하며, 이는 최소 6개월 이상 소요되는 점을 감안해야 한다.

바이브 코딩(Vibe Coding) 환경에서 AI 코드 생성 도구를 활용해 개발한 시스템이 EU AI 법의 고위험 AI나 한국의 고영향 AI에 해당할 경우, 생성된 코드 자체에 대한 보안 검증이 더욱 중요해진다. LLM이 자동 생성한 코드는 SQL 인젝션, 인증·인가 로직 누락, 개인정보 평문 저장 등 OWASP Top 10 취약점을 포함할 가능성이 높으며, 이는 개인정보 대량 유출로 직결돼 GDPR 제83조 또는 개인정보보호법 제39조의2(과징금)에 따른 중대한 제재로 이어질 수 있다. 따라서 AI 보조 개발 도구 활용 시에는 ① 생성 코드에 대한 정적·동적 분석(SAST/DAST) 필수화 ② 개인정보 처리 로직 수동 검증 ③ 보안 코딩 가이드라인 AI 프롬프트 반영 ④ 생성 코드 이력 관리 및 책임 추적성 확보 등 4단계 검증 체계를 구축해야 한다.

CPPG·ISMS-P 연계 포인트

1. 알고리즘 영향평가(Algorithmic Impact Assessment)
EU AI 법과 한국 AI 기본법 모두 고위험·고영향 AI에 대한 사전 영향평가를 요구한다. ISMS-P 인증 심사 시 '2.9.3 개인정보 영향평가' 항목과 연계해, AI 시스템의 개인정보 처리 목적, 처리 항목, 자동화 의사결정 로직, 편향성 검증 결과, 설명 가능성 확보 방안 등을 문서화해야 한다. 특히 프로파일링이나 자동화된 개인정보 처리 시 GDPR 제35조의 DPIA 요구사항을 충족하는 수준의 평가가 필요하다.

2. 개인정보 처리 자동화 의사결정 고지 및 설명 의무
EU AI 법 제13조 및 한국 개인정보보호법 제37조의2(자동화 평가)는 개인에게 중대한 영향을 미치는 자동화 결정에 대해 정보주체에게 그 사실을 고지하고 설명할 의무를 부여한다. ISMS-P '2.3.4 개인정보 파일 등록·공개' 및 '2.7.1 정보주체 권리 보장' 항목과 연계해, AI 시스템의 작동 원리, 주요 처리 로직, 의사결정 기준을 이해 가능한 수준으로 공개하고, 정보주체의 이의제기 및 인적 개입 요청 절차를 마련해야 한다.